4 files changed, 820 insertions, 2 deletions

diff --git a/zh_TW.Big5/books/handbook/Makefile b/zh_TW.Big5/books/handbook/Makefile
index d9cf0ea760..a57cbc9983 100644
--- a/zh_TW.Big5/books/handbook/Makefile
+++ b/zh_TW.Big5/books/handbook/Makefile
@@ -213,7 +213,7 @@ SRCS+= firewalls/chapter.sgml
 SRCS+= geom/chapter.sgml
 SRCS+= install/chapter.sgml
 SRCS+= introduction/chapter.sgml
-#SRCS+= jails/chapter.sgml
+SRCS+= jails/chapter.sgml
 SRCS+= kernelconfig/chapter.sgml
 SRCS+= l10n/chapter.sgml
 SRCS+= linuxemu/chapter.sgml
diff --git a/zh_TW.Big5/books/handbook/book.sgml b/zh_TW.Big5/books/handbook/book.sgml
index 76265f3c0d..bd4a0d45ae 100644
--- a/zh_TW.Big5/books/handbook/book.sgml
+++ b/zh_TW.Big5/books/handbook/book.sgml
@@ -24,6 +24,7 @@
 <!ENTITY % chap.users "IGNORE">
 <!ENTITY % chap.kernelconfig "IGNORE">
 <!ENTITY % chap.security "IGNORE">
+<!ENTITY % chap.jails "IGNORE">
 <!ENTITY % chap.printing "IGNORE">
 <!ENTITY % chap.disks "IGNORE">
 <!ENTITY % chap.geom "IGNORE">
@@ -74,6 +75,7 @@
       <year>2005</year>
       <year>2006</year>
       <year>2007</year>
+      <year>2008</year>
       <holder>FreeBSD 文件計畫</holder>
     </copyright>
 
@@ -243,6 +245,7 @@
     <![ %chap.boot;                     [ &chap.boot;                 ]]>
     <![ %chap.users;                    [ &chap.users;                ]]>
     <![ %chap.security;                 [ &chap.security;             ]]>
+    <![ %chap.jails;                    [ &chap.jails;                ]]>
     <![ %chap.mac;			[ &chap.mac;		      ]]>
     <![ %chap.audit;			[ &chap.audit;		      ]]>
     <![ %chap.disks;                    [ &chap.disks;                ]]>
diff --git a/zh_TW.Big5/books/handbook/chapters.ent b/zh_TW.Big5/books/handbook/chapters.ent
index de6b7e4f36..942b608bbe 100644
--- a/zh_TW.Big5/books/handbook/chapters.ent
+++ b/zh_TW.Big5/books/handbook/chapters.ent
@@ -31,7 +31,7 @@
 <!ENTITY chap.boot			SYSTEM "boot/chapter.sgml">
 <!ENTITY chap.users			SYSTEM "users/chapter.sgml">
 <!ENTITY chap.security			SYSTEM "security/chapter.sgml">
-<!-- <!ENTITY chap.jails			SYSTEM "jails/chapter.sgml"> -->
+<!ENTITY chap.jails			SYSTEM "jails/chapter.sgml">
 <!ENTITY chap.mac			SYSTEM "mac/chapter.sgml">
 <!ENTITY chap.audit			SYSTEM "audit/chapter.sgml">
 <!ENTITY chap.disks			SYSTEM "disks/chapter.sgml">
diff --git a/zh_TW.Big5/books/handbook/jails/chapter.sgml b/zh_TW.Big5/books/handbook/jails/chapter.sgml
new file mode 100644
index 0000000000..2f4a453676
--- /dev/null
+++ b/zh_TW.Big5/books/handbook/jails/chapter.sgml
@@ -0,0 +1,815 @@
+<!--
+    The FreeBSD Documentation Project
+
+    $FreeBSD$
+
+    Original revision: 1.15
+
+-->
+<chapter id="jails">
+  <chapterinfo>
+    <authorgroup>
+      <author>
+	<firstname>Matteo</firstname>
+	<surname>Riondato</surname>
+	<contrib>Contributed by </contrib>
+      </author>
+    </authorgroup>
+  </chapterinfo>
+
+  <title>Jails</title>
+
+  <indexterm><primary>jails</primary></indexterm>
+
+  <sect1 id="jails-synopsis">
+    <title>概述</title>
+
+    <para>本章將介紹 &os; jail 為何，以及如何運用之法。
+      Jails 有時也常被認為是 <emphasis>chroot 環境</emphasis>
+      的加強型替代品之一，它對系統管理者而言是非常好用的工具，
+      此外，它的一些基本用法對進階使用者而言，也是相當有用。</para>
+
+    <para>讀完這章，您將了解︰</para>
+
+    <itemizedlist>
+      <listitem>
+	<para>jail 是什麼，以及它在 &os; 上可以發揮的作用。</para>
+      </listitem>
+
+      <listitem>
+	<para>如何編譯、啟動、停止 jail。</para>
+      </listitem>
+
+      <listitem>
+	<para>jail 管理的基本概念：包括從 jail 內部或主機本身。</para>
+      </listitem>
+    </itemizedlist>
+
+    <para>其他有用的 jail 相關資源還有：</para>
+
+    <itemizedlist>
+      <listitem>
+	<para>&man.jail.8; 線上說明。  這是有關 <command>jail</command>
+	  的完整說明 &mdash; &os; 內的啟動、停止、控制 &os; jail 
