Настройка FreeBSD-сервера с нуля: ZFS, pf, jails и hardening

Как настроить FreeBSD: ZFS, pf, jails — пошаговое руководство

Хотите получить стабильный сервер с минимальными накладными расходами? Профессиональная настройка FreeBSD — это основа для предсказуемой работы ваших сервисов.

FreeBSD — не Linux. Это принципиальное отличие: другое ядро, другая файловая система по умолчанию (UFS или ZFS), другой менеджер пакетов (pkg), другой файервол (pf), другой init (rc.d). Специалисты выбирают FreeBSD за несколько вещей: нативный ZFS без накладных расходов DKMS, pf как один из лучших stateful-файерволов, жёсткие гарантии целостности данных через CoW, и предсказуемую производительность сетевого стека. Мы занимаемся настройкой FreeBSD-серверов более 5 лет — за плечами 30+ коммерческих проектов, включая высоконагруженные системы с нагрузкой до 100 Гбит/с и базой данных на 5000 запросов в секунду. Закажите консультацию — оценим ваш проект и предложим оптимальную конфигурацию под нагрузку.

Как настроить FreeBSD-сервер под ключ?

Установщик FreeBSD (bsdinstall) довольно консервативен — вопросы задаются последовательно. Для серверов выбираем минимальный набор компонентов: kernel, base, lib32. src и ports-tree на сервере обычно не нужны, если не планируем собирать ПО из исходников.

Выбор файловой системы при установке — критическое решение. ZFS на FreeBSD — нативный, не FUSE, работает быстро и стабильно. Пример разметки:

Partition Scheme: GPT - freebsd-boot (512K) - freebsd-swap (размер RAM) - freebsd-zfs (остаток) → zpool: zroot 

После установки и первого входа через консоль настраиваем /etc/rc.conf — главный файл конфигурации сервисов. Сразу включаем pf, sshd, ntpd и задаём hostname:

cat >> /etc/rc.conf << 'EOF'
hostname="freebsd-prod-01"
ifconfig_vtnet0="DHCP"
sshd_enable="YES"
ntpd_enable="YES"
ntpd_sync_on_start="YES"
pf_enable="YES"
pflog_enable="YES"
EOF

pkg: менеджер бинарных пакетов и базовые инструменты

Установите необходимые пакеты: pkg bootstrap, pkg update, pkg upgrade -y, затем pkg install -y vim curl wget git bash sudo. Ports tree (/usr/ports) даёт возможность собирать пакеты из исходников с кастомными флагами. На продакшен-сервере это редко нужно — бинарные пакеты из pkg закрывают 95% потребностей.

pf: файервол с выразительным синтаксисом

FreeBSD использует pf из OpenBSD — один из наиболее выразительных синтаксисов firewall-правил. Конфиг лежит в /etc/pf.conf:

# Интерфейс
ext_if = "vtnet0"

# Блокируем всё входящее, разрешаем исходящее
set block-policy drop
block in all
pass out all keep state

# Loopback
pass in on lo0 all

# Разрешаем SSH только с управляющей подсети
pass in on $ext_if proto tcp from <10.0.0.0/24> to any port 22 flags S/SA keep state

# HTTP/HTTPS
pass in on $ext_if proto tcp to any port { 80, 443 } flags S/SA keep state

# ICMP
pass in inet proto icmp all icmp-type echoreq

EOF
pfctl -f /etc/pf.conf && pfctl -sr && pfctl -s info

SSH и пользователи

pw useradd deploy -m -s /bin/bash && pw groupmod wheel -m deploy
pkg install -y sudo
echo "%wheel ALL=(ALL) ALL" >> /usr/local/etc/sudoers
cat > /etc/ssh/sshd_config.d/hardening.conf << 'EOF'
PermitRootLogin no
PasswordAuthentication no
MaxAuthTries 3
X11Forwarding no
EOF
service sshd restart

Почему стоит выбрать ZFS на FreeBSD?

Если выбрали ZFS при установке — базовый пул zroot уже создан. Управление пулами и датасетами делается через zpool и zfs. Снапшоты перед freebsd-update или крупным обновлением пакетов — обязательная практика на FreeBSD. Откат занимает секунды. ZFS на FreeBSD работает на 20-30% быстрее, чем ZFS на Linux через DKMS, благодаря отсутствию дополнительного уровня абстракции. Также доступно сжатие lz4 «из коробки», что даёт до 40% экономии места на типичных логах.

zpool status && zfs list
zfs snapshot zroot/ROOT/default@before-update
zfs rollback zroot/ROOT/default@before-update
zfs set compression=lz4 zroot/data

Обновление базовой системы

В отличие от Linux, базовая система FreeBSD (ядро + userland) обновляется отдельно от пакетов. Процесс безопасный: перед обновлением делаем снапшот, после — ребут и ещё одна установка для userland. Пакеты обновляются через pkg upgrade. Для периодических обновлений используем freebsd-update, настраиваем автоматические проверки через cron. Это снижает риск уязвимостей при минимальном оверхеде.

Как создать изолированное окружение с помощью jails?

Jails — это инструмент для изоляции процессов, похожий на контейнеры. На FreeBSD jails работают на уровне ядра, что даёт минимальные накладные расходы. Используем iocage для удобного управления. Пример создания:

iocage create -n web01 -r 13.3-RELEASE ip4_addr="vnet0|10.0.0.10/24" boot=on iocage start web01 

Jails позволяют разделить сервисы без необходимости запуска отдельных виртуальных машин. Это экономит ресурсы и упрощает обновления.

Как организовать мониторинг FreeBSD-сервера?

Установите node_exporter и Prometheus:

pkg install -y prometheus node_exporter grafana 

Настройте сбор метрик: CPU, memory, ZFS stats, сеть. Используйте Prometheus для хранения и Grafana для визуализации. Это даст полную картину производительности и раннее обнаружение проблем.

Как повысить безопасность FreeBSD-сервера?

Помимо pf и SSH hardening, используйте fail2ban (через pkg), настройте auditdist, включите security.bsd.see_other_uids=0 в sysctl, отключите неиспользуемые сервисы. Регулярно применяйте freebsd-update fetch install и проверяйте логи через syslog.

Что входит в настройку FreeBSD-сервера

• Аудит текущей инфраструктуры и выбор между FreeBSD и Linux.
• Установка ОС с ZFS или UFS, разметка дисков, настройка zpool.
• Настройка rc.conf, pf, SSH с hardening, NTP (ntpd или chrony).
• Установка и обновление пакетов через pkg, настройка sudo.
• Конфигурация jails (по необходимости) через ezjail или iocage.
• Документирование конфигурации и передача скриптов автоматизации.
• Обучение команды базовым операциям.

Дополнительно можем настроить мониторинг через Prometheus и Grafana, а также логирование с Loki. Это даёт прозрачность и предсказуемость работы.

Процесс работы

Оценка → Установка и первичная настройка → ZFS-пулы и jails → Установка ПО → Hardening → Документирование → Передача проекта. Каждый этап фиксируем и тестируем.

Таблица сравнения: FreeBSD vs Linux для сервера

Стоимость рассчитывается индивидуально с учётом специфики FreeBSD-стека и требований к серверу. Свяжитесь с нами, чтобы получить консультацию и точную оценку в течение дня.