mirror of
https://github.com/LCTT/TranslateProject.git
synced 2025-01-13 22:30:37 +08:00
Merge remote-tracking branch 'LCTT/master'
This commit is contained in:
Xingyu Wang
commit
7e82fc7a82
318
published/20200416 Learning to love systemd.md
Normal file
318
published/20200416 Learning to love systemd.md
Normal file
@ -0,0 +1,318 @@
|
||||
[#]: collector: (lujun9972)
|
||||
[#]: translator: (messon007)
|
||||
[#]: reviewer: (wxy)
|
||||
[#]: publisher: (wxy)
|
||||
[#]: url: (https://linux.cn/article-12214-1.html)
|
||||
[#]: subject: (Learning to love systemd)
|
||||
[#]: via: (https://opensource.com/article/20/4/systemd)
|
||||
[#]: author: (David Both https://opensource.com/users/dboth)
|
||||
|
||||
学会爱上 systemd
|
||||
======
|
||||
|
||||
> systemd 是所有进程之母，负责将 Linux 主机启动到可以做生产性任务的状态。
|
||||
|
||||
|
||||
|
||||
systemd（是的，全小写，即使在句子开头也是小写），是初始化程序（`init`）和 SystemV 初始化脚本的现代替代者。此外，它还有更多功能。
|
||||
|
||||
当我想到 `init` 和 SystemV 初始化时，像大多数系统管理员一样，我想到的是 Linux 的启动和关闭，而不是真正意义上的管理服务，例如在服务启动和运行后对其进行管理。像 `init` 一样，systemd 是所有进程之母，它负责使 Linux 主机启动到可以做生产性任务的状态。systemd 设定的一些功能比老的初始化程序要广泛得多，它要管理正在运行的 Linux 主机的许多方面，包括挂载文件系统、管理硬件、处理定时器以及启动和管理生产性主机所需的系统服务。
|
||||
|
||||
本系列文章是基于我的三期 Linux 培训课程《[使用和管理 Linux：从零开始进行学习系统管理][2]》部分内容的摘录，探讨了 systemd 在启动和启动完成后的功能。
|
||||
|
||||
### Linux 引导
|
||||
|
||||
Linux 主机从关机状态到运行状态的完整启动过程很复杂，但它是开放的并且是可知的。在详细介绍之前，我将简要介绍一下从主机硬件被上电到系统准备好用户登录的过程。大多数时候，“引导过程”被作为一个整体来讨论，但这是不准确的。实际上，完整的引导和启动过程包含三个主要部分：
|
||||
|
||||
* 硬件引导：初始化系统硬件
|
||||
* Linux <ruby>引导<rt>boot</rt></ruby>：加载 Linux 内核和 systemd
|
||||
* Linux <ruby>启动<rt>startup</rt></ruby>：systemd 为主机的生产性工作做准备
|
||||
|
||||
Linux 启动阶段始于内核加载了 `init` 或 systemd（取决于具体发行版使用的是旧的方式还是还是新的方式）之后。`init` 和 systemd 程序启动并管理所有其它进程，它们在各自的系统上都被称为“所有进程之母”。
|
||||
|
||||
将硬件引导与 Linux 引导及 Linux 启动区分开，并明确定义它们之间的分界点是很重要的。理解它们的差异以及它们每一个在使 Linux 系统进入生产状态所起的作用，才能够管理这些进程，并更好地确定大部分人所谓的“启动”问题出在哪里。
|
||||
|
||||
启动过程按照三步引导流程，使 Linux 计算机进入可进行生产工作的状态。当内核将主机的控制权转移到 systemd 时，启动环节开始。
|
||||
|
||||
### systemd 之争
|
||||
|
||||
systemd 引起了系统管理员和其它负责维护 Linux 系统正常运行人员的广泛争议。在许多 Linux 系统中，systemd 接管了大量任务，这在某些开发者和sysadmins群体中引起了反对和不和谐。
|
||||
|
||||
SystemV 和 systemd 是执行 Linux 启动环节的两种不同的方法。SystemV 启动脚本和 `init` 程序是老的方法，而使用<ruby>目标<rt>target</rt></ruby>的 systemd 是新方法。尽管大多数现代 Linux 发行版都使用较新的 systemd 进行启动、关机和进程管理，但仍有一些发行版未采用。原因之一是某些发行版维护者和系统管理员喜欢老的 SystemV 方法，而不是新的 systemd。
|
||||
|
||||
我认为两者都有其优势。
|
||||
|
||||
#### 为何我更喜欢 SystemV
|
||||
|
||||
我更喜欢 SystemV，因为它更开放。使用 Bash 脚本来完成启动。内核启动 `init` 程序（这是一个编译后的二进制）后，`init` 启动 `rc.sysinit` 脚本，该脚本执行许多系统初始化任务。`rc.sysinit` 执行完后，`init` 启动 `/etc/rc.d/rc` 脚本，该脚本依次启动 `/etc/rc.d/rcX.d` 中由 SystemV 启动脚本定义的各种服务。其中 `X` 是待启动的运行级别号。
|
||||
|
||||
除了 `init` 程序本身之外，所有这些程序都是开放且易于理解的脚本。可以通读这些脚本并确切了解整个启动过程中发生的事情，但是我不认为有太多系统管理员真正做到这一点。每个启动脚本都被编了号，以便按特定顺序启动预期的服务。服务是串行启动的，一次只能启动一个服务。
|
||||
|
||||
systemd 是由 Red Hat 的 Lennart Poettering 和 Kay Sievers 开发的，它是一个由大型的、编译的二进制可执行文件构成的复杂系统，不访问其源码就无法理解。它是开源的，因此“访问其源代码”并不难，只是不太方便。systemd 似乎表现出对 Linux 哲学多个原则的重大驳斥。作为二进制文件，systemd 无法被直接打开供系统管理员查看或进行简单更改。systemd 试图做所有事情，例如管理正在运行的服务，同时提供明显比 SystemV 更多的状态信息。它还管理硬件、进程、进程组、文件系统挂载等。systemd 几乎涉足于现代 Linux 主机的每个方面，使它成为系统管理的一站式工具。所有这些都明显违反了“程序应该小，且每个程序都应该只做一件事并做好”的原则。
|
||||
|
||||
#### 为何我更喜欢 systemd
|
||||
|
||||
我更喜欢用 systemd 作为启动机制，因为它会根据启动阶段并行地启动尽可能多的服务。这样可以加快整个的启动速度，使得主机系统比 SystemV 更快地到达登录屏幕。
|
||||
|
||||
systemd 几乎可以管理正在运行的 Linux 系统的各个方面。它可以管理正在运行的服务，同时提供比SystemV 多得多的状态信息。它还管理硬件、进程和进程组、文件系统挂载等。systemd 几乎涉足于现代 Linux 操作系统的每方面，使其成为系统管理的一站式工具。（听起来熟悉吧？）
|
||||
|
||||
systemd 工具是编译后的二进制文件，但该工具包是开放的，因为所有配置文件都是 ASCII 文本文件。可以通过各种 GUI 和命令行工具来修改启动配置，也可以添加或修改各种配置文件来满足特定的本地计算环境的需求。
|
||||
|
||||
#### 真正的问题
|
||||
|
||||
你认为我不能喜欢两种启动系统吗？我能，我会用它们中的任何一个。
|
||||
|
||||
我认为，SystemV 和 systemd 之间大多数争议的真正问题和根本原因在于，在系统管理层面[没有选择权][3]。使用 SystemV 还是 systemd 已经由各种发行版的开发人员、维护人员和打包人员选择了（但有充分的理由）。由于 `init` 极端的侵入性，挖出并替换 `init` 系统会带来很多影响，会带来很多在发行版设计过程之外难以解决的后果。
|
||||
|
||||
尽管该选择实际上是为我而选的，但我的Linux主机能不能开机、能不能工作，这是我平时最关心的。作为最终用户，甚至是系统管理员，我主要关心的是我是否可以完成我的工作，例如写我的书和这篇文章，安装更新以及编写脚本来自动化所有事情。只要我能做我的工作，我就不会真正在意发行版中使用的启动系统。
|
||||
|
||||
在启动或服务管理出现问题时，我会在意。无论主机上使用哪种启动系统，我都足够了解如何沿着事件顺序来查找故障并进行修复。
|
||||
|
||||
#### 替换SystemV
|
||||
|
||||
以前曾有过用更现代的东西替代 SystemV 的尝试。大约在两个版本中，Fedora 使用了一个叫作 Upstart 的东西来替换老化的 SystemV，但是它没有取代 `init`，也没有提供我所注意到的任何变化。由于 Upstart 并未对 SystemV 的问题进行任何显著的改变，所以在这个方向上的努力很快就被放弃了，转而使用 systemd。
|
||||
|
||||
尽管大部分 Linux 开发人员都认可替换旧的 SystemV 启动系统是个好主意，但许多开发人员和系统管理员并不喜欢 systemd。与其重新讨论人们在 systemd 中遇到的或曾经遇到过的所有所谓的问题，不如带你去看两篇好文章，尽管有些陈旧，但它们涵盖了大多数内容。Linux 内核的创建者 Linus Torvalds 对 systemd 似乎不感兴趣。在 2014 年 ZDNet 的一篇文章《[Linus Torvalds 和其他人对 Linux 上的 systemd 的看法][4]》中，Linus 清楚地表达了他的感受。
|
||||
|
||||
> “实际上我对 systemd 本身没有任何特别强烈的意见。我对一些核心开发人员有一些问题，我认为他们在对待错误和兼容性方面过于轻率，而且我认为某些设计细节是疯狂的（例如，我不喜欢二进制日志），但这只是细节，不是大问题。”
|
||||
|
||||
如果你对 Linus 不太了解的话，我可以告诉你，如果他不喜欢某事，他是非常直言不讳的，很明确，而且相当明确的表示不喜欢。他解决自己对事物不满的方式已经被社会更好地接受了。
|
||||
|
||||
2013 年，Poettering 写了一篇很长的博客，他在文章驳斥了[关于 systemd 的迷思][5]，同时对创建 systemd 的一些原因进行了深入的剖析。这是一分很好的读物，我强烈建议你阅读。
|
||||
|
||||
### systemd 任务
|
||||
|
||||
根据编译过程中使用的选项（不在本系列中介绍），systemd 可以有多达 69 个二进制可执行文件执行以下任务，其中包括：
|
||||
|
||||
* `systemd` 程序以 1 号进程（PID 1）运行，并提供使尽可能多服务并行启动的系统启动能力，它额外加快了总体启动时间。它还管理关机顺序。
|
||||
* `systemctl` 程序提供了服务管理的用户接口。
|
||||
* 支持 SystemV 和 LSB 启动脚本，以便向后兼容。
|
||||
* 服务管理和报告提供了比 SystemV 更多的服务状态数据。
|
||||
* 提供基本的系统配置工具，例如主机名、日期、语言环境、已登录用户的列表，正在运行的容器和虚拟机、系统帐户、运行时目录及设置，用于简易网络配置、网络时间同步、日志转发和名称解析的守护进程。
|
||||
* 提供套接字管理。
|
||||
* systemd 定时器提供类似 cron 的高级功能，包括在相对于系统启动、systemd 启动时间、定时器上次启动时间的某个时间点运行脚本。
|
||||
* 它提供了一个工具来分析定时器规范中使用的日期和时间。
|
||||
* 能感知分层的文件系统挂载和卸载功能可以更安全地级联挂载的文件系统。
|
||||
* 允许主动的创建和管理临时文件，包括删除。
|
||||
* D-Bus 的接口提供了在插入或移除设备时运行脚本的能力。这允许将所有设备（无论是否可插拔）都被视为即插即用，从而大大简化了设备的处理。
|
||||
* 分析启动环节的工具可用于查找耗时最多的服务。
|
||||
* 它包括用于存储系统消息的日志以及管理日志的工具。
|
||||
|
||||
### 架构
|
||||
|
||||
这些以及更多的任务通过许多守护程序、控制程序和配置文件来支持。图 1 显示了许多属于 systemd 的组件。这是一个简化的图，旨在提供概要描述，因此它并不包括所有独立的程序或文件。它也不提供数据流的视角，数据流是如此复杂，因此在本系列文章的背景下没用。
|
||||
|
||||
![系统架构][6]
|
||||
|
||||
*图 1：systemd 的架构，作者 Shmuel Csaba Otto Traian (CC BY-SA 3.0)*
|
||||
|
||||
如果要完整地讲解 systemd 就需要一本书。你不需要了解图 1 中的 systemd 组件是如何组合在一起的细节。只需了解支持各种 Linux 服务管理以及日志文件和日志处理的程序和组件就够了。但是很明显， systemd 并不是某些批评者所宣称的那样，它是一个单一的怪物。
|
||||
|
||||
### 作为 1 号进程的 systemd
|
||||
|
||||
systemd 是 1 号进程（PID 1）。它的一些功能，比老的 SystemV3 `init` 要广泛得多，用于管理正在运行的 Linux 主机的许多方面，包括挂载文件系统以及启动和管理 Linux 生产主机所需的系统服务。与启动环节无关的任何 systemd 任务都不在本文讨论范围之内（但本系列后面的一些文章将探讨其中的一些任务）。
|
||||
|
||||
首先，systemd 挂载 `/etc/fstab` 所定义的文件系统，包括所有交换文件或分区。此时，它可以访问位于 `/etc` 中的配置文件，包括它自己的配置文件。它使用其配置链接 `/etc/systemd/system/default.target` 来确定将主机引导至哪个状态或目标。`default.target` 文件是指向真实目标文件的符号链接。对于桌面工作站，通常是 `graphical.target`，它相当于 SystemV 中的运行级别 5。对于服务器，默认值更可能是 `multi-user.target`，相当于 SystemV 中的运行级别 3。`emergency.target` 类似于单用户模式。<ruby>目标<rt>target</rt></ruby>和<ruby>服务<rt>service</rt></ruby>是 systemd 的<ruby>单元<rt>unit</rt></ruby>。
|
||||
|
||||
下表（图 2）将 systemd 目标与老的 SystemV 启动运行级别进行了比较。systemd 提供 systemd 目标别名以便向后兼容。目标别名允许脚本（以及许多系统管理员）使用 SystemV 命令（如 `init 3`）更改运行级别。当然，SystemV 命令被转发给 systemd 进行解释和执行。
|
||||
|
||||
systemd 目标 | SystemV 运行级别 | 目标别名 | 描述
|
||||
--- | --- | --- | ---
|
||||
`default.target` | | | 此目标总是通过符号连接的方式成为 `multi-user.target` 或 `graphical.target` 的别名。systemd 始终使用 `default.target` 来启动系统。`default.target` 绝不应该设为 `halt.target`，`poweroff.target` 或 `reboot.target` 的别名。
|
||||
`graphic.target` | 5 | `runlevel5.target` |带有 GUI 的 `multi-user.target`。
|
||||
| 4 | `runlevel4.target` |未用。在 SystemV 中运行级别 4 与运行级别 3 相同。可以创建并自定义此目标以启动本地服务，而无需更改默认的 `multi-user.target`。
|
||||
`multi-user.target` | 3 | `runlevel3.target` |所有服务在运行，但仅有命令行界面（CLI）。
|
||||
| 2 | `runlevel2.target` | 多用户，没有 NFS，其它所有非 GUI 服务在运行。
|
||||
`rescue.target` | 1 | `runlevel1.target` | 基本系统，包括挂载文件系统，运行最基本的服务和主控制台的恢复 shell。
|
||||
`emergency.target` | S | |单用户模式：没有服务运行；不挂载文件系统。这是最基本的工作级别，只有主控制台上运行的一个紧急 Shell 供用户与系统交互。