+	  相關管理工具。</para>
+      </listitem>
+
+      <listitem>
+	<para>郵遞論壇(mailing lists)及舊信檔案館(archives)。
+	  &a.mailman.lists; 所提供的 &a.questions; 及其他郵遞論壇的舊信
+	  ，已有包括一堆 jail 的有用資料。  通常，搜尋舊信或者在
+	  &a.questions.name; 上發問，也相當有效。</para>
+      </listitem>
+    </itemizedlist>
+
+  </sect1>
+
+  <sect1 id="jails-terms">
+    <title>Jail 相關術語</title>
+
+    <para>為協助更容易理解 &os; 系統的 jail 相關部分，
+      以及它們與 &os; 其他部分的相互作用關係，
+      以下列出本章將使用的術語：</para>
+
+    <variablelist>
+      <varlistentry>
+        <term>&man.chroot.2; (指令)</term>
+        <listitem>
+	  <para>&os; 的 system call 之一，其作用為改變 process
+	    及其衍生 process 所能運用的根目錄 (<filename>/</filename>
+	    dir)。</para>
+	</listitem>
+      </varlistentry>
+
+      <varlistentry>
+        <term>&man.chroot.2; (環境)</term>
+        <listitem>
+	  <para>指在 <quote>chroot</quote> 中運行的 process 環境。
+	    這包括了類似檔案系統的可見部分、可用的 UID、GID、網路卡及其他 IPC
+	    機制等資源。</para>
+	</listitem>
+      </varlistentry>
+
+      <varlistentry>
+        <term>&man.jail.8; (command)</term>
+        <listitem>
+	  <para>允許程式在 jail 環境下執行的系統管理工具。</para>
+	</listitem>
+      </varlistentry>
+
+      <varlistentry>
+        <term>host (系統、process、帳號等等)</term>
+        <listitem>
+	  <para>jail 環境的控制系統。  host 系統可以使用全部可用的硬體資源，
+	    並能控制 jail 環境內外的 process。  host 系統與 jail 最大的差別在於
+	    ：在 host 系統中的 superuser processes 並不像在 jail
+	    環境那樣處處受到一堆限制。</para>
+	</listitem>
+      </varlistentry>
+
+      <varlistentry>
+        <term>hosted (系統、process、帳號等等)</term>
+        <listitem>
+	  <para>可用資源受到 &os; jail 限制的 process、帳號、或其他設備資源
+	    。</para>
+	</listitem>
+      </varlistentry>
+    </variablelist>
+  </sect1>
+
+  <sect1 id="jails-intro">
+    <title>背景故事</title>
+
+    <para>由於系統管理是困難又繁瑣的工作，因此人們開發許多好用工具，
+      以讓管理工作更加簡單輕鬆。  這些改善通常是讓系統能夠以更簡單的方式安裝、
+      設定、維護，而有些改善目標則是系統安全的正確設定，使其能真正發揮原本用途，
+      而非陷入安全風險之中。</para>
+
+    <para>&os; 系統所提供的一種用於強化安全的工具就是 <emphasis>jail</emphasis>
+      。  Jail 是由 &a.phk; 於 &os;&nbsp;4.X 開始導入，而在 &os;&nbsp;5.X
+      受到許多重大改良而集大成，成為強大而靈活的子系統，目前仍在持續開發、
+      以提高其可用性、效能與安全。</para>
+
+    <sect2 id="jails-what">
+      <title>何為 Jail</title>
+
+      <para>BSD-like 作業系統自 4.2BSD 起即提供 &man.chroot.2;。
+	&man.chroot.8; 可用來變更一組 process 的根目錄位置，
+	藉此建立與實體系統中相隔離的安全環境。  處於 chrooted 環境的
+	process 會無法不能存取世外的檔案或資源。  由於此因素，
+	故即使攻擊者攻破某個處於 chroot 環境的 service，也不能攻破整個系統。
+	&man.chroot.8; 對於那些不太需要彈性或複雜又高級的簡單應用而言相當好用。
+	另外，在引入 chroot 概念的過程中，曾經發現許多可脫逃 chroot 環境的方式，
+	儘管這些問題在較新版本的 &os; kernel 均已修正，但很明顯地 &man.chroot.2;
+	絕非用於強化安全的理想解決方案。  因此，
+	勢必得實作新的子系統來解決這些問題。</para>
+
+      <para>這就是為何要開發 <emphasis>jail</emphasis> 的最主要原因。</para>
+
+      <para>Jail 在各種方式分進合擊，改進傳統 &man.chroot.2; 環境的概念。
+	在傳統的 &man.chroot.2; 環境中，只限制 process 對於檔案系統的存取部分，
+	而系統資源的其他部分(例如系統帳號、執行中的 process、網路子系統)則是由
+	chroot process 與 host 系統的其他 process 一起共享。
+	Jail 以『虛擬化』來擴展這模型，不單只有檔案系統的存取，還延伸到
+	系統帳號、&os; kernel 的網路子系統及其他系統資源的虛擬化。
+	關於這些 jail 環境存取的細微調控，請參閱 <xref
+	linkend="jails-tuning">。</para>
+
+      <para>jail 具有下列四項特色：</para>
+
+      <itemizedlist>
+	<listitem>
+	  <para>目錄子樹(directory subtree) &mdash; 也就是進入 jail 的起點。
+	    一旦進入 jail 之後，process 就不再被允許跳到 subtree 以外。
+	    &傳統會影響到 man.chroot.2; 最初設計的安全問題，就不會再影響
+	    &os; jail。</para>
+	</listitem>
+
+	<listitem>
+	  <para>主機名稱(hostname) &mdash; 用於 jail 的 hostname。  由於
+	    jail 主要用於網路服務，因此若各 jail 皆有名稱，
+	    對於系統管理工作的簡化會相當有效。</para>
+	</listitem>
+
+	<listitem>
+	  <para><acronym>IP</acronym> address &mdash; 是用來給 jail 使用，
+	    並且在 jail 生命週期內都無法變更。  通常 jail 的 IP address
+	    是現有網卡的 alias address，但這並不是必須的。</para>
+	</listitem>
+
+	<listitem>
+	  <para>指令(Command) &mdash; 準備在 jail 內執行的完整路徑。  這指令是相對於
+	    jail 環境的根目錄，視 jail 環境的類型不同，而有所差異。</para>
+	</listitem>
