הגדרת שרת FreeBSD: ZFS, pf, jails, חיזוק אבטחה

הקמת שרת FreeBSD מאפס: ZFS, pf, jails וחיזוק אבטחה

רוצים שרת יציב עם תקורה מינימלית? תצורת FreeBSD מקצועית היא הבסיס לפעילות שירות צפויה. ניסיון של למעלה מ-5 שנים ו-30+ פרויקטים מסחריים מבטיחים פתרון חזק.

FreeBSD אינה לינוקס. זהו הבדל מהותי: קרנל שונה, מערכת קבצים ברירת מחדל שונה (UFS או ZFS), מנהל חבילות שונה (pkg), חומת אש שונה (pf), ו-init שונה (rc.d). מומחים בוחרים ב-FreeBSD מכמה סיבות: ZFS מקורי ללא תקורת DKMS, pf כאחת מחומות האש הממלכתיות הטובות ביותר, שלמות נתונים חזקה באמצעות CoW, וביצועי מחסנית רשת צפויים. אנו מגדירים שרתי FreeBSD כבר למעלה מ-5 שנים — עם 30+ פרויקטים מסחריים, כולל מערכות בעומס גבוה המטפלות בעד 100 Gbps ומסדי נתונים ב-5000 שאילתות בשנייה. צרו קשר לייעוץ — נבחן את הפרויקט שלכם ונציע תצורה אופטימלית תחת עומס.

איך להקים שרת FreeBSD במפתח אחד?

מתקין FreeBSD (bsdinstall) די שמרני — שאלות נשאלות ברצף. עבור שרתים, אנו בוחרים סט מינימלי של רכיבים: kernel, base, lib32. src ו-ports-tree על השרת בדרך כלל מיותרים אלא אם כן אנו מתכננים לבנות תוכנה מקוד מקור.

בחירת מערכת הקבצים בהתקנה היא החלטה קריטית. ZFS על FreeBSD הוא מקורי, לא FUSE, ומתפקד במהירות וביציבות. דוגמה לחלוקת דיסק:

Partition Scheme: GPT - freebsd-boot (512K) - freebsd-swap (размер RAM) - freebsd-zfs (остаток) → zpool: zroot 

לאחר ההתקנה והתחברות ראשונה דרך הקונסולה, הגדירו את Partition Scheme: GPT - freebsd-boot (512K) - freebsd-swap (размер RAM) - freebsd-zfs (остаток) → zpool: zroot — קובץ תצורת השירות הראשי. הפעילו מיד את pf, sshd, ntpd, והגדירו את שם המארח:

cat >> /etc/rc.conf << 'EOF'
hostname="freebsd-prod-01"
ifconfig_vtnet0="DHCP"
sshd_enable="YES"
ntpd_enable="YES"
ntpd_sync_on_start="YES"
pf_enable="YES"
pflog_enable="YES"
EOF

pkg: מנהל חבילות בינאריות וכלים בסיסיים

התקינו חבילות נדרשות: /etc/rc.conf, cat >> /etc/rc.conf << 'EOF' hostname="freebsd-prod-01" ifconfig_vtnet0="DHCP" sshd_enable="YES" ntpd_enable="YES" ntpd_sync_on_start="YES" pf_enable="YES" pflog_enable="YES" EOF , pkg bootstrap, ולאחר מכן pkg update. עץ ה-ports (pkg upgrade -y) מאפשר בניית חבילות מקוד מקור עם דגלים מותאמים אישית. על שרת ייצור, זה בדרך כלל מיותר — חבילות בינאריות מ-pkg מכסות 95% מהצרכים.

pf: חומת אש עם תחביר עשיר

FreeBSD משתמשת ב-pkg install -y vim curl wget git bash sudo מ-OpenBSD — אחד מתחבירי חוקי חומת האש העשירים ביותר. התצורה נמצאת ב-/usr/ports:

# Интерфейс
ext_if = "vtnet0"

# Блокируем всё входящее, разрешаем исходящее
set block-policy drop
block in all
pass out all keep state

# Loopback
pass in on lo0 all

# Разрешаем SSH только с управляющей подсети
pass in on $ext_if proto tcp from <10.0.0.0/24> to any port 22 flags S/SA keep state

# HTTP/HTTPS
pass in on $ext_if proto tcp to any port { 80, 443 } flags S/SA keep state

# ICMP
pass in inet proto icmp all icmp-type echoreq

EOF
pfctl -f /etc/pf.conf && pfctl -sr && pfctl -s info

SSH ומשתמשים

pw useradd deploy -m -s /bin/bash && pw groupmod wheel -m deploy
pkg install -y sudo
echo "%wheel ALL=(ALL) ALL" >> /usr/local/etc/sudoers
cat > /etc/ssh/sshd_config.d/hardening.conf << 'EOF'
PermitRootLogin no
PasswordAuthentication no
MaxAuthTries 3
X11Forwarding no
EOF
service sshd restart

למה לבחור ב-ZFS על FreeBSD?