|
||||
`halt.target` | | | 停止系统而不关闭电源。
|
||||
`reboot.target` | 6 | `runlevel6.target` | 重启。
|
||||
`poweroff.target` | 0 | `runlevel0.target` | 停止系统并关闭电源。
|
||||
|
||||
*图 2：SystemV 运行级别与 systemd 目标和一些目标别名的比较*
|
||||
|
||||
每个目标在其配置文件中都描述了一个依赖集。systemd 启动必须的依赖项，这些依赖项是运行 Linux 主机到特定功能级别所需的服务。当目标配置文件中列出的所有依赖项被加载并运行后，系统就在该目标级别运行了。在图 2 中，功能最多的目标位于表的顶部，从顶向下，功能逐步递减。
|
||||
|
||||
systemd 还会检查老的 SystemV `init` 目录，以确认是否存在任何启动文件。如果有，systemd 会将它们作为配置文件以启动它们描述的服务。网络服务是一个很好的例子，在 Fedora 中它仍然使用 SystemV 启动文件。
|
||||
|
||||
图 3（如下）是直接从启动手册页复制来的。它显示了 systemd 启动期间一般的事件环节以及确保成功启动的基本顺序要求。
|
||||
|
||||
```
|
||||
cryptsetup-pre.target
|
||||
|
|
||||
(various low-level v
|
||||
API VFS mounts: (various cryptsetup devices...)
|
||||
mqueue, configfs, | |
|
||||
debugfs, ...) v |
|
||||
| cryptsetup.target |
|
||||
| (various swap | | remote-fs-pre.target
|
||||
| devices...) | | | |
|
||||
| | | | | v
|
||||
| v local-fs-pre.target | | | (network file systems)
|
||||
| swap.target | | v v |
|
||||
| | v | remote-cryptsetup.target |
|
||||
| | (various low-level (various mounts and | | |
|
||||
| | services: udevd, fsck services...) | | remote-fs.target
|
||||
| | tmpfiles, random | | | /
|
||||
| | seed, sysctl, ...) v | | /
|
||||
| | | local-fs.target | | /
|
||||
| | | | | | /
|
||||
\____|______|_______________ ______|___________/ | /
|
||||
\ / | /
|
||||
v | /
|
||||
sysinit.target | /
|
||||
| | /
|
||||
______________________/|\_____________________ | /
|
||||
/ | | | \ | /
|
||||
| | | | | | /
|
||||
v v | v | | /
|
||||
(various (various | (various | |/
|
||||
timers...) paths...) | sockets...) | |
|
||||
| | | | | |
|
||||
v v | v | |
|
||||
timers.target paths.target | sockets.target | |
|
||||
| | | | v |
|
||||
v \_______ | _____/ rescue.service |
|
||||
\|/ | |
|
||||
v v |
|
||||
basic.target rescue.target |
|
||||
| |
|
||||
________v____________________ |
|
||||
/ | \ |
|
||||
| | | |
|
||||
v v v |
|
||||
display- (various system (various system |
|
||||
manager.service services services) |
|
||||
| required for | |
|
||||
| graphical UIs) v v
|
||||
| | multi-user.target
|
||||
emergency.service | | |
|
||||
| \_____________ | _____________/
|
||||
v \|/
|
||||
emergency.target v
|
||||
graphical.target
|
||||
```
|
||||
|
||||
*图 3: systemd 启动图*
|
||||
|
||||
`sysinit.target` 和 `basic.target` 目标可以看作启动过程中的检查点。尽管 systemd 的设计目标之一是并行启动系统服务，但是某些服务和功能目标必须先启动，然后才能启动其它服务和目标。直到该检查点所需的所有服务和目标被满足后才能通过这些检查点。
|
||||
|
||||
当 `sysinit.target` 所依赖的所有单元都完成时，就会到达 `sysinit.target`。所有这些单元，包括挂载文件系统、设置交换文件、启动 Udev、设置随机数生成器种子、启动低层服务以及配置安全服务（如果一个或多个文件系统是加密的）都必须被完成，但在 `sysinit.target` 中，这些任务可以并行执行。
|
||||
|
||||
`sysinit.target` 启动了系统接近正常运行所需的所有低层服务和单元，它们也是进入 `basic.target` 所需的。
|
||||
|
||||
在完成 `sysinit.target` 之后，systemd 会启动实现下一个目标所需的所有单元。`basic.target` 通过启动所有下一目标所需的单元来提供一些额外功能。包括设置为各种可执行程序目录的路径、设置通信套接字和计时器之类。
|
||||
|
||||
最后，用户级目标 `multi-user.target` 或 `graphical.target` 被初始化。要满足 `graphical.target` 的依赖必须先达到 `multi-user.target`。图 3 中带下划线的目标是通常的启动目标。当达到这些目标之一时，启动就完成了。如果 `multi-user.target` 是默认设置，那么你应该在控制台上看到文本模式的登录界面。如果 `graphical.target` 是默认设置，那么你应该看到图形的登录界面。你看到的具体的 GUI 登录界面取决于你的默认显示管理器。
|
||||
|
||||
引导手册页还描述并提供了引导到初始化 RAM 磁盘和 systemd 关机过程的图。
|
||||
|
||||
systemd 还提供了一个工具，该工具列出了完整的启动过程或指定单元的依赖项。单元是一个可控的 systemd 资源实体，其范围可以从特定服务（例如 httpd 或 sshd）到计时器、挂载、套接字等。尝试以下命令并滚动查看结果。
|
||||
|
||||
```
|
||||
systemctl list-dependencies graphical.target
|
||||
```
|
||||
|
||||
注意，这会完全展开使系统进入 `graphical.target` 运行模式所需的顶层目标单元列表。也可以使用 `--all` 选项来展开所有其它单元。
|
||||
|
||||
```
|
||||
systemctl list-dependencies --all graphical.target
|
||||
```
|
||||
|
||||
你可以使用 `less` 命令来搜索诸如 `target`、`slice` 和 `socket` 之类的字符串。
|
||||
|
||||
现在尝试下面的方法。
|
||||
|
||||
```
|
||||
systemctl list-dependencies multi-user.target
|
||||
```
|
||||
|
||||
和
|
||||
|
||||
```
|
||||
systemctl list-dependencies rescue.target
|
||||
```
|
||||
|
||||
和
|
||||
|
||||
```
|
||||
systemctl list-dependencies local-fs.target
|
||||
```
|
||||
|
||||
和
|
||||
|
||||
```
|
||||
systemctl list-dependencies dbus.service
|
||||
```
|
||||
|
||||
这个工具帮助我可视化我正用的主机的启动依赖细节。继续花一些时间探索一个或多个 Linux 主机的启动树。但是要小心，因为 systemctl 手册页包含以下注释：
|
||||
|
||||
> “请注意，此命令仅列出当前被服务管理器加载到内存的单元。尤其是，此命令根本不适合用于获取特定单元的全部反向依赖关系列表，因为它不会列出被单元声明了但是未加载的依赖项。”
|
||||
|
||||
### 结尾语
|
||||
|
||||
即使在没有深入研究 systemd 之前，很明显能看出它既强大又复杂。显然，systemd 不是单一、庞大、独体且不可知的二进制文件。相反，它是由许多较小的组件和旨在执行特定任务的子命令组成。
|
||||
|
||||
本系列的下一篇文章将更详细地探讨 systemd 的启动，以及 systemd 的配置文件，更改默认的目标以及如何创建简单服务单元。
|
||||
|
||||
### 资源
|
||||
|
||||
互联网上有大量关于 systemd 的信息，但是很多都很简短、晦涩甚至是带有误导。除了本文提到的资源外，以下网页还提供了有关 systemd 启动的更详细和可靠的信息。
|
||||
|
||||
* Fedora 项目有一个很好的实用的 [systemd 指南][7]。它有你需要知道的通过 systemd 来配置、管理和维护 Fedora 主机所需的几乎所有知识。
|
||||
* Fedora 项目还有一个不错的[速记表][8]，将老的 SystemV 命令与对比的 systemd 命令相互关联。
|
||||
* 有关 systemd 的详细技术信息及创建它的原因，请查看 [Freedesktop.org][9] 对 [systemd 描述][10]。
|
||||
* [Linux.com][11] 的“systemd 的更多乐趣”提供了更高级的 systemd [信息和技巧][12]。
|
||||
|
||||
还有针对 Linux 系统管理员的一系列技术性很强的文章，作者是 systemd 的设计师和主要开发者 Lennart Poettering。这些文章是在 2010 年 4 月至 2011 年 9 月之间撰写的，但它们现在和那时一样有用。关于 systemd 及其生态的其它许多好文都基于这些论文。
|
||||
|
||||
* [重新思考 1 号进程][13]
|
||||
* [systemd 系统管理员篇 I][14]
|
||||
* [systemd 系统管理员篇 II][15]
|
||||
* [systemd 系统管理员篇 III][16]
|
||||
* [systemd 系统管理员篇 IV][17]
|
||||
* [systemd 系统管理员篇 V][18]
|
||||
* [systemd 系统管理员篇 VI][19]
|
||||
* [systemd 系统管理员篇 VII][20]
|
||||
* [systemd 系统管理员篇 VIII][21]
|
||||
* [systemd 系统管理员篇 IX][22]
|
||||
* [systemd 系统管理员篇 X][23]
|
||||
* [systemd 系统管理员篇 XI][24]
|
||||
|
||||
--------------------------------------------------------------------------------
|
||||
|
||||
via: https://opensource.com/article/20/4/systemd
|
||||
|
||||
作者：[David Both][a]
|
||||
选题：[lujun9972][b]
|
||||
译者：[messon007](https://github.com/messon007)
|
||||
校对：[wxy](https://github.com/wxy)
|
||||
|
||||
本文由 [LCTT](https://github.com/LCTT/TranslateProject) 原创编译，[Linux中国](https://linux.cn/) 荣誉推出
|
||||
|
||||
[a]: https://opensource.com/users/dboth
|
||||
[b]: https://github.com/lujun9972
|
||||
[1]: https://opensource.com/sites/default/files/styles/image-full-size/public/lead-images/car-penguin-drive-linux-yellow.png?itok=twWGlYAc (Penguin driving a car with a yellow background)
|
||||
[2]: http://www.both.org/?page_id=1183
|
||||
[3]: http://www.osnews.com/story/28026/Editorial_Thoughts_on_Systemd_and_the_Freedom_to_Choose
|
||||
[4]: https://www.zdnet.com/article/linus-torvalds-and-others-on-linuxs-systemd/
|
||||
[5]: http://0pointer.de/blog/projects/the-biggest-myths.html
|
||||
[6]: https://opensource.com/sites/default/files/uploads/systemd-architecture.png (systemd architecture)
|
||||
[7]: https://docs.fedoraproject.org/en-US/quick-docs/understanding-and-administering-systemd/index.html
|
||||
[8]: https://fedoraproject.org/wiki/SysVinit_to_Systemd_Cheatsheet
|
||||
[9]: http://Freedesktop.org
|
||||
[10]: http://www.freedesktop.org/wiki/Software/systemd
|
||||
[11]: http://Linux.com
|
||||
[12]: https://www.linux.com/training-tutorials/more-systemd-fun-blame-game-and-stopping-services-prejudice/
|
||||
[13]: http://0pointer.de/blog/projects/systemd.html
|
||||
[14]: http://0pointer.de/blog/projects/systemd-for-admins-1.html
|
||||
[15]: http://0pointer.de/blog/projects/systemd-for-admins-2.html
|
||||
[16]: http://0pointer.de/blog/projects/systemd-for-admins-3.html
|
||||
[17]: http://0pointer.de/blog/projects/systemd-for-admins-4.html
|
||||
[18]: http://0pointer.de/blog/projects/three-levels-of-off.html
|
||||
[19]: http://0pointer.de/blog/projects/changing-roots
|
||||
[20]: http://0pointer.de/blog/projects/blame-game.html
|
||||
[21]: http://0pointer.de/blog/projects/the-new-configuration-files.html
|
||||
[22]: http://0pointer.de/blog/projects/on-etc-sysinit.html
|
||||