+      </itemizedlist>
+
+      <para>除了上述之外，jail 也可擁有自己的帳號及 <username>root</username>
+	帳號。  當然，這裡的<username>root</username> 權力會受制於 jail 環境內。
+	並且從 host 系統的角度來看，jail 的 <username>root</username>
+	並非無所不能的帳號。  此外 jail 的 <username>root</username>
+	並不能執行其對於 &man.jail.8; 環境以外的一些關鍵性操作。
+	關於 <username>root</username> 的能力與限制，將於稍後的
+	<xref linkend="jails-tuning"> 介紹之。</para>
+    </sect2>
+  </sect1>
+
+  <sect1 id="jails-build">
+    <title>建立和控制 Jail</title>
+
+    <para>有些系統管理者把 jail 分為下列兩種：<quote>complete(完全)</quote>
+      jail &mdash; 通常包括完整的 &os; 系統；另一種則為
+      <quote>service(服務)</quote> jail &mdash;
+      專門只跑某單一可能要用特殊權限的程式或 service。  這只是一種概念上的區分
+      ，並不影響如何建立 jail 的過程。  至於如何建立 jail 在 &man.jail.8;
+      內有更詳細的說明：</para>
+
+      <screen>&prompt.root; <userinput>setenv D <replaceable>/here/is/the/jail</replaceable></userinput>
+&prompt.root; <userinput>mkdir -p $D</userinput> <co id="jailpath">
+&prompt.root; <userinput>cd /usr/src</userinput>
+&prompt.root; <userinput>make world DESTDIR=$D</userinput> <co id="jailworld">
+&prompt.root; <userinput>cd etc/</userinput> <footnote><para>&os; 6.0(含)
+之後就不需這步驟。</para></footnote>
+&prompt.root; <userinput>make distribution DESTDIR=$D</userinput> <co id="jaildistrib">
+&prompt.root; <userinput>mount -t devfs $D/dev</userinput> <co id="jaildevfs"></screen>
+
+    <calloutlist>
+      <callout arearefs="jailpath">
+	<para>首先就是先為 jail 找個家。  該路徑是在 host 系統中的 jail
+	  實體位置。  習慣是放在 <filename
+	  role="directory">/usr/jail/<replaceable>jailname</replaceable></filename>，
+	  <replaceable>jailname</replaceable> 請替換為該 jail 的 hostname
+	  以便辨別。  通常 <filename role="directory">/usr</filename>
+	  會有足夠空間來存放 jail 檔案系統，對於 <quote>complete</quote> jail
+	  而言，它通常包括了 &os; 預設安裝 base system 所有檔案的拷貝檔。</para>
+      </callout>
+
+      <callout arearefs="jailworld">
+	<para>該指令將會在 jail 目錄中安裝所需的 binary、library、manual 說明等
+	  。  這些是以傳統的 &os; 方式完成 &mdash; 即首先先編譯所有檔案，
+	  接著再裝到目的地。</para>
+      </callout>
+
+      <callout arearefs="jaildistrib">
+	<para>使用 <maketarget>distribution</maketarget> 這個
+	  <application>make</application> target 來裝所有會用到的設定檔。
+	  簡單來說該動作就是把 <filename
+	  role="directory">/usr/src/etc/</filename> 複製到 jail 環境內的
+	  <filename role="directory">/etc</filename>，也就是
+	  <filename role="directory">$D/etc/</filename>。
+      </callout>
+
+      <callout arearefs="jaildevfs">
+	<para>對於 jail 環境而言，&man.devfs.8; 檔案系統的掛載並非必須，
+	  但另一方面，幾乎所有應用程式都會需要存取至少一個設備(device)，
+	  這主要取決於該程式目的而定。  控制 jail 所能存取的設備非常重要，
+	  因為不正確的設定，會讓攻擊者對 jail 有機可趁。  至於如何透過
+	  &man.devfs.8; 來控制的規則，可以參閱 &man.devfs.8; 及
+	  &man.devfs.conf.5; 說明。</para>
+      </callout>
+    </calloutlist>
+
+    <para>裝好 jail 之後，就可以用 &man.jail.8; 工具。  &man.jail.8;
+      需要四項必填參數，這些參數在 <xref linkend="jails-what"> 有介紹過。
+      除了這四個參數之外，還可以指定其他參數，像是以特定帳號在 jail 中執行
+      process。  <option><replaceable>command</replaceable></option>
+      參數取決於 jail 類型而定；對於 <emphasis>virtual system(虛擬系統)
+      </emphasis>，那麼就選擇 <filename>/etc/rc</filename>，
+      因為它會完成真正 &os; 系統啟動所需的操作。  對於 <emphasis>service(服務)
+      </emphasis> jail 而言，執行的指令取決於將在 jail 內執行的 service
+      或應用程式而定。</para>
+
+    <para>Jail 通常要在系統開機時啟動，因此 &os; 的 <filename>rc</filename>
+      機制提供一些便利的方式來簡化這些工作：</para>
+
+    <procedure>
+      <step>
+	<para>開機時要啟動的 jail 清單要加到 &man.rc.conf.5; 設定檔：</para>
+
+	<programlisting>jail_enable="YES"   # 若設為 NO 則表示不自動啟動 jail
+jail_list="<replaceable>www</replaceable>"     # 若有許多 jail 則請以空白隔開來寫</programlisting>
+      </step>
+
+      <step>
+	<para>對於每一筆在 <varname>jail_list</varname> 所列出的 jail，
+	  也要在 &man.rc.conf.5; 做出相對應的設定：</para>
+
+	<programlisting>jail_<replaceable>www</replaceable>_rootdir="/usr/jail/www"     # jail 的根目錄