אם בחרתם ב-ZFS במהלך ההתקנה, מאגר הבסיס pf כבר נוצר. ניהול מאגרים ו-datasets נעשה באמצעות /etc/pf.conf ו-# Интерфейс ext_if = "vtnet0" # Блокируем всё входящее, разрешаем исходящее set block-policy drop block in all pass out all keep state # Loopback pass in on lo0 all # Разрешаем SSH только с управляющей подсети pass in on $ext_if proto tcp from <10.0.0.0/24> to any port 22 flags S/SA keep state # HTTP/HTTPS pass in on $ext_if proto tcp to any port { 80, 443 } flags S/SA keep state # ICMP pass in inet proto icmp all icmp-type echoreq EOF pfctl -f /etc/pf.conf && pfctl -sr && pfctl -s info . צילומי מצב לפני pw useradd deploy -m -s /bin/bash && pw groupmod wheel -m deploy pkg install -y sudo echo "%wheel ALL=(ALL) ALL" >> /usr/local/etc/sudoers cat > /etc/ssh/sshd_config.d/hardening.conf << 'EOF' PermitRootLogin no PasswordAuthentication no MaxAuthTries 3 X11Forwarding no EOF service sshd restart או עדכוני חבילות גדולים הם נוהג חובה ב-FreeBSD. החזרה לאחור אורכת שניות. ZFS על FreeBSD מתפקד 20-30% מהר יותר מ-ZFS על לינוקס דרך DKMS, הודות להיעדר שכבת הפשטה נוספת. כמו כן, דחיסת lz4 זמינה כברירת מחדל, וחוסכת עד 40% מקום ביומנים טיפוסיים.

zpool status && zfs list
zfs snapshot zroot/ROOT/default@before-update
zfs rollback zroot/ROOT/default@before-update
zfs set compression=lz4 zroot/data

עדכון מערכת הבסיס

בניגוד ללינוקס, מערכת הבסיס של FreeBSD (קרנל + userland) מתעדכנת בנפרד מחבילות. התהליך בטוח: צילום מצב, עדכון, אתחול, והתקנה חוזרת עבור userland. חבילות מתעדכנות דרך zroot. לעדכונים תקופתיים, השתמשו ב-zpool והגדירו בדיקות אוטומטיות דרך cron. זה מפחית את סיכון הפגיעות עם תקורה מינימלית.

איך ליצור סביבות מבודדות עם jails?

Jails הם כלי לבידוד תהליכים, בדומה לקונטיינרים. על FreeBSD, jails פועלים ברמת הקרנל, ומעניקים תקורה מינימלית. אנו משתמשים ב-zfs לניהול נוח. דוגמה ליצירה:

iocage create -n web01 -r 13.3-RELEASE ip4_addr="vnet0|10.0.0.10/24" boot=on iocage start web01 

Jails מאפשרים להפריד שירותים ללא הפעלת מכונות וירטואליות נפרדות. זה חוסך משאבים ומפשט עדכונים.

איך לארגן ניטור לשרת FreeBSD?

התקינו freebsd-update וPrometheus:

pkg install -y prometheus node_exporter grafana 

הגדירו איסוף מדדים: CPU, זיכרון, סטטיסטיקות ZFS, רשת. השתמשו ב-Prometheus לאחסון וב-Grafana להמחשה. זה נותן תמונה מלאה של ביצועים וזיהוי מוקדם של בעיות.

איך לשפר את אבטחת שרת FreeBSD?

מעבר ל-pf וחיזוק SSH, השתמשו ב-zpool status && zfs list zfs snapshot zroot/ROOT/default@before-update zfs rollback zroot/ROOT/default@before-update zfs set compression=lz4 zroot/data (דרך pkg), הגדירו auditdist, קבעו pkg upgrade ב-sysctl, השביתו שירותים שאינם בשימוש. הריצו באופן קבוע freebsd-update ובדקו יומנים דרך syslog.

מה כלול בהקמת שרת FreeBSD

• ביקורת על התשתית הקיימת ובחירה בין FreeBSD ללינוקס.
• התקנת מערכת הפעלה עם ZFS או UFS, חלוקת דיסק, תצורת zpool.
• תצורת rc.conf, pf, SSH עם חיזוק, NTP (ntpd או chrony).
• התקנה ועדכון חבילות דרך pkg, תצורת sudo.
• תצורת jails (אם נדרש) דרך ezjail או iocage.
• תיעוד תצורה ומסירת סקריפטים לאוטומציה.
• הדרכת צוות על פעולות בסיסיות.

בנוסף, אנו יכולים להגדיר ניטור דרך Prometheus ו-Grafana, כמו גם רישום עם Loki. זה מספק שקיפות וצפיות.

תהליך העבודה

הערכה → התקנה ותצורה ראשונית → מאגרי ZFS ו-jails → התקנת תוכנה → חיזוק אבטחה → תיעוד → מסירת פרויקט. אנו מתעדים ובודקים כל שלב.

טבלת השוואה: FreeBSD מול לינוקס לשרת

העלות מחושבת באופן אישי בהתאם למאפייני מחסנית FreeBSD ודרישות השרת. צרו קשר כדי לקבל ייעוץ והערכה מדויקת תוך יום. עם המתודולוגיה המוכחת שלנו, אתם מקבלים הקמת שרת FreeBSD מובטחת, מאובטחת ובעלת ביצועים גבוהים.