[23]: http://0pointer.de/blog/projects/instances.html
|
||||
[24]: http://0pointer.de/blog/projects/inetd.html
|
||||
@ -62,7 +62,7 @@ $ ls -l bigfile bigfile.zip
|
||||
|
||||
### gzip
|
||||
|
||||
`gzip` 命令非常容易使用。你只需要键入 `gzip`，紧随其后的是你想要压缩的文件名称。不像上述描述的命令，`gzip` 将“就地”加密文件。换句话说，原始文件将被加密文件替换。
|
||||
`gzip` 命令非常容易使用。你只需要键入 `gzip`，紧随其后的是你想要压缩的文件名称。不像上述描述的命令，`gzip` 将“就地”“加密”文件。换句话说，原始文件将被“加密”文件替换。
|
||||
|
||||
```
|
||||
$ gzip bigfile
|
||||
@ -120,7 +120,7 @@ $ ls -l bigfile*
|
||||
|
||||
#### 运行时间
|
||||
|
||||
`xz` 命令似乎比其它命令需要花费更多的时间来加密文件。对于 `bigfile` 来说，大概的时间是：
|
||||
`xz` 命令似乎比其它命令需要花费更多的时间来“加密”文件。对于 `bigfile` 来说，大概的时间是：
|
||||
|
||||
```
|
||||
命令 运行时间
|
||||
|
||||
@ -1,210 +0,0 @@
|
||||
[#]: collector: (lujun9972)
|
||||
[#]: translator: (Acceleratorrrr)
|
||||
[#]: reviewer: ( )
|
||||
[#]: publisher: ( )
|
||||
[#]: url: ( )
|
||||
[#]: subject: (How to secure your Linux email services with SSL/TLS)
|
||||
[#]: via: (https://opensource.com/article/20/4/securing-linux-email)
|
||||
[#]: author: (Marc Skinner https://opensource.com/users/marc-skinner)
|
||||
|
||||
|
||||
How to secure your Linux email services with SSL/TLS
|
||||
======
|
||||
Protect your Linux email services by understanding security
|
||||
certificates.
|
||||
![email or newsletters via inbox and browser][1]
|
||||
|
||||
Traditionally, email services send data in an unprotected way—whether you are sending emails via SMTP or receiving them via IMAP or POP, the defaults are in cleartext. With more online applications enforcing encryption and the general consensus to protect your data, it's best to secure your email services with a Secure Sockets Layer/Transport Layer Security (SSL/TLS) security certificate.
|
||||
|
||||
First, a quick review of email services and protocols. Email is sent via a service called Simple Mail Transport Protocol (SMTP) using TCP port 25. This protocol sends emails from server to server based on DNS mail exchanger (MX) record lookups. Once an email is on the email server, it is retrieved using one of two services: Internet Message Access Protocol (IMAP) using port TCP 143, or Post Office Protocol (POP3) using port TCP 110. All of these services, by default, send your email and authentication to/from these services in plain text—thus, it's very unprotected!
|
||||
|
||||
To protect the email data and authentication, these services have added a security feature in which they can utilize an SSL/TLS certificate to wrap the data flow and communication with encryption. How SSL/TLS encryption secures information is beyond the scope of this article, but [Bryant Son's internet security article][2] covers it in great detail. At a high level, SSL/TLS encryption is a public/private encryption algorithm.
|
||||
|
||||
By adding these security features into the services, they can listen on new TCP ports:
|
||||
|
||||
Service | Default TCP Port | SSL/TLS Port
|
||||
---|---|---
|
||||
SMTP | 25 | 587
|
||||
IMAP | 143 | 993
|
||||
POP3 | 110 | 995
|
||||
|
||||
### Generate SSL/TLS certificates
|
||||
|
||||
SSL/TLS certificates can be generated for free using tools like [OpenSSL][3], or they can be purchased for a range of prices from public certificate authorities (CAs). In the past, generating your own certificate was easy and worked in most cases, but with the increasing demand for better security, most email clients don't trust self-generated SSL/TLS certificates without a manual exception.
|
||||
|
||||
If your use case is private or for testing, then saving money with a self-generated certificate makes sense. But if you're rolling this out to a large group or have paying customers, then you're better served by purchasing a certificate from a public, trusted company that sells them.
|
||||
|
||||
In either case, the process to start requesting a new certificate is to use the OpenSSL tooling on your Linux system to create a certificate signing request (CSR):
|
||||
|
||||
|
||||
```
|
||||
`$ openssl req -new -newkey rsa:2048 -nodes -keyout mail.mydomain.key -out mail.mydomain.csr`
|
||||
```
|
||||
|
||||
This command will create a new CSR and private key at the same time for the service you are trying to secure. The process will ask you a number of questions associated with the certificate: location details, server fully qualified domain name (FQDN), email contact information, etc. Once you have filled out the information, the key and CSR will be generated.
|
||||
|
||||
#### If you generate your own certificate
|
||||
|
||||
If you want to generate your own certificate, you must create your own [root CA][4] before issuing the CSR command above. You can create your own root CA with:
|
||||
|
||||
|
||||
```
|
||||
`$ openssl genrsa -des3 -out myCA.key 2048`
|
||||
```
|
||||
|
||||
It will prompt you to add a passphrase. Please give it a secure passphrase and don't lose it—this is your private root CA key, and as the name states, it's the root of all trust in your certificates.
|
||||
|
||||
Next, generate the root CA certificate:
|
||||
|
||||
|
||||
```
|
||||
`$ openssl req -x509 -new -nodes -key myCA.key -sha256 -days 1825 -out myCA.pem`
|
||||
```
|
||||
|
||||
After answering a few more questions, you will generate a root CA certificate with a five-year lifespan.
|
||||
|
||||
Using the CSR file from the steps above, you can request a new certificate to be generated and signed by the root CA you just created:
|
||||
|
||||
|
||||
```
|
||||
`$ openssl x509 -req -in mail.mydomain.csr -CA myCA.pem -CAkey myCA.key -CAcreateserial -out mail.mydomain.pem -days 1825 -sha256`
|
||||
```
|
||||
|
||||
Enter your private root CA key passphrase to create and sign the certificate.
|
||||
|
||||
Now you have the two files needed to configure your email services for enhanced security: the private key file, **mail.mydomain.key**, and the public certificate file, **mail.mydomain.pem**.
|
||||
|
||||
#### If you purchase a certificate
|
||||
|
||||
If you purchase a certificate from a vendor, it will ask you to upload that CSR to its system, as it is used as the input to generate the SSL/TLS certificate. The certificate will be accessible as a file (such as **mail.mydomain.pem**). Many SSL vendors also require you to download an intermediate certificate. If this is the case, you must combine the two certificate files into one, so the email service can process them both in combination. You can combine your certificate with a third-party intermediate certificate with:
|
||||
|
||||
|
||||
```
|
||||
`$ cat mail.mydomain.pem gd_bundle-g2-g1.crt > mail.mydomain.pem`
|
||||
```
|
||||
|
||||
Notice that the output's file extension is **.pem**, which stands for Privacy-Enhanced Mail.
|
||||
|
||||
Now you have the two files you need to configure your email services for enhanced security: the private key file, **mail.mydomain.key**, and the public combined certificate file, **mail.mydomain.pem**.
|
||||
|
||||
### Create a safe directory for your files
|
||||
|
||||
Whether you created your own key or bought one from a vendor, create a safe, root-owned directory for the two files you created above. An example workflow to create a safe play would be:
|
||||
|
||||
|
||||
```
|
||||
$ mkdir /etc/pki/tls
|
||||
$ chown root:root /etc/pki/tls
|
||||
$ chmod 700 /etc/pki/tls
|
||||
```
|
||||
|
||||
Make sure to set the permissions on your files after you copy them into **/etc/pki/tls** with:
|
||||
|
||||
|
||||
```
|
||||
`$ chmod 600 /etc/pki/tls/*`
|
||||
```
|
||||
|
||||
### Configure your SMTP and IMAP services
|
||||
|
||||
Next, configure both the SMTP and the IMAP services to use the new security certificates. The programs used in this example for SMTP and IMAP are **postfix** and **dovecot**.