+jail_<replaceable>www</replaceable>_hostname="<replaceable>www</replaceable>.example.org"  # jail 的 hostname
+jail_<replaceable>www</replaceable>_ip="192.168.0.10"           # jail 的 IP address
+jail_<replaceable>www</replaceable>_devfs_enable="YES"          # 在 jail 內 mount devfs
+jail_<replaceable>www</replaceable>_devfs_ruleset="<replaceable>www_ruleset</replaceable>" # jail 內所用的 devfs 規則表</programlisting>
+
+	<para>在 &man.rc.conf.5; 所預設的 jail 啟動設定會跑
+	  <filename>/etc/rc</filename> 內的 jail script，也就是說會假設 jail
+	  是完整的虛擬系統。  若要用 service jail 類型，則要另外指定啟動指令，
+	  方法是設定對應的
+	  <varname>jail_<replaceable>jailname</replaceable>_exec_start</varname>
+	  設定。</para>
+
+	<note>
+	  <para>若欲知道所有可用的選項清單，請參閱 &man.rc.conf.5; 說明。</para>
+	</note>
+    </procedure>
+
+    <para>也可以透過手動執行 <filename>/etc/rc.d/jail</filename> script
+      來啟動或停止 <filename>rc.conf</filename> 所設定的 jail：</para>
+
+    <screen>&prompt.root; <userinput>/etc/rc.d/jail start <replaceable>www</replaceable></userinput>
+&prompt.root; <userinput>/etc/rc.d/jail stop <replaceable>www</replaceable></userinput></screen>
+
+    <para>目前尚無任何方法來很乾淨地關閉 &man.jail.8;。
+      此乃因為正常用來關閉系統的指令，目前尚不能在 jail 中使用。  目前關閉 jail
+      最佳的方式，是在 jail 內執行下列指令，或者 jail 外面透過 &man.jexec.8;
+      執行下列指令：</para>
+
+    <screen>&prompt.root; <userinput>sh /etc/rc.shutdown</userinput></screen>
+
+    <para>詳情請參閱 &man.jail.8; 說明。</para>
+  </sect1>
+
+  <sect1 id="jails-tuning">
+    <title>微調與管理</title>
+
+    <para>可以為 jail 設定許多不同選項，並讓 &os; 的 host 系統與 jail
+      以各種不同方式組合搭配，以符合更多的應用用途。  本節要介紹的是：</para>
+
+    <itemizedlist>
+      <listitem>
+	<para>用以微調 jail 行為與安全限制的選項。</para>
+      </listitem>
+
+      <listitem>
+	<para>可透過 &os; Ports Collection 安裝的高階 jail 管理程式，
+	  搭配這些程式可以達到一些 jail-based 解決方案。</para>
+    </itemizedlist>
+
+    <sect2 id="jails-tuning-utilities">
+      <title>&os; 所提供的 jail tuning 工具</title>
+
+      <para>對於 jail 設定的微調，基本上都是透過設定 &man.sysctl.8; 變數來完成。
+	系統提供一組  sysctl 的特殊子樹，全部相關的選項都在該子樹內，也就是
+	&os; kernel 中的 <varname>security.jail.*</varname> 子樹。
+	下面則是與 jail 相關的主要 sysctl 設定及預設值，這些名稱都相當容易理解，
+	如欲更進一步的資訊，請參閱 &man.jail.8; 與 &man.sysctl.8; 說明：</para>
+
+      <itemizedlist>
+	<listitem>
+	  <para><varname>security.jail.set_hostname_allowed:
+	     1</varname></para>
+	</listitem>
+
+	<listitem>
+	  <para><varname>security.jail.socket_unixiproute_only:
+	     1</varname></para>
+	</listitem>
+
+	<listitem>
+	  <para><varname>security.jail.sysvipc_allowed:
+	     0</varname></para>
+	</listitem>
+
+	<listitem>
+	  <para><varname>security.jail.enforce_statfs:
+	     2</varname></para>
+	</listitem>
+
+	<listitem>
+	  <para><varname>security.jail.allow_raw_sockets:
+	     0</varname></para>
+	</listitem>
+
+	<listitem>
+	  <para><varname>security.jail.chflags_allowed:
+	    0</varname></para>
+	</listitem>
+
+	<listitem>
+	  <para><varname>security.jail.jailed: 0</varname></para>
+	</listitem>
+      </itemizedlist>
+
+      <para>系統管理者可在 <emphasis>host system</emphasis>
+	透過修改這些設定值來增加、取消 Jail 內 <username>root</username>
+	帳號的預設限制。  請注意：有些限制是不能取消，在 &man.jail.8; 環境的
+	<username>root</username> 不能掛載或卸載檔案系統。  此外亦不能載入、
+	卸載 &man.devfs.8; 規則、設定防火牆規則，或執行其他需修改 kernel
+	資料的管理作業，例如設定 kernel 的 <varname>securelevel</varname>
+	值。</para>
+
+      <para>&os; base system 內附一些基本工具，可用來查閱目前使用中的 jail、
+	並接上(attach) jail 以執行管理指令。  &man.jls.8; 及 &man.jexec.8;
+	均屬於 &os; base system 之一，可用來執行一些簡單工作：</para>
+
+      <itemizedlist>
+	<listitem>
+	  <para>列出有在使用的 jail 及其相對應的 jail identifier
+	    (<acronym>JID</acronym>)、<acronym>IP</acronym> address、
+	    hostname、路徑。</para>
+	</listitem>
+
+	<listitem>
+	  <para>接上(Attach)正在運作中的 jail，並在其中執行指令以進行管理工作。
+	    這點在當 <username>root</username> 想乾淨關閉 jail 時相當有用，