|
||||
|
||||
Edit ***/_****etc****_/*****postfix/main.cf** in your preferred text editor. Add the following lines:
|
||||
|
||||
|
||||
```
|
||||
smtpd_use_tls = yes
|
||||
smtpd_tls_cert_file = /etc/pki/tls/mail.mydomain.pem
|
||||
smtpd_tls_key_file = /etc/pki/tls/mail.mydomain.key
|
||||
```
|
||||
|
||||
### Customize your config
|
||||
|
||||
The following options allow you to disable/enable different ciphers, protocols, etc.:
|
||||
|
||||
|
||||
```
|
||||
smtpd_tls_eecdh_grade = strong
|
||||
smtpd_tls_protocols= !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
|
||||
smtpd_tls_mandatory_protocols= !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
|
||||
smtpd_tls_mandatory_ciphers = high
|
||||
smtpd_tls_security_level=may
|
||||
smtpd_tls_ciphers = high
|
||||
tls_preempt_cipherlist = yes
|
||||
smtpd_tls_mandatory_exclude_ciphers = aNULL, MD5 , DES, ADH, RC4, PSD, SRP, 3DES, eNULL
|
||||
smtpd_tls_exclude_ciphers = aNULL, MD5 , DES, ADH, RC4, PSD, SRP, 3DES, eNULL
|
||||
smtp_tls_mandatory_protocols = !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
|
||||
smtp_tls_protocols = !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
|
||||
```
|
||||
|
||||
Edit **/etc/dovecot/dovecot.conf** by adding these three lines:
|
||||
|
||||
|
||||
```
|
||||
ssl = required
|
||||
ssl_cert = </etc/pki/tls/mail.mydomain.pem
|
||||
ssl_key = </etc/pki/tls/mail.mydomain.key
|
||||
```
|
||||
|
||||
Add the following options to disable/enable different ciphers, protocols, and more (I'll leave understanding and considering these up to you):
|
||||
|
||||
|
||||
```
|
||||
ssl_cipher_list = EECDH+ECDSA+AESGCM:EECDH+aRSA+AESGCM:EECDH+ECDSA+SHA384:EECDH+ECDSA+SHA256:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH+aRSA+RC4:EECDH:EDH+aRSA:ALL:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS:!RC4:!SSLv2
|
||||
ssl_prefer_server_ciphers = yes
|
||||
ssl_protocols = !SSLv2 !SSLv3 !TLSv1 !TLSv1.1
|
||||
ssl_min_protocol = TLSv1.2
|
||||
```
|
||||
|
||||
### Set context for SELinux
|
||||
|
||||
If your Linux distribution has SELinux enabled, set the correct SELinux context for your new certificate files.
|
||||
|
||||
For Postfix SELinux:
|
||||
|
||||
|
||||
```
|
||||
`$ chcon -u system_u -t cert_t mail.mydomain.*`
|
||||
```
|
||||
|
||||
For Dovecot SELinux:
|
||||
|
||||
|
||||
```
|
||||
`$ chcon -u system_u -t dovecot_cert_t mail.mydomain.*`
|
||||
```
|
||||
|
||||
Restart both services and connect with your updated email client configurations. Some email clients will auto-detect the new port numbers; others will require you to update them.
|
||||
|
||||
### Test your setup
|
||||
|
||||
Quickly test from the command line with **openssl** and the **s_client** plugin:
|
||||
|
||||
|
||||
```
|
||||
$ openssl s_client -connect mail.mydomain.com:993
|
||||
$ openssl s_client -starttls imap -connect mail.mydomain.com:143
|
||||
$ openssl s_client -starttls smtp -connect mail.mydomain.com:587
|
||||
```
|
||||
|
||||
These test commands will show a plethora of data about the connection, certificate, cipher, session, and protocol you're using. This is not only a good way to validate that the new configuration is working but also to confirm you're using the appropriate certificate and security settings you defined in the **postfix** or **dovecot** configuration files.
|
||||
|
||||
Stay secure!
|
||||
|
||||
--------------------------------------------------------------------------------
|
||||
|
||||
via: https://opensource.com/article/20/4/securing-linux-email
|
||||
|
||||
作者：[Marc Skinner][a]
|
||||
选题：[lujun9972][b]
|
||||
译者：[译者ID](https://github.com/译者ID)
|
||||
校对：[校对者ID](https://github.com/校对者ID)
|
||||
|
||||
本文由 [LCTT](https://github.com/LCTT/TranslateProject) 原创编译，[Linux中国](https://linux.cn/) 荣誉推出
|
||||
|
||||
[a]: https://opensource.com/users/marc-skinner
|
||||
[b]: https://github.com/lujun9972
|
||||
[1]: https://opensource.com/sites/default/files/styles/image-full-size/public/lead-images/newsletter_email_mail_web_browser.jpg?itok=Lo91H9UH (email or newsletters via inbox and browser)
|
||||
[2]: https://opensource.com/article/19/11/internet-security-tls-ssl-certificate-authority
|
||||
[3]: https://www.openssl.org/
|
||||
[4]: https://en.wikipedia.org/wiki/Root_certificate
|
||||
@ -1,5 +1,5 @@
|
||||
[#]: collector: (lujun9972)
|
||||
[#]: translator: ( )
|
||||
[#]: translator: (geekpi)
|
||||
[#]: reviewer: ( )
|
||||
[#]: publisher: ( )
|
||||
[#]: url: ( )
|
||||
|
||||
@ -1,70 +0,0 @@
|
||||
[#]: collector: (lujun9972)
|
||||
[#]: translator: (geekpi)
|
||||
[#]: reviewer: ( )
|
||||
[#]: publisher: ( )
|
||||
[#]: url: ( )
|
||||
[#]: subject: (Getting started with FreeBSD as a desktop operating system)
|
||||
[#]: via: (https://opensource.com/article/20/5/furybsd-linux)
|
||||
[#]: author: (Joshua Allen Holm https://opensource.com/users/holmja)
|
||||
|
||||
Getting started with FreeBSD as a desktop operating system
|
||||
======
|
||||
FuryBSD's live desktop environment lets you try it before committing to
|
||||
it.
|
||||
![web development and design, desktop and browser][1]
|
||||
|
||||
[FreeBSD][2] is a great operating system, but, by design, it does not come with a desktop environment. Without installing additional software from FreeBSD's [ports and packages collection][3], FreeBSD is a command-line only experience. The screenshot below shows what logging into FreeBSD 12.1 looks like when every one of the "optional system components" is selected during installation.
|
||||
|
||||
![FreeBSD][4]
|
||||
|
||||
FreeBSD can be turned into a desktop operating system with any of a wide selection of desktop environments, but it takes time, effort, and [following a lot of written instructions][5]. Using the **desktop-installer** package, which provides the user with options in a text-based menu and helps automate much of the process, is still time-consuming. The biggest problem with either of these methods is that users might find out that their system is not fully compatible with FreeBSD after they have taken all the time to set things up.
|
||||
|
||||
[FuryBSD][6] solves that problem by providing a live desktop image that users can evaluate before installing. Currently, FuryBSD provides an Xfce image and a KDE image. Each of these images provides an installation of FreeBSD that has a desktop environment pre-installed. If users try out the image and find that their hardware works, they can install FuryBSD and have a ready-to-go desktop operating system powered by FreeBSD. For the purposes of this article, I will be using the Xfce image, but the KDE image works the exact same way.
|
||||
|
||||
Getting started with FuryBSD should be a familiar process to anyone who has installed a Linux distribution, any of the BSDs, or any other Unix-like open source operating system. Download the ISO from the FuryBSD website, copy it to a flash drive, and boot a computer from the flash drive. If booting from the flash drive fails, make sure Secure Boot is disabled.
|
||||
|
||||
![FuryBSD Live XFCE Desktop][7]
|
||||
|
||||
After booting from the flash drive, the desktop environment loads automatically. In addition to the Home, File System, and Trash icons, the live desktop has icons for a tool to configure Xorg, getting started instructions, the FuryBSD installer, and a system information utility. Other than these extras and some custom Xfce settings and wallpaper, the desktop environment does not come with much beyond the basic Xfce applications and Firefox.
|
||||
|
||||
![FuryBSD Xorg Tool][8]
|
||||
|
||||
Only basic graphics drivers are loaded at this point, but it is enough to check to see if the system's wired and wireless network interfaces are supported by FuryBSD. If none of the network interfaces is working automatically, the **Getting Started.txt** file contains instructions for attempting to configure network interfaces and other configuration tasks. If at least one of the network interfaces works, the **Configure Xorg** application can be used to install Intel, NVidia, or VirtualBox graphics drivers. The drivers will be downloaded and installed, and Xorg will need to be restarted. If the system does not automatically re-login to the live image user, the password is **furybsd**. Once they are configured, the graphics drivers will carry over to an installed system.
|
||||
|
||||
![FuryBSD Installer - ZFS Configuration][9]
|
||||
|
||||
If everything works well in the live environment, the FuryBSD installer can configure and install FuryBSD onto the computer. This installer runs in a terminal, but it provides the same options found in most other BSD and Linux installers. The user will be asked to set the system's hostname, configure ZFS storage, set the root password, add at least one non-root user, and configure the time and date settings. Once the process is complete, the system can be rebooted into a pre-configured FreeBSD with an Xfce (or KDE) desktop. FuryBSD did all the hard work and even took the extra effort to make the desktop look nice.
|
||||
|
||||
![FuryBSD Post-Install XFCE Desktop][10]
|
||||
|
||||
As noted above, the desktop environment does not come with a lot of pre-installed software, so installing additional packages is almost certainly necessary. The quickest way to do this is by using the **pkg** command in the terminal. This command behaves much like **dnf** and **apt**, so users coming from a Linux distribution that uses one of those should feel right at home when it comes to finding and installing packages. FreeBSD's package collection is large, so most of the big-name open source software packages are available.
|
||||
|
||||
Users trying out FuryBSD without having much FreeBSD experience should consult the [FreeBSD Handbook][11] to learn more about how to do things the FreeBSD way. Users with experience using any Linux distribution or one of the other BSDs should be able to figure out a lot of things, but there are differences that the handbook can help clarify. Another great resource for learning more about the FreeBSD way of doing things is _[Absolute FreeBSD, 3rd Edition][12],_ by Michael W. Lucas.
|
||||
|
||||
A brief overview of PC-BSD and thoughts about the distribution.
|
||||
|
||||
--------------------------------------------------------------------------------
|
||||
|
||||
via: https://opensource.com/article/20/5/furybsd-linux
|
||||
|
||||
作者：[Joshua Allen Holm][a]
|
||||
选题：[lujun9972][b]
|
||||
译者：[译者ID](https://github.com/译者ID)
|
||||
校对：[校对者ID](https://github.com/校对者ID)
|
||||
|
||||
本文由 [LCTT](https://github.com/LCTT/TranslateProject) 原创编译，[Linux中国](https://linux.cn/) 荣誉推出
|
||||
|
||||
[a]: https://opensource.com/users/holmja
|
||||
[b]: https://github.com/lujun9972
|
||||
[1]: https://opensource.com/sites/default/files/styles/image-full-size/public/lead-images/web_browser_desktop_devlopment_design_system_computer.jpg?itok=pfqRrJgh (web development and design, desktop and browser)
|
||||
[2]: https://www.freebsd.org
|
||||
[3]: https://www.freebsd.org/ports/
|
||||
[4]: https://opensource.com/sites/default/files/uploads/freebsd.png (FreeBSD)
|
||||
[5]: https://www.freebsdfoundation.org/freebsd/how-to-guides/installing-a-desktop-environment-on-freebsd/
|
||||
[6]: https://www.furybsd.org
|
||||
[7]: https://opensource.com/sites/default/files/uploads/furybsd_live_xfce_desktop.png (FuryBSD Live XFCE Desktop)
|
||||
[8]: https://opensource.com/sites/default/files/uploads/furybsd_xorg_tool.png (FuryBSD Xorg Tool)
|
||||
[9]: https://opensource.com/sites/default/files/uploads/furybsd_installer_-_zfs_configuration.png (FuryBSD Installer - ZFS Configuration)
|
||||
[10]: https://opensource.com/sites/default/files/uploads/furybsd_post-install_xfce_desktop.png (FuryBSD Post-Install XFCE Desktop)
|
||||
[11]: https://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/
|
||||
[12]: https://nostarch.com/absfreebsd3
|
||||
@ -1,325 +0,0 @@
|
||||
[#]: collector: (lujun9972)
|
||||
[#]: translator: (messon007)
|
||||
[#]: reviewer: ( )
|
||||
[#]: publisher: ( )
|
||||
[#]: url: ( )
|
||||
[#]: subject: (Learning to love systemd)
|
||||
[#]: via: (https://opensource.com/article/20/4/systemd)
|
||||
[#]: author: (David Both https://opensource.com/users/dboth)
|
||||
|
||||
学会爱上systemd
|
||||
======
|
||||
|
||||
systemd是所有进程的源头，负责将Linux主机启动到可以做生产性任务的状态。
|
||||
![Penguin driving a car with a yellow background][1]
|
||||
|
||||
systemd(是的，全小写，即使在句子开头也是小写)，是init和SystemV init脚本的现代替代者。它还有更多功能。
|
||||
|
||||
当我想到init和SystemV时，像大多数系统管理员一样，我想到的是Linux的启动和关闭，而没有太多其他的，例如在服务启动和运行后对其进行管理。像init一样，systemd是所有进程的源头，它负责使Linux主机启动到可以做生产性任务的状态。 systemd设定的一些功能比老的init要广泛得多，它要管理正在运行的Linux主机的许多方面，包括挂载文件系统，管理硬件，处理定时器以及启动和管理生产性主机所需的系统服务。
|
||||
|
||||
本系列文章是基于我的部分三期Linux培训课程[_使用和管理Linux：从零开始进行学习系统管理_][2]的摘录，探讨了systemd在启动和启动完成后的功能。
|
||||
|
||||
### Linux启动
|
||||
|
||||
Linux主机从关机状态到运行状态的完整启动过程很复杂，但它是开放的并且是可知的。在详细介绍之前，我将简要介绍一下从主机硬件被上电到系统准备好用户登录(的过程)。大多数时候，“启动过程”被作为单个概念来讨论，但这是不准确的。实际上，完整的引导和启动过程包含三个主要部分：
|
||||
|
||||
* **硬件引导:** 初始化系统硬件
|
||||
* **Linux引导:** 加载Linux内核和systemd
|
||||
* **Linux启动:** systemd启动, 为生产工作做准备
|
||||
|
||||
|
||||
Linux启动阶段在内核加载了init或systemd(取决于具体发行版使用的是旧的方式还是还是新的方式)之后开始。init和systemd程序启动并管理所有其他进程，他们在各自的系统上都被称为“所有进程之母”。
|
||||
|
||||
将硬件引导与Linux引导及Linux启动区分开，并明确定义它们之间的分界点是很重要的。理解他们的差异以及他们每一个在使Linux系统进入生产准备状态所起的作用，才能够管理这些进程并更好地确定大部分人所谓的“启动”问题出在哪里。
|
||||
|
||||
启动过程按照三步引导流程使Linux计算机进入可进行生产工作的状态。当内核将主机的控制权转移到systemd时，启动环节开始。
|
||||
|
||||
### systemd之争
|
||||
|
||||
systemd引起了系统管理员和其他负责维护Linux系统正常运行人员的广泛回应。systemd正在许多Linux系统中接管大量任务的事实造成了某些开发人群和系统管理员群组之间的阻挠和争议。
|
||||
|
||||
SystemV和systemd是执行Linux启动环节的两种不同的方法。 SystemV启动脚本和init程序是老的方法，而使用目标(targets)的systemd是新方法。尽管大多数现代Linux发行版都使用较新的systemd进行启动，关机和进程管理，但仍有一些发行版未采用。原因之一是某些发行版维护者和系统管理员喜欢老的SystemV方法，而不是新的systemd。
|
||||
|
||||
我认为两者都有其优势。
|
||||
|
||||
#### 为何我更喜欢SystemV
|
||||
|
||||
我更喜欢SystemV，因为它更开放。使用Bash脚本来完成启动。内核启动init程序（编译后的二进制）后，init启动 **rc.sysinit** 脚本，该脚本执行许多系统初始化任务。 **rc.sysinit** 执行完后，init启动 **/etc/rc.d/rc** 脚本，该脚本依次启动 **/etc/rc.d/rcX.d** 中由SystemV启动脚本定义的各种服务。 其中“ X”是待启动的运行级别号。
|
||||
|
||||
除了init程序本身之外，所有这些程序都是开放且易于理解的脚本。可以通读这些脚本并确切了解整个启动过程中发生的事情，但是我不认为有太多系统管理员会实际这样做。每个启动脚本都被编了号，以便按特定顺序启动预期的服务。服务是串行启动的，一次只能启动一个服务。
|
||||
|
||||
由Red Hat的Lennart Poettering和Kay Sievers开发的systemd是一个由大的已编译的二进制可执行文件构成的复杂系统，不访问其源码就无法理解。它是开源的，因此“访问其源代码”并不难，只是不太方便。systemd似乎表现出对Linux哲学多个原则的重大驳斥。作为二进制文件，systemd无法被直接打开供系统管理员查看或进行简单更改。systemd试图做所有事情，例如管理正在运行的服务，同时提供比SystemV更多的状态信息。它还管理硬件，进程，进程组，文件系统挂载等。 systemd几乎涉足于现代Linux主机的每方面，使它成为系统管理的一站式工具。所有这些都明显违反了"程序应该小且每个程序都应该只做一件事并且做好"的原则。
|
||||
|
||||
#### 为何我更喜欢systemd
|
||||
|
||||
我更喜欢用systemd作为启动机制，因为它会根据启动阶段并行地启动尽可能多的服务。这样可以加快整个的启动速度，使得主机系统比SystemV更快地到达登录屏幕。
|
||||
|
||||
systemd几乎可以管理正在运行的Linux系统的各个方面。它可以管理正在运行的服务，同时提供比SystemV多得多的状态信息。它还管理硬件，进程和进程组，文件系统挂载等。 systemd几乎涉足于现代Linux操作系统的每方面，使其成为系统管理的一站式工具。（听起来熟悉吧？）
|
||||
|
||||
systemd工具是编译后的二进制文件，但该工具包是开放的，因为所有配置文件都是ASCII文本文件。可以通过各种GUI和命令行工具来修改启动配置，也可以添加或修改各种配置文件来满足特定的本地计算环境的需求。
|
||||
|
||||
#### 真正的问题
|
||||
|
||||
您认为我不能喜欢两种启动系统吗？我能，我会用它们中的任何一个。
|
||||
|
||||
我认为，SystemV和systemd之间大多数争议的真正问题和根本原因在于，系统管理阶段[没有选择权][3]。使用SystemV还是systemd已经由各种发行版的开发人员，维护人员和打包人员选择了(但有充分的理由)。由于init极端的侵入性, 挖出(scooping out)并替换init系统会带来很多影响，发行版设计过程之外(的环节)很难处理这些影响。
|
||||
|
||||
尽管该选择实际上是为我而选的，我通常最关心的是我的Linux主机仍然可以启动并正常工作。作为最终用户，甚至是系统管理员，我主要关心的是我是否可以完成我的工作，例如写我的书和这篇文章，安装更新以及编写脚本来自动化所有事情。只要我能做我的工作，我就不会真正在意发行版中使用的启动系统。
|
||||
|
||||
在启动或服务管理出现问题时，我会在意。无论主机上使用哪种启动系统，我都足够了解如何沿着事件顺序来查找故障并进行修复。
|
||||
|
||||
#### 替换SystemV
|
||||
|
||||
以前曾有过用更现代的东西替代SystemV的尝试。在大约两个版本中，Fedora使用了一个叫作Upstart的东西来替换老化的SystemV，但是它没有替换init并且没有我能感知到的变化。由于Upstart并未对SystemV的问题进行任何重大更改，因此这个方向的努力很快就被systemd放弃了。
|
||||
|
||||
尽管大部分Linux开发人员都认可替换旧的SystemV启动系统是个好主意，但许多开发人员和系统管理员并不喜欢systemd。与其重新讨论人们在systemd中遇到的或曾经遇到过的所有所谓的问题，不如带您去看两篇好文章，尽管有些陈旧，但它们涵盖了大多数内容。Linux内核的创建者Linus Torvalds对systemd似乎不感兴趣。在2014年ZDNet的文章_[Linus Torvalds和其他人对Linux上的systemd的看法][4]_中，Linus清楚地表达了他的感受。
|
||||
|
||||
>“实际上我对systemd本身没有任何特别强烈的意见。我对一些核心开发人员有一些意见，我认为它们在对待bugs和兼容性方面过于轻率，而且我认为某些设计细节是疯狂的（例如，我不喜欢二进制日志），但这只是细节，不是大问题。”
|
||||
|
||||
如果您对Linus不太了解，我可以告诉您，如果他不喜欢某事，那么他非常直率，坦率，并且非常清楚这种不喜欢。他解决自己对事物不满的方式已经被社会更好地接受了。
|
||||
|
||||
2013年，Poettering写了一篇很长的博客，其中他在揭穿[systemd的神话][5]的同时透露了创建它的一些原因。这是一本很好的读物，我强烈建议您阅读。
|
||||
|
||||
### systemd任务
|
||||
|
||||
根据编译过程中使用的选项（不在本系列中介绍），systemd可以有多达69个二进制可执行文件用于执行任务，其中包括：
|
||||
|
||||
* systemd程序以1号进程(PID 1)运行，并提供使尽可能多服务并行启动的系统启动能力，它额外加快了总体启动时间。它还管理关机顺序。
|
||||
* systemctl程序提供了服务管理的用户接口。
|
||||
* 支持SystemV和LSB启动脚本，以便向后兼容。
|
||||
* 服务管理和报告提供了比SystemV更多的服务状态数据。
|
||||
* 提供基本的系统配置工具，例如主机名，日期，语言环境，已登录用户的列表，正在运行的容器和虚拟机，系统帐户，运行时目录和设置；用于简易网络配置，网络时间同步，日志转发和名称解析的守护程序。
|
||||
* 提供套接字管理。
|
||||
* systemd定时器提供类似cron的高级功能，包括在相对于系统启动，systemd启动，定时器上次启动时刻的某个时间点运行脚本。
|
||||
* 提供了一个工具来分析定时器规格中使用的日期和时间。
|
||||
* 能感知层次的文件系统挂载和卸载可以更安全地级联挂载的文件系统。
|
||||
* 允许主动的创建和管理临时文件，包括删除文件。
|
||||
* D-Bus的接口提供在插入或移除设备时运行脚本的能力。这允许将所有设备（无论是否可插拔）都被视为即插即用，从而大大简化了设备的处理。
|
||||
* 分析启动顺序的工具可用于查找耗时最多的服务。
|
||||
* 包括用于存储系统消息的日志以及管理日志的工具。
|
||||
|
||||
|
||||
### 架构
|
||||
|
||||
这些和更多的任务通过许多守护程序，控制程序和配置文件来支持。图1显示了许多属于systemd的组件。这是一个简化的图，旨在提供概要描述，因此它并不包括所有独立的程序或文件。它也不提供数据流的视角，数据流是如此复杂，因此在本系列文章的背景下没用。
|
||||
|
||||
![系统架构][6]
|
||||
|
||||
完整的systemd讲解就需要一本书。您不需要了解图1中的systemd组件是如何组合在一起的细节。了解支持各种Linux服务管理以及日志文件和日志处理的程序和组件就够了。 但是很明显，systemd并不是某些批评者所说的那样的庞然大物。