+	    &man.jexec.8; 也可用在 jail 中啟動 shell 以便對其進行管理，
+	    比如：</para>
+
+	  <screen>&prompt.root; <userinput>jexec <replaceable>1</replaceable> tcsh</userinput></screen>
+	</listitem>
+      </itemizedlist>
+    </sect2>
+
+    <sect2 id="jails-tuning-admintools">
+      <title>&os; Ports Collection 所提供的高階管理工具</title>
+
+    <para>在諸多 third-party 所提供的 jail 管理工具當中，<filename
+      role="package">sysutils/jailutils</filename> 是最完整也最好用的。
+      該套件是由一系列 &man.jail.8; 管理小工具所組成的。  詳情請參閱其網站介紹
+      。</para>
+    </sect2>
+  </sect1>
+
+  <sect1 id="jails-application">
+    <title>Jail 的應用</title>
+
+    <sect2 id="jails-service-jails">
+      <sect2info>
+	<authorgroup>
+	  <author>
+	    <firstname>Daniel</firstname>
+	    <surname>Gerzo</surname>
+	    <contrib>Contributed by </contrib>
+	    <!-- 15. May 2007 -->
+	  </author>
+	</authorgroup>
+      </sect2info>
+
+      <title>Service Jails</title>
+
+      <para>本節主要以 &a.simon; 寫的 <ulink
+	url="http://simon.nitro.dk/service-jails.html"></ulink> 為主，加上
+	Ken Tom <email>locals@gmail.com</email> 所更新的文章。
+	本節介紹如何設定 &os; 以 &man.jail.8; 功能來增加額外的安全層面。
+	這部分假設您系統跑的是 RELENG_6_0 或更新的版本，
+	並且對本章先前部分均能理解。</para>
+
+      <sect3 id="jails-service-jails-design">
+       <title>Design</title>
+
+	<para>Jail 的主要問題之一在於如何對其進行更新、升級和管理。
+	  由於每個 jail 都是從頭重新編譯，對於單一 jail 而言，
+	  升級也許還不是很嚴重的問題，因為更新、升級並不會太麻煩。
+	  但對於一堆 jail 而言，升級不僅會耗費太多時間，並相當枯燥乏味。</para>
+
+	<warning>
+	  <para>這些設定的前提是您對 &os; 使用、功能運用上有相當的經驗，
+	    若下面的設定對您來說太過複雜，建議您該考慮用較簡易的系統，像是
+	    <filename role="package">sysutils/ezjail</filename>，其提供更簡單的
+	    &os; jail 管理方式。</para>
+	</warning>
+
+	<para>基本的想法是在不同的 jail 中儘量以安全的方式來共用資源
+	  &mdash; 採用唯讀的 &man.mount.nullfs.8; 掛載，來讓升級更簡單，
+	  並把各個 service 放到不同的 jail 的作法會更加可行。  此外，
+	  其也提供對於如何增加、刪除、升級 jail 的簡便方式。</para>
+
+	<note>
+	  <para>service 常見的例子包括：
+	  <acronym>HTTP</acronym> server、<acronym>DNS</acronym>
+	  server、<acronym>SMTP</acronym> server 等等。</para>
+	</note>
+
+	<para>本節介紹的設定目的在於：</para>
+
+	<itemizedlist>
+	  <listitem>
+	    <para>建立簡易且容易理解的 jail 架構。  也就是說
+	      <emphasis>不必</emphasis>為每個 jail 都執行完整的 installworld
+	      。</para>
+	  </listitem>
+	  <listitem>
+	    <para>讓 jail 的新增、移除更簡單。</para>
+	  </listitem>
+	  <listitem>
+	    <para>讓 jail 的更新、升級更輕鬆。</para>
+	  </listitem>
+	  <listitem>
+	    <para>可以跑自行打造的 &os; 分支。</para>
+	  </listitem>
+	  <listitem>
+	    <para>對安全有更偏執狂的追求，儘可能降低被攻陷的可能。</para>
+	  </listitem>
+	  <listitem>
+	    <para>儘量節省空間與 inode。</para>
+	  </listitem>
+	</itemizedlist>
+
+	<para>如同先前所提到的，這設計主要是靠把唯讀的主要模版
+	  (也就是大家所熟知的 <application>nullfs</application>)掛載到每個
+	  jail，並且讓每個 jail 有個可讀、寫的設備，這設備可以是獨立實體硬碟、
+	  、分割區、或以 vnode 為後端的 &man.md.4; 設備。  在本例當中，
+	  我們採用可讀寫的 <application>nullfs</application> 掛載。</para>
+
+	<para>下面的表則介紹檔案系統的配置：</para>
+
+	<itemizedlist>
+	  <listitem>
+	    <para>每個 jail 都會掛載到 <filename
+	      role="directory">/home/j</filename> 底下的其中一個目錄。</para>
+	  </listitem>
+	  <listitem>
+	    <para><filename role="directory">/home/j/mroot</filename> 則是每個
+	      jail 共用的模版，並對於所有 jail 而言都是唯讀。</para>
+	  </listitem>
+	  <listitem>
+	    <para>每個 jail 在 <filename role="directory">/home/j</filename>
+	      底下都有一個相對應的空目錄。</para>
+	  </listitem>
+	  <listitem>
+	    <para>每個 jail 都會有 <filename
+	      role="directory">/s</filename> 目錄，
+	      該目錄會連到系統的可讀寫部分。</para>
+	  </listitem>
+	  <listitem>
+	    <para>每個 jail 都會在 <filename
+	      role="directory">/home/j/skel</filename> 目錄建立自屬的可讀寫空間
+	      。</para>
+	  </listitem>
+	  <listitem>
+	    <para>每個 jailspace (各 jail 可讀寫的部分) 都建在 <filename
+	      role="directory">/home/js</filename>>。<para>
+	  </listitem>
+	</itemizedlist>
+
+	<note>
+	  <para>這邊假設所有 jail 都放在