|
||||
|
||||
### 作为1号进程的systemd
|
||||
|
||||
systemd是1号进程(PID 1)。它的一些功能(比老的SystemV3 init要广泛得多)用于管理正在运行的Linux主机的许多方面，包括挂载文件系统以及启动和管理Linux生产主机所需的系统服务。与启动顺序无关的任何systemd任务都不在本文讨论范围之内（但本系列后面的一些文章将探讨其中的一些任务）。
|
||||
|
||||
首先，systemd挂载 **/etc/fstab** 所定义的文件系统，包括所有交换文件或分区。此时，它可以访问位于 **/etc** 中的配置文件，包括它自己的配置文件。它使用其配置链接 **/etc/systemd/system/default.target** 来确定将主机引导至哪个状态或目标。 **default.target** 文件是指向真实目标文件的符号链接。对于桌面工作站，通常是 **graphical.target**，它相当于SystemV中的运行级别5。对于服务器，默认值更可能是 **multi-user.target**，相当于SystemV中的运行级别3。 **emergency.target** 类似于单用户模式。目标(targets)和服务(services)是systemd的单位。
|
||||
|
||||
下表（图2）将systemd目标与老的SystemV启动运行级别进行了比较。systemd提供systemd目标别名以便向后兼容。目标别名允许脚本（以及许多系统管理员）使用SystemV命令（如**init 3**）更改运行级别。当然，SystemV命令被转发给systemd进行解释和执行。
|
||||
|
||||
**systemd目标** | **SystemV运行级别** | **目标别名** | **描述**
|
||||
--- | --- | ---- |-
|
||||
default.target | | |此目标总是通过符号连接的方式成为“多用户目标”或“图形化目标”的别名。systemd始终使用 **default.target** 来启动系统。 ** default.target** 绝不应该设为 **halt.target**，**poweroff.target** 或 **reboot.target** 的别名
|
||||
graphic.target | 5 | runlevel5.target |带有GUI的 **Multi-user.target**
|
||||
| 4 | runlevel4.target |未用。在SystemV中运行级别4与运行级别3相同。可以创建并自定义此目标以启动本地服务，而无需更改默认的 **multi-user.target**
|
||||
multi-user.target | 3 | runlevel3.target |所有服务在运行，但仅有命令行界面（CLI）
|
||||
| 2 | runlevel2.target |多用户，没有NFS，其他所有非GUI服务在运行
|
||||
rescue.target | 1 | runlevel1.target |基本系统，包括挂载文件系统，运行最基本的服务和主控制台的恢复shell
|
||||
Emergency.target | S | |单用户模式-没有服务运行；不挂载文件系统。这是最基本的工作级别，只有主控制台上运行的一个紧急Shell供用户与系统交互
|
||||
halt.target | | |在不关电源的情况下停止系统
|
||||
reboot.target | 6 | runlevel6.target |重启
|
||||
poweroff.target | 0 | runlevel0.target |停止系统并关闭电源
|
||||
|
||||
每个目标在其配置文件中都描述了一个依赖集。systemd启动必须的依赖，这些依赖是运行Linux主机到特定功能级别所需的服务。当目标配置文件中列出的所有依赖项被加载并运行后，系统就在该目标级别运行了。 在图2中，功能最多的目标位于表的顶部，从顶向下，功能逐步递减。
|
||||
|
||||
systemd还会检查老的SystemV init目录，以确认是否存在任何启动文件。如果有，systemd会将它们作为配置文件以启动它们描述的服务。网络服务是一个很好的例子，在Fedora中它仍然使用SystemV启动文件。
|
||||
|
||||
图3（如下）是直接从启动手册页复制来的。它显示了systemd启动期间普遍的事件顺序以及确保成功启动的基本顺序要求。
|
||||
|
||||
```
|
||||
cryptsetup-pre.target
|
||||
|
|
||||
(various low-level v
|
||||
API VFS mounts: (various cryptsetup devices...)
|
||||
mqueue, configfs, | |
|
||||
debugfs, ...) v |
|
||||
| cryptsetup.target |
|
||||
| (various swap | | remote-fs-pre.target
|
||||
| devices...) | | | |
|
||||
| | | | | v
|
||||
| v local-fs-pre.target | | | (network file systems)
|
||||
| swap.target | | v v |
|
||||
| | v | remote-cryptsetup.target |
|
||||
| | (various low-level (various mounts and | | |
|
||||
| | services: udevd, fsck services...) | | remote-fs.target
|
||||
| | tmpfiles, random | | | /
|
||||
| | seed, sysctl, ...) v | | /
|
||||
| | | local-fs.target | | /
|
||||
| | | | | | /
|
||||
\\____|______|_______________ ______|___________/ | /
|
||||
\ / | /
|
||||
v | /
|
||||
sysinit.target | /
|
||||
| | /
|
||||
______________________/|\\_____________________ | /
|
||||
/ | | | \ | /
|
||||
| | | | | | /
|
||||
v v | v | | /
|
||||
(various (various | (various | |/
|
||||
timers...) paths...) | sockets...) | |
|
||||
| | | | | |
|
||||
v v | v | |
|
||||
timers.target paths.target | sockets.target | |
|
||||
| | | | v |
|
||||
v \\_______ | _____/ rescue.service |
|
||||
\|/ | |
|
||||
v v |
|
||||
basic.target rescue.target |
|
||||
| |
|
||||
________v____________________ |
|
||||
/ | \ |
|
||||
| | | |
|
||||
v v v |
|
||||
display- (various system (various system |
|
||||
manager.service services services) |
|
||||
| required for | |
|
||||
| graphical UIs) v v
|
||||
| | multi-user.target
|
||||
emergency.service | | |
|
||||
| \\_____________ | _____________/
|
||||
v \|/
|
||||
emergency.target v
|
||||
graphical.target
|
||||
```
|
||||
|
||||
**sysinit.target** 和 **basic.target** 目标可以看作启动过程中的检查点。尽管systemd的设计目标之一是并行启动系统服务，但是某些服务和功能目标必须先启动，然后才能启动其他服务和目标。直到该检查点所需的所有服务和目标被满足后才能通过这些检查点。
|
||||
|
||||
当它依赖的所有单元都完成时，将到达 **sysinit.target**。所有这些单元，挂载文件系统，设置交换文件，启动udev，设置随机数生成器种子，启动低层服务以及配置安全服务（如果一个或多个文件系统是加密的）都必须被完成，但 **sysinit.target** 的这些任务可以并行执行。
|
||||
|
||||
**sysinit.target** 将启动系统接近正常运行所需的所有低层服务和单元，以及转移到 **basic.target** 所需的服务和单元。
|
||||
|
||||
在完成 **sysinit.target** 目标之后，systemd会启动实现下一个目标所需的所有单元。基本目标通过启动所有下一目标所需的单元来提供一些其他功能。包括设置如PATHs为各种可执行程序的路径，设置通信套接字和计时器之类。
|
||||
|
||||
最后，用户级目标 **multi-user.target** 或 **graphical.target** 被初始化。要满足图形目标的依赖必须先达到**multi-user.target**。图3中带下划线的目标是通常的启动目标。当达到这些目标之一时，启动就完成了。如果 **multi-user.target** 是默认设置，那么您应该在控制台上看到文本模式的登录界面。如果 **graphical.target** 是默认设置，那么您应该看到图形的登录界面。您看到的特定的GUI登录界面取决于您默认的显示管理器。
|
||||
|
||||
引导手册页还描述并提供了引导到初始RAM磁盘和systemd关机过程的地图。
|
||||
|
||||
systemd还提供了一个工具，该工具列出了完整启动或指定单元的依赖。单元是可控制的systemd资源实体，其范围从特定服务（例如httpd或sshd）到计时器，挂载，套接字等。尝试以下命令并滚动查看结果。
|
||||
|
||||
```
|
||||
`systemctl list-dependencies graphical.target`
|
||||
```
|
||||
|
||||
注意，这完全展开了使系统进入图形目标运行模式所需的顶层目标单元列表。 也可以使用 **\-all** 选项来展开所有其他单元。
|
||||
|
||||
```
|
||||
`systemctl list-dependencies --all graphical.target`
|
||||
```
|
||||
|
||||
您可以使用 **less** 命令来搜索诸如“target”，“slice”和“ socket”之类的字符串。
|
||||
|
||||
现在尝试下面的方法。
|
||||
|
||||
```
|
||||
`systemctl list-dependencies multi-user.target`
|
||||
```
|
||||
|
||||
和
|
||||
|
||||
|
||||
```
|
||||
`systemctl list-dependencies rescue.target`
|
||||
```
|
||||
|
||||
和
|
||||
|
||||
|
||||
```
|
||||
`systemctl list-dependencies local-fs.target`
|
||||
```
|
||||
|
||||
和
|
||||
|
||||
|
||||
```
|
||||
`systemctl list-dependencies dbus.service`
|
||||
```
|
||||
```
|
||||
`systemctl list-dependencies graphic.target`
|
||||
```
|
||||
|
||||
|
||||
|
||||
这个工具帮助我可视化我正用的主机的启动依赖细节。继续花一些时间探索一个或多个Linux主机的启动树。但是要小心，因为systemctl手册页包含以下注释：
|
||||
|
||||
> _“请注意，此命令仅列出当前被服务管理器加载到内存的单元。尤其是，此命令根本不适合用于获取特定单元的全部反向依赖列表，因为它不会列出被单元声明了但是未加载的依赖项。” _
|
||||
|
||||
### 结尾语
|
||||
|
||||
即使在深入研究systemd之前，很明显能看出它既强大又复杂。显然，systemd不是单一，庞大，整体且不可知的二进制文件。相反，它是由许多较小的组件和旨在执行特定任务的子命令组成。
|
||||
|
||||
本系列的下一篇文章将更详细地探讨systemd的启动，以及systemd的配置文件，更改默认的目标以及如何创建简单服务单元。
|
||||
|
||||
### 资源
|
||||
|
||||
互联网上有大量关于systemd的信息，但是很多都简短，晦涩甚至是误导。除了本文提到的资源外，以下网页还提供了有关systemd启动的更详细和可靠的信息。
|
||||
|
||||
* Fedora项目有一个很好的，实用的[guide to systemd][7]。它有你需要知道的通过systemd来配置，管理和维护Fedora主机所需的几乎所有知识。
|
||||
* Fedora项目还有一个不错的[cheat sheet][8]，将老的SystemV命令与对比的systemd命令相互关联。
|
||||
* 有关systemd及其创建原因的详细技术信息，请查看[Freedesktop.org][9]的[systemd描述][10]。
|
||||
* [Linux.com][11]的“systemd的更多乐趣”提供了更高级的systemd [信息和技巧][12]。
|
||||
|
||||
|
||||
还有systemd的设计师和主要开发者Lennart Poettering撰写的针对Linux系统管理员的一系列技术文章。这些文章是在2010年4月至2011年9月之间撰写的，但它们现在和那时一样有用。关于systemd及其生态的其他许多好文都基于这些论文。
|
||||
|
||||
* [重新思考1号进程][13]
|
||||
* [systemd之系统管理员, I][14]
|
||||
* [systemd之系统管理员, II][15]
|
||||
* [systemd之系统管理员, III][16]
|
||||
* [systemd之系统管理员, IV][17]
|
||||
* [systemd之系统管理员, V][18]
|
||||
* [systemd之系统管理员, VI][19]
|
||||
* [systemd之系统管理员, VII][20]
|
||||
* [systemd之系统管理员, VIII][21]
|
||||
* [systemd之系统管理员, IX][22]
|
||||
* [systemd之系统管理员, X][23]
|
||||
* [systemd之系统管理员, XI][24]
|
||||
|
||||
|
||||
|
||||
Mentor Graphics的Linux内核和系统程序员Alison Chiaken预览了此文...
|
||||
--------------------------------------------------------------------------------
|
||||
|
||||
via: https://opensource.com/article/20/4/systemd
|
||||
|
||||
作者：[David Both][a]
|
||||
选题：[lujun9972][b]
|
||||
译者：[messon007](https://github.com/messon007)
|
||||
校对：[校对者ID](https://github.com/校对者ID)
|
||||
|
||||
本文由 [LCTT](https://github.com/LCTT/TranslateProject) 原创编译，[Linux中国](https://linux.cn/) 荣誉推出
|
||||
|
||||
[a]: https://opensource.com/users/dboth
|
||||
[b]: https://github.com/lujun9972
|
||||
[1]: https://opensource.com/sites/default/files/styles/image-full-size/public/lead-images/car-penguin-drive-linux-yellow.png?itok=twWGlYAc (Penguin driving a car with a yellow background)
|
||||
[2]: http://www.both.org/?page_id=1183
|
||||
[3]: http://www.osnews.com/story/28026/Editorial_Thoughts_on_Systemd_and_the_Freedom_to_Choose
|
||||
[4]: https://www.zdnet.com/article/linus-torvalds-and-others-on-linuxs-systemd/
|
||||
[5]: http://0pointer.de/blog/projects/the-biggest-myths.html
|
||||
[6]: https://opensource.com/sites/default/files/uploads/systemd-architecture.png (systemd architecture)
|
||||
[7]: https://docs.fedoraproject.org/en-US/quick-docs/understanding-and-administering-systemd/index.html
|
||||
[8]: https://fedoraproject.org/wiki/SysVinit_to_Systemd_Cheatsheet
|
||||
[9]: http://Freedesktop.org
|
||||
[10]: http://www.freedesktop.org/wiki/Software/systemd
|
||||
[11]: http://Linux.com
|
||||
[12]: https://www.linux.com/training-tutorials/more-systemd-fun-blame-game-and-stopping-services-prejudice/
|
||||
[13]: http://0pointer.de/blog/projects/systemd.html
|
||||
[14]: http://0pointer.de/blog/projects/systemd-for-admins-1.html
|
||||
[15]: http://0pointer.de/blog/projects/systemd-for-admins-2.html
|
||||
[16]: http://0pointer.de/blog/projects/systemd-for-admins-3.html
|
||||
[17]: http://0pointer.de/blog/projects/systemd-for-admins-4.html
|
||||
[18]: http://0pointer.de/blog/projects/three-levels-of-off.html
|
||||
[19]: http://0pointer.de/blog/projects/changing-roots
|
||||
[20]: http://0pointer.de/blog/projects/blame-game.html
|
||||
[21]: http://0pointer.de/blog/projects/the-new-configuration-files.html
|
||||
[22]: http://0pointer.de/blog/projects/on-etc-sysinit.html
|
||||
[23]: http://0pointer.de/blog/projects/instances.html
|
||||
[24]: http://0pointer.de/blog/projects/inetd.html
|
||||
@ -0,0 +1,201 @@
|
||||
[#]: collector: (lujun9972)
|
||||
[#]: translator: (Acceleratorrrr)
|
||||
[#]: reviewer: ( )
|
||||
[#]: publisher: ( )
|
||||
[#]: url: ( )
|
||||
[#]: subject: (How to secure your Linux email services with SSL/TLS)
|
||||
[#]: via: (https://opensource.com/article/20/4/securing-linux-email)
|
||||
[#]: author: (Marc Skinner https://opensource.com/users/marc-skinner)
|
||||
|
||||
如何利用 SSL/TLS 保护你的Linux邮箱服务
|
||||
======
|
||||
|
||||
通过理解安全证书来保护你的Linux邮箱服务。
|
||||
![email or newsletters via inbox and browser][1]
|
||||
|
||||
通常，不管你是通过简单邮件传输协议（SMTP）或者邮局协议（POP）发送或者接受邮件，邮箱服务默认使用无保护明文来传输数据。近来随着数据加密成为越来越多程序的共识，你需要传输层安全性协议 / 安全套接层（SSL/TLS）的安全证书来保护你的邮箱服务。
|
||||
|
||||
首先，快速回顾一下邮箱服务和协议的基本流程。邮件通过简单邮件传输协议从端口25发出。这个协议依靠DNS邮件交换服务器里的地址信息来传输邮件。当邮件到达邮件服务器后，可以被以下两种服务中的任意一种检索：因特网信息访问协议（IMAP）使用端口143，或者邮局协议第3版本（POP3）使用端口110。然而，以上服务默认默认使用明文传输邮件和验证信息。这非常的不安全！
|
||||
|
||||
以上服务已经添加了安全功能来保护邮件内容和验证信息，使它们可以利用SSL/TLS证书包裹和加密数据流。SSL/TLS如何加密数据的细节不在本文讨论范围，有兴趣的话可以阅读[布莱恩特关于网络安全的文章][2]。概括的说，SSL/TLS 加密本质是一种基于公钥和私钥的算法。
|
||||
|
||||
通过加入新的安全功能后，这些服务可以监听新的TCP端口：
|
||||
|
||||
服务 | 默认TCP端口 | SSL/TLS 端口
|
||||
---|---|---
|
||||
SMTP | 25 | 587
|
||||
IMAP | 143 | 993
|
||||
POP3 | 110 | 995
|
||||
|
||||
### 生成 SSL/TLS 证书
|
||||
|
||||
[OpenSSL][3] 可以生成免费的 SSL/TLS 证书，或者你也可以从根证书颁发机构购买。过去，生成自签发证书十分简单而且通用，但是由于安全被日益重视，大部分的邮箱客户端是不信任自签发证书的，除非手动设置。
|
||||
|
||||
如果你只是自己使用或者做做测试，那就使用自签发证书省点钱吧。但是如果很多人或者客户也需要使用的话，那最好还是从受信任的根证书颁发机构购买。
|
||||
|
||||
总之，Linux 系统里的 OpenSSL 工具需要一个证书来生成凭证签发请求文件（CSR）：
|
||||
|
||||
```
|
||||
`$ openssl req -new -newkey rsa:2048 -nodes -keyout mail.mydomain.key -out mail.mydomain.csr`
|
||||
```
|
||||
|
||||
这个命令会为你想保护的服务同时生成一个新的 CSR 文件和一个私匙。它会询问你一些证书相关的问题，如：路径，服务器的完整网络域名，邮件联系信息等等。当你输入完这些信息后，密匙和CSR文件就生成完毕了。
|
||||
|
||||
#### 如果你想生成自签发证书
|
||||
|
||||
如果你想要生成自签发证书的话，在运行以上 CSR 命令之前，你必须先创建一个[自签发证书机构][4]。
|
||||
|
||||
```
|
||||
`$ openssl genrsa -des3 -out myCA.key 2048`
|
||||
```
|
||||
|
||||
命令行会提示你输入密码。请输入一个复杂点的密码而且不要弄丢了，因为这将会是自签发证书机构的密码，并且决定了其签发证书的受信任度。
|
||||
|
||||
接下来，生成自签发证书机构：
|
||||
|
||||
```
|
||||
`$ openssl req -x509 -new -nodes -key myCA.key -sha256 -days 1825 -out myCA.pem`
|
||||
```
|
||||
|
||||
在回答完一些问题后，你就拥有一个有效期为5年的自签发证书机构了。
|
||||
|
||||
用之前生成的 CSR 文件，你可以向刚生成的自签发证书机构请求生成一个新的证书。
|
||||
|
||||
```
|
||||
`$ openssl x509 -req -in mail.mydomain.csr -CA myCA.pem -CAkey myCA.key -CAcreateserial -out mail.mydomain.pem -days 1825 -sha256`
|
||||
```
|
||||
|
||||
输入自签发证书机构的密码来生成和签发证书。
|
||||
|
||||
现在你还需要两个文件来设置你的邮箱服务安全：私匙文件 **mail.mydomain.key**， 和证书文件 **mail.mydomain.pem**。
|
||||
|
||||
#### 如果你愿意购买证书
|
||||
|
||||
If you purchase a certificate from a vendor, it will ask you to upload that CSR to its system, as it is used as the input to generate the SSL/TLS certificate. The certificate will be accessible as a file (such as **mail.mydomain.pem**). Many SSL vendors also require you to download an intermediate certificate. If this is the case, you must combine the two certificate files into one, so the email service can process them both in combination. You can combine your certificate with a third-party intermediate certificate with:
|
||||
如果你愿意从机构购买证书，则需要上传 CSR 文件到机构的系统中，它将会被用于生成 SSL/TLS 证书。证书可作为文件下载，比如 **mail.mydomain.pem**。很多SSL机构也需要你下载一个中间证书。这样的话，你必须把这个两个证书合并称一个，邮件服务才能够正常运行。可以使用以下命令把你的证书和第三方中间证书合并在一起：
|
||||
|
||||
```
|
||||
`$ cat mail.mydomain.pem gd_bundle-g2-g1.crt > mail.mydomain.pem`
|
||||
```
|
||||
|
||||
值得一提的是 **.pem** 文件后缀代表隐私增强邮件。
|
||||
|
||||
Now you have the two files you need to configure your email services for enhanced security: the private key file, **mail.mydomain.key**, and the public combined certificate file, **mail.mydomain.pem**.
|
||||
现在你就有全部的设置邮箱服务安全所需文件了：私匙文件 **mail.mydomain.key**， 和证书文件 **mail.mydomain.pem**。
|
||||
|
||||
### 为你的文件生成一个安全的文件夹
|
||||
|
||||
不管你是的证书是自签发的或者从机构购买，你都需要生成一个安全的，管理员权限级别的文件夹用于保存这两个文件。可以使用以下命令来生成：
|
||||
|
||||
```
|
||||
$ mkdir /etc/pki/tls
|
||||
$ chown root:root /etc/pki/tls
|
||||
$ chmod 700 /etc/pki/tls
|
||||
```
|
||||
|
||||
在复制文件到 **/etc/pki/tls** 后，再次设置这些文件的权限：
|
||||
|
||||
```
|
||||
`$ chmod 600 /etc/pki/tls/*`
|
||||
```
|
||||
|
||||
### 配置你的 SMTP 和 IMAP 服务
|
||||
|
||||
接下来，让 SMTP 和 IMAP 服务使用新的安全证书。我们用 **postfix** and **dovecot** 来作为例子。
|
||||
|
||||
Edit ***/_****etc****_/*****postfix/main.cf** in your preferred text editor. Add the following lines:
|
||||
用你顺手的编辑器来编辑 ***/_etc_/postfix/main.cf** 文件。添加以下几行：
|
||||
|
||||
```
|
||||
smtpd_use_tls = yes
|
||||
smtpd_tls_cert_file = /etc/pki/tls/mail.mydomain.pem
|
||||
smtpd_tls_key_file = /etc/pki/tls/mail.mydomain.key
|
||||
```
|
||||
|
||||
### 自定义选项
|
||||
|
||||
以下选项可以启用或禁用各种加密算法，协议等等：
|
||||
|
||||
```
|
||||
smtpd_tls_eecdh_grade = strong
|
||||
smtpd_tls_protocols= !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
|
||||
smtpd_tls_mandatory_protocols= !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
|
||||
smtpd_tls_mandatory_ciphers = high
|
||||
smtpd_tls_security_level=may
|
||||
smtpd_tls_ciphers = high
|
||||
tls_preempt_cipherlist = yes
|
||||
smtpd_tls_mandatory_exclude_ciphers = aNULL, MD5 , DES, ADH, RC4, PSD, SRP, 3DES, eNULL
|
||||
smtpd_tls_exclude_ciphers = aNULL, MD5 , DES, ADH, RC4, PSD, SRP, 3DES, eNULL
|
||||
smtp_tls_mandatory_protocols = !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
|
||||
smtp_tls_protocols = !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
|
||||
```
|
||||
|
||||
**/etc/dovecot/dovecot.conf** 文件添加以下三行：
|
||||
|
||||
```
|
||||
ssl = required
|
||||
ssl_cert = </etc/pki/tls/mail.mydomain.pem
|
||||
ssl_key = </etc/pki/tls/mail.mydomain.key
|
||||
```
|
||||
|
||||
添加更多选项来启用或禁用各种加密算法，协议等等（可选）：
|
||||
|
||||
```
|
||||
ssl_cipher_list = EECDH+ECDSA+AESGCM:EECDH+aRSA+AESGCM:EECDH+ECDSA+SHA384:EECDH+ECDSA+SHA256:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH+aRSA+RC4:EECDH:EDH+aRSA:ALL:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS:!RC4:!SSLv2
|
||||
ssl_prefer_server_ciphers = yes
|
||||
ssl_protocols = !SSLv2 !SSLv3 !TLSv1 !TLSv1.1
|
||||
ssl_min_protocol = TLSv1.2
|
||||
```
|
||||
|
||||
### 安全增强式Linux上下文设置
|
||||
|
||||
如果使用安全增强式Linux发行版，你需要给新证书文件配置正确的安全上下文。
|
||||
|
||||
Postfix SELinux 用户：
|
||||
|
||||
```
|
||||
`$ chcon -u system_u -t cert_t mail.mydomain.*`
|
||||
```
|
||||
|
||||
Dovecot SELinux 用户：
|
||||
|
||||
```
|
||||
`$ chcon -u system_u -t dovecot_cert_t mail.mydomain.*`
|
||||
```
|
||||
|
||||
Restart both services and connect with your updated email client configurations. Some email clients will auto-detect the new port numbers; others will require you to update them.