+	    <filename role="directory">/home</filename> 分割區。  當然，
+	    也可以依自身需求更改，但接下來的例子中，
+	    也要記得修改相對應的地方。</para>
+	</note>
+	<!-- Insert an image or drawing here to illustrate the example. -->
+      </sect3>
+
+      <sect3 id="jails-service-jails-template">
+	<title>建立模版</title>
+
+	<para>本節將逐步介紹如何建立 jail 要用的唯讀主模版。</para>
+
+	<para>建議先把 &os; 系統升級到最新的 -RELEASE 分支，至於如何做請參閱
+	  Handbook 的
+	  <ulink url="&url.books.handbook;/makeworld.html">相關章節</ulink>。
+	  當更新完成之後，就要進行 buildworld 程序，此外還要裝 <filename
+	  role="package">sysutils/cpdup</filename> 套件。
+	  我們將用 &man.portsnap.8; 來下載 &os; Ports Collection，
+	  在 Handbook 中對 <ulink
+	  url="&url.books.handbook;/portsnap.html">Portsnap 章節</ulink>
+	  中有相關介紹，初學者可以看看。</para>
+
+	<procedure>
+	  <step>
+	    <para>首先，先建立唯讀的目錄結構給 jail 放 &os; binary，
+	      接著到 &os; source tree 目錄，並安裝 jail 模版：</para>
+
+	    <screen>&prompt.root; <userinput>mkdir -p /home/j/mroot</userinput>
+&prompt.root; <userinput>cd /usr/src</userinput>
+&prompt.root; <userinput>make installworld DESTDIR=/home/j/mroot</userinput></screen>
+	  </step>
+	  <step>
+	    <para>接著跟 &os; source tree 一樣，也把 &os; Ports Collection
+	      放一份供 jail 使用，以備 <application>mergemaster</application>
+	      ：</para>
+
+	    <screen>&prompt.root; <userinput>cd /home/j/mroot</userinput>
+&prompt.root; <userinput>mkdir usr/ports</userinput>
+&prompt.root; <userinput>portsnap -p /home/j/mroot/usr/ports fetch extract</userinput>
+&prompt.root; <userinput>cpdup /usr/src /home/j/mroot/usr/src</userinput></screen>
+	  </step>
+	  <step>
+	    <para>建立可讀寫部分的骨架：</para>
+
+	    <screen>&prompt.root; <userinput>mkdir /home/j/skel /home/j/skel/home /home/j/skel/usr-X11R6 /home/j/skel/distfiles</userinput>
+&prompt.root; <userinput>mv etc /home/j/skel</userinput>
+&prompt.root; <userinput>mv usr/local /home/j/skel/usr-local</userinput>
+&prompt.root; <userinput>mv tmp /home/j/skel</userinput>
+&prompt.root; <userinput>mv var /home/j/skel</userinput>
+&prompt.root; <userinput>mv root /home/j/skel</userinput></screen>
+	  </step>
+	  <step>
+	    <para>用 <application>mergemaster</application> 來裝漏掉的設定檔。
+	      接下來刪除 <application>mergemaster</application>
+	      所建立的多餘目錄：</para>
+
+	    <screen>&prompt.root; <userinput>mergemaster -t /home/j/skel/var/tmp/temproot -D /home/j/skel -i</userinput>
+&prompt.root; <userinput>cd /home/j/skel</userinput>
+&prompt.root; <userinput>rm -R bin boot lib libexec mnt proc rescue sbin sys usr dev</userinput></screen>
+	  </step>
+	  <step>
+	    <para>現在把可讀寫的檔案系統以 symlink 方式連到唯讀的檔案系統。
+	      請確認 symbolic link 是否有正確連到 <filename
+	      role="directory">s/</filename> 目錄，若目錄建立方式不對，
+	      或指向位置不對，可能會導致安裝失敗。</para>
+
+	    <screen>&prompt.root; <userinput>cd /home/j/mroot</userinput>
+&prompt.root; <userinput>mkdir s</userinput>
+&prompt.root; <userinput>ln -s s/etc etc</userinput>
+&prompt.root; <userinput>ln -s s/home home</userinput>
+&prompt.root; <userinput>ln -s s/root root</userinput>
+&prompt.root; <userinput>ln -s ../s/usr-local usr/local</userinput>
+&prompt.root; <userinput>ln -s ../s/usr-X11R6 usr/X11R6</userinput>
+&prompt.root; <userinput>ln -s ../../s/distfiles usr/ports/distfiles</userinput>
+&prompt.root; <userinput>ln -s s/tmp tmp</userinput>
+&prompt.root; <userinput>ln -s s/var var</userinput></screen>
+	  </step>
+	  <step>
+	    <para>最後則是新增 <filename>/home/j/skel/etc/make.conf</filename>
+	      ，並填入以下內容：</para>
+
+	      <programlisting>WRKDIRPREFIX?=  /s/portbuild</programlisting>
+
+
+	      <para>要設定 <literal>WRKDIRPREFIX</literal> 才可以讓各 jail
+		得以順利編譯 &os; ports。請記住 ports 目錄是屬唯讀檔案系統。
+		而搭配自訂的 <literal>WRKDIRPREFIX</literal> 才可以讓各 jail
+		在可讀寫空間進行編譯。</para>
+	  </step>
+	</procedure>
+      </sect3>
+
+      <sect3 id="jails-service-jails-creating">
+	<title>建立 Jail</title>
+
+	<para>現在已經有完整的 &os; jail 模版，可以在
+	  <filename>/etc/rc.conf</filename> 內做相關設定。
+	  下面這例子則示範如何建立 3 個 jail：<quote>NS</quote>、
+	  <quote>MAIL</quote>、<quote>WWW</quote>。<para>
+
+	<procedure>
+	  <step>
+	    <para>在 <filename>/etc/fstab</filename> 加上下列設定，
+	      以便讓系統自動掛載各 jail 所需的唯讀模版與讀寫空間：</para>
+
+	    <programlisting>/home/j/mroot   /home/j/ns     nullfs  ro  0   0
+/home/j/mroot   /home/j/mail   nullfs  ro  0   0
+/home/j/mroot   /home/j/www    nullfs  ro  0   0
+/home/js/ns     /home/j/ns/s   nullfs  rw  0   0
+/home/js/mail   /home/j/mail/s nullfs  rw  0   0
+/home/js/www    /home/j/www/s  nullfs  rw  0   0</programlisting>
+	
+	    <note>
+	      <para>分割區的 pass number 標示為 0 就不會在開機時做 &man.fsck.8;
+		檢查；而分割區的 dump number 標示為 0 則不會被 &man.dump.8;
+		所備份。
+		我們並不希望
+		<application>fsck</application> 檢查
+		<application>nullfs</application> 的掛載，或者讓
+		<application>dump</application> 備份 jail 內唯讀的 nullfs 掛載。
+		這也就是為何上述 <filename>fstab</filename>
+		每行設定後面都有兩欄為 <quote>0&nbsp;0</quote>。</para>
+	    </note>
+	  </step>
+	  <step>
+	    <para>在 <filename>/etc/rc.conf</filename> 內設定 jail：</para>
+
+	    <programlisting>jail_enable="YES"
+jail_set_hostname_allow="NO"
+jail_list="ns mail www"
+jail_ns_hostname="ns.example.org"
+jail_ns_ip="192.168.3.17"
+jail_ns_rootdir="/usr/home/j/ns"
+jail_ns_devfs_enable="YES"
+jail_mail_hostname="mail.example.org"
+jail_mail_ip="192.168.3.18"
+jail_mail_rootdir="/usr/home/j/mail"
+jail_mail_devfs_enable="YES"
+jail_www_hostname="www.example.org"
+jail_www_ip="62.123.43.14"
+jail_www_rootdir="/usr/home/j/www"
+jail_www_devfs_enable="YES"</programlisting>
+
+	    <warning>
+	      <para>之所以要把
+		<varname>jail_<replaceable>name</replaceable>_rootdir</varname>
+		從 <filename role="directory">/home</filename> 改為 <filename
+		role="directory">/usr/home</filename> 的原因在於 &os;
+		預設安裝的 <filename
+		role="directory">/home</filename> 目錄其實只是指向 <filename
+		role="directory">/usr/home</filename> 的 symbolic link。  而
+		<varname>jail_<replaceable>name</replaceable>_rootdir</varname>
+		變數須為 <emphasis>實體目錄</emphasis> 而非 symbolic link，
+		否則 jail 會拒絕啟動。  可以用 &man.realpath.1;
+		來決定該變數。  詳情請參閱 &os;-SA-07:01.jail 安全通告。</para>
+	    </warning>
+	  </step>
+	  <step>
+	    <para>替每個 jail 建立必須的唯讀檔案系統掛載點：</para>
+
+	    <screen>&prompt.root; <userinput>mkdir /home/j/ns /home/j/mail /home/j/www</userinput></screen>
+	  </step>
+	  <step>
+	    <para>為每個 jail 安裝可讀寫的模版。  請注意這時要用 <filename
+	      role="package">sysutils/cpdup</filename>
+	      ，它能確保每個目錄都有正確複製。</para>
+	    <!-- keramida: Why is cpdup required here?  Doesn't cpio(1)
+	     already include adequate functionality for performing this
+	     job *and* have the advantage of being part of the base
+	     system of FreeBSD? -->
+
+	    <screen>&prompt.root; <userinput>mkdir /home/js</userinput>
+&prompt.root; <userinput>cpdup /home/j/skel /home/js/ns</userinput>
+&prompt.root; <userinput>cpdup /home/j/skel /home/js/mail</userinput>
+&prompt.root; <userinput>cpdup /home/j/skel /home/js/www</userinput></screen>
+	  </step>
+	  <step>
+	    <para>如此一來就已完成 jail 環境建立，可以準備好要用了。
+	      請先為各 jail 掛載所須的檔案系統，再用
+	      <filename>/etc/rc.d/jail</filename> script 來啟動：</para>
+
+	    <screen>&prompt.root; <userinput>mount -a</userinput>
+&prompt.root; <userinput>/etc/rc.d/jail start</userinput></screen>
+	  </step>
+	</procedure>
+
+	<para>現在 jail 應該就會啟動了。  若要檢查是否有正常啟動，可以用
+	  &man.jls.8; 指令來看，該指令的執行結果應該類似下面：</para>
+
+	<screen>&prompt.root; <userinput>jls</userinput>
+   JID  IP Address      Hostname                      Path