|
||||
重启这些服务，然后联接上更新后的邮箱客户端。有些邮箱客户端会自动探测到新的端口，有些则需要你手动升级。
|
||||
|
||||
### 测试
|
||||
|
||||
用 **openssl** 命令行和 **s_client** 插件来简单测试一下：
|
||||
|
||||
```
|
||||
$ openssl s_client -connect mail.mydomain.com:993
|
||||
$ openssl s_client -starttls imap -connect mail.mydomain.com:143
|
||||
$ openssl s_client -starttls smtp -connect mail.mydomain.com:587
|
||||
```
|
||||
|
||||
These test commands will show a plethora of data about the connection, certificate, cipher, session, and protocol you're using. This is not only a good way to validate that the new configuration is working but also to confirm you're using the appropriate certificate and security settings you defined in the **postfix** or **dovecot** configuration files.
|
||||
这些测试命令会打印出很多信息，关于你使用的联接，证书，加密算法，会话和协议。这不仅是一个验证新设置的好方法，也可以检查你是否使用了适当的证书，以及 **postfix** 或者 **dovecot** 配置文件里的安全设置是否生效。
|
||||
|
||||
Stay secure!
|
||||
保持安全！
|
||||
|
||||
--------------------------------------------------------------------------------
|
||||
|
||||
via: https://opensource.com/article/20/4/securing-linux-email
|
||||
|
||||
作者：[Marc Skinner][a]
|
||||
选题：[lujun9972][b]
|
||||
译者：[Acceleratorrrr](https://github.com/Acceleratorrrr)
|
||||
校对：[校对者ID](https://github.com/校对者ID)
|
||||
|
||||
本文由 [LCTT](https://github.com/LCTT/TranslateProject) 原创编译，[Linux中国](https://linux.cn/) 荣誉推出
|
||||
|
||||
[a]: https://opensource.com/users/marc-skinner
|
||||
[b]: https://github.com/lujun9972
|
||||
[1]: https://opensource.com/sites/default/files/styles/image-full-size/public/lead-images/newsletter_email_mail_web_browser.jpg?itok=Lo91H9UH (email or newsletters via inbox and browser)
|
||||
[2]: https://opensource.com/article/19/11/internet-security-tls-ssl-certificate-authority
|
||||
[3]: https://www.openssl.org/
|
||||
[4]: https://en.wikipedia.org/wiki/Root_certificate
|
||||
@ -0,0 +1,67 @@
|
||||
[#]: collector: (lujun9972)
|
||||
[#]: translator: (geekpi)
|
||||
[#]: reviewer: ( )
|
||||
[#]: publisher: ( )
|
||||
[#]: url: ( )
|
||||
[#]: subject: (Getting started with FreeBSD as a desktop operating system)
|
||||
[#]: via: (https://opensource.com/article/20/5/furybsd-linux)
|
||||
[#]: author: (Joshua Allen Holm https://opensource.com/users/holmja)
|
||||
|
||||
开始用 FreeBSD 作为桌面操作系统
|
||||
======
|
||||
FuryBSD 的 live 桌面环境能让你在实际使用之前先尝试。
|
||||
![web development and design, desktop and browser][1]
|
||||
|
||||
[FreeBSD][2] 是一个很棒的操作系统，但是从设计上讲，它没有桌面环境。如果不从 FreeBSD 的 [ports 和软件包集][3]安装其他软件，那么 FreeBSD 仅能体验命令行。下面的截图显示了在安装过程中选择了每个“可选系统组件”后，登录 FreeBSD 12.1 的样子。
|
||||
|
||||
![FreeBSD][4]
|
||||
|
||||
可以将 FreeBSD 变成包含各种桌面环境的操作系统，但是这需要时间、精力和[遵循大量书面说明][5]。使用使用 **desktop-installer** 包（为用户提供基于文本的菜单并帮助自动执行大部分过程）仍然非常耗时。这两种方法的最大问题是，用户在花了很多时间进行设置之后，可能会发现他们的系统与 FreeBSD 不完全兼容。
|
||||
|
||||
[FuryBSD][6] 通过提供 live 桌面镜像来解决此问题，用户可以在安装之前对其进行评估。目前，FuryBSD 提供 Xfce 镜像和 KDE 镜像。每个镜像都提供已预安装桌面环境的 FreeBSD。如果用户试用镜像并发现其硬件工作正常，那么他们可以安装 FuryBSD，并拥有由 FreeBSD 提供支持的即用桌面操作系统。在本文中，我将使用 Xfce 镜像，但 KDE 镜像的使用完全一样。
|
||||
|
||||
对于任何安装过 Linux 发行版、BSD 或任何其他类 Unix 的开源操作系统的人，开始用 FuryBSD 都应该是一个熟悉的过程。从 FuryBSD 网站下载 ISO，将它复制到闪存，然后从闪存启动计算机。如果从闪存引导失败，请确保安全引导已禁用。
|
||||
|
||||
![FuryBSD Live XFCE Desktop][7]
|
||||
|
||||
从闪存启动后，桌面环境将自动加载。除了“家”、“文件系统”和“回收站”图标外，live 桌面还有用于配置 Xorg 的工具、入门指南、FuryBSD 安装程序和系统信息程序的图标。除了这些额外功能以及一些自定义的 Xfce 设置和墙纸外，桌面环境除了基本的 Xfce 应用和 Firefox 之外并没有其他功能。
|
||||
|
||||
![FuryBSD Xorg Tool][8]
|
||||
|
||||
此时仅加载基本的图形驱动，但足以检查 FuryBSD 是否支持系统的有线和无线网络接口。如果没有网络接口自动工作，那么 **Getting Started.txt** 文件包含有关尝试配置网络接口和其他配置任务的说明。如果至少有一个网络接口有效，那么可以使用 **Configure Xorg** 应用安装 Intel、NVidia 或 VirtualBox 图形驱动。它将下载并安装驱动，并且需要重新启动 Xorg。如果系统未自动重新登录到 live 用户，那么密码为 **furybsd**。配置后，图形驱动将转移到已安装的系统中。
|
||||
|
||||
![FuryBSD Installer - ZFS Configuration][9]
|
||||
|
||||
如果一切都可以在 live 环境中正常运行，那么 FuryBSD 安装程序可以将 FuryBSD 配置并安装到计算机上。该安装程序在终端中运行，但提供与大多数其他 BSD 和 Linux 安装程序相同的选项。系统将要求用户设置系统的主机名、配置 ZFS 存储，设置 root 密码，添加至少一个非 root 用户以及配置时间和日期。完成后，系统可以引导到预装有 Xfce （或 KDE）的 FreeBSD 中。FuryBSD 完成了所有困难的工作，甚至还花了很多精力使桌面看起来更漂亮。
|
||||
|
||||
![FuryBSD Post-Install XFCE Desktop][10]
|
||||
|
||||
如上所述，桌面环境没有大量预装软件，因此几乎肯定要安装额外的软件包。最快的方法是在终端中使用 **pkg** 命令。该命令的行为很像 dnf 和 apt，因此来自 Linux 发行版的用户（使用其中之一）在查找和安装软件包时应该感到很熟悉。 FreeBSD的软件包集合很大，因此大多数知名的开源软件包都可用。
|
||||
|
||||
在没有太多 FreeBSD 经验的情况下尝试 FuryBSD 的用户应查阅 [FreeBSD 手册][11]，以了解有关如何以 FreeBSD 的方式做事。有任何 Linux 发行版或其他 BSD 使用经验的用户应该能弄清很多事情，但是手册可以帮助你弄清一些差异。进一步了解 FreeBSD 的一个很好的资源是 Michael W. Lucas 的 _[Absolute FreeBSD，第三版][12]_。
|
||||
|
||||
--------------------------------------------------------------------------------
|
||||
|
||||
via: https://opensource.com/article/20/5/furybsd-linux
|
||||
|
||||
作者：[Joshua Allen Holm][a]
|
||||
选题：[lujun9972][b]
|
||||
译者：[geekpi](https://github.com/geekpi)
|
||||
校对：[校对者ID](https://github.com/校对者ID)
|
||||
|
||||
本文由 [LCTT](https://github.com/LCTT/TranslateProject) 原创编译，[Linux中国](https://linux.cn/) 荣誉推出
|
||||
|
||||
[a]: https://opensource.com/users/holmja
|
||||
[b]: https://github.com/lujun9972
|
||||
[1]: https://opensource.com/sites/default/files/styles/image-full-size/public/lead-images/web_browser_desktop_devlopment_design_system_computer.jpg?itok=pfqRrJgh (web development and design, desktop and browser)
|
||||
[2]: https://www.freebsd.org
|
||||
[3]: https://www.freebsd.org/ports/
|
||||
[4]: https://opensource.com/sites/default/files/uploads/freebsd.png (FreeBSD)
|
||||
[5]: https://www.freebsdfoundation.org/freebsd/how-to-guides/installing-a-desktop-environment-on-freebsd/
|
||||
[6]: https://www.furybsd.org
|
||||
[7]: https://opensource.com/sites/default/files/uploads/furybsd_live_xfce_desktop.png (FuryBSD Live XFCE Desktop)
|
||||
[8]: https://opensource.com/sites/default/files/uploads/furybsd_xorg_tool.png (FuryBSD Xorg Tool)
|
||||
[9]: https://opensource.com/sites/default/files/uploads/furybsd_installer_-_zfs_configuration.png (FuryBSD Installer - ZFS Configuration)
|
||||
[10]: https://opensource.com/sites/default/files/uploads/furybsd_post-install_xfce_desktop.png (FuryBSD Post-Install XFCE Desktop)
|
||||
[11]: https://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/
|
||||
[12]: https://nostarch.com/absfreebsd3
|
||||
Loading…
Reference in New Issue
Block a user