+     3  192.168.3.17    ns.example.org                /home/j/ns
+     2  192.168.3.18    mail.example.org              /home/j/mail
+     1  62.123.43.14    www.example.org               /home/j/www</screen>
+
+	<para>此時就可以登入各 jail 並新增帳號與設定相關 service 要用的 daemon
+	  。  上面的 <literal>JID</literal> 欄代表正在運作中的 jail 編號。
+	  可用下列指令以在 <literal>JID</literal> 編號 3 的 jail
+	  執行管理工作：</para>
+
+	<screen>&prompt.root; <userinput>jexec 3 tcsh</userinput></screen>
+      </sect3>
+
+      <sect3 id="jails-service-jails-upgrading">
+	<title>升級</title>
+
+	<para>有時由於安全問題或者 jail 內要用新功能，而需要把 &os;
+	  系統升級到更新。  這種安裝設計方式讓既有的 jail 升級變得更加容易。
+	  jail 也可以把 service 停機時間(downtime)降到最低，因為 jail
+	  只需在最後關鍵才需要重開。  此外，萬一新版有問題的話，
+	  它也提供輕鬆回溯到舊版的功能。</para>
+
+	<procedure>
+	  <step>
+	    <para>首先是照一般方式來升級 host system，再新增臨時的唯讀模版
+	      <filename role="directory">/home/j/mroot2</filename>：</para>
+
+	    <screen>&prompt.root; <userinput>mkdir /home/j/mroot2</userinput>
+&prompt.root; <userinput>cd /usr/src</userinput>
+&prompt.root; <userinput>make installworld DESTDIR=/home/j/mroot2</userinput>
+&prompt.root; <userinput>cd /home/j/mroot2</userinput>
+&prompt.root; <userinput>cpdup /usr/src usr/src</userinput>
+&prompt.root; <userinput>mkdir s</userinput></screen>
+
+	    <para>同樣地，在執行 <maketarget>installworld</maketarget>
+	      時會建立一些用不著的目錄，請把這些砍掉：</para>
+
+	    <screen>&prompt.root; <userinput>chflags -R 0 var</userinput>
+&prompt.root; <userinput>rm -R etc var root usr/local tmp</userinput></screen>
+	  </step>
+	  <step>
+	    <para>重新建立到主系統的可讀寫空間 symlink：</para>
+
+	    <screen>&prompt.root; <userinput>ln -s s/etc etc</userinput>
+&prompt.root; <userinput>ln -s s/root root</userinput>
+&prompt.root; <userinput>ln -s s/home home</userinput>
+&prompt.root; <userinput>ln -s ../s/usr-local usr/local</userinput>
+&prompt.root; <userinput>ln -s ../s/usr-X11R6 usr/X11R6</userinput>
+&prompt.root; <userinput>ln -s s/tmp tmp</userinput>
+&prompt.root; <userinput>ln -s s/var var</userinput></screen>
+	  </step>
+	  <step>
+	    <para>現在可以關閉 jail：</para>
+
+	    <screen>&prompt.root; <userinput>/etc/rc.d/jail stop</userinput></screen>
+	  </step>
+	  <step>
+	    <para>卸載原先的檔案系統：</para>
+	    <!-- keramida: Shouldn't we suggest a short script-based
+	     loop here, instead of tediously copying the same commands
+	     multiple times? -->
+
+	    <screen>&prompt.root; <userinput>umount /home/j/ns/s</userinput>
+&prompt.root; <userinput>umount /home/j/ns</userinput>
+&prompt.root; <userinput>umount /home/j/mail/s</userinput>
+&prompt.root; <userinput>umount /home/j/mail</userinput>
+&prompt.root; <userinput>umount /home/j/www/s</userinput>
+&prompt.root; <userinput>umount /home/j/www</userinput></screen>
+
+	    <note>
+	      <para>可讀寫空間(<filename role="directory">/s</filename>
+		是掛載在唯讀檔案系統底下，故要先卸載。</para>
+	    </note>
+	  </step>
+	  <step>
+	    <para>把舊的唯讀系統搬走，換成新的。  如此一來，
+	      可同時保留先前系統的備份，以備萬一升級後有問題可回復。
+	      這邊的命名方式採新唯讀檔案系統的建立時間，此外原先 &os;
+	      Ports Collection 直接搬到新的檔案系統，以節省硬碟空間與 inode
+	      ：</para>
+
+	    <screen>&prompt.root; <userinput>cd /home/j</userinput>
+&prompt.root; <userinput>mv mroot mroot.20060601</userinput>
+&prompt.root; <userinput>mv mroot2 mroot</userinput>
+&prompt.root; <userinput>mv mroot.20060601/usr/ports mroot/usr</userinput></screen>
+	  </step>
+	  <step>
+	    <para>現在新的唯讀模版準備好了，只剩下重新掛載以及啟動 jail：</para>
+
+	    <screen>&prompt.root; <userinput>mount -a</userinput>
+&prompt.root; <userinput>/etc/rc.d/jail start</userinput></screen>
+	  </step>
+	</procedure>
+
+	<para>最後以 &man.jls.8; 來檢查 jail 是否均正常啟動。
+	  別忘了要在各 jail 內執行 mergemaster，還有相關設定檔以及
+	  rc.d scripts 均要更新。</para>
+      </sect3>
+    </sect2>
+  </sect1>
+</chapter>