Налаштування FreeBSD-сервера з нуля: ZFS, pf, jails та hardening

Налаштування FreeBSD: ZFS, pf, jails — покрокове керівництво

Хочете отримати стабільний сервер з мінімальними накладними витратами? Професійне налаштування FreeBSD — це основа для передбачуваної роботи ваших сервісів.

FreeBSD — не Linux. Це принципова відмінність: інше ядро, інша файлова система за замовчуванням (UFS або ZFS), інший менеджер пакетів (pkg), інший файрвол (pf), інший init (rc.d). Спеціалісти обирають FreeBSD за декілька речей: нативний ZFS без накладних витрат DKMS, pf як один з найкращих stateful-файрволів, жорсткі гарантії цілісності даних через CoW, та передбачувану продуктивність мережевого стеку. Ми займаємося налаштуванням FreeBSD-серверів більше 5 років — за плечима 30+ комерційних проектів, включаючи високонавантажені системи з навантаженням до 100 Гбіт/с та базою даних на 5000 запитів на секунду. Замовте консультацію — оцінимо ваш проект та запропонуємо оптимальну конфігурацію під навантаження.

Як проблеми вирішує професійне налаштування?

Багато адміністраторів стикаються з типовими труднощами при налаштуванні FreeBSD: неправильне розбиття дисків при встановленні ZFS, некоректні правила pf, що блокують необхідний трафік, або неоптимальне використання jails. Ми вирішуємо ці проблеми за допомогою перевірених практик та глибокого розуміння внутрішньої архітектури FreeBSD.

Як ми налаштовуємо FreeBSD-сервер під ключ

Встановлювач FreeBSD (bsdinstall) досить консервативний — питання задаються послідовно. Для серверів обираємо мінімальний набір компонентів: kernel, base, lib32. src та ports-tree на сервері зазвичай не потрібні, якщо не плануємо збирати ПЗ з вихідників.

Вибір файлової системи при встановленні — критичне рішення. ZFS на FreeBSD — нативний, не FUSE, працює швидко та стабільно. Приклад розмітки:

Partition Scheme: GPT - freebsd-boot (512K) - freebsd-swap (розмір RAM) - freebsd-zfs (залишок) → zpool: zroot 

Після встановлення та першого входу через консоль налаштовуємо /etc/rc.conf — головний файл конфігурації сервісів. Відразу вмикаємо pf, sshd, ntpd та задаємо hostname:

cat >> /etc/rc.conf << 'EOF'
hostname="freebsd-prod-01"
ifconfig_vtnet0="DHCP"
sshd_enable="YES"
ntpd_enable="YES"
ntpd_sync_on_start="YES"
pf_enable="YES"
pflog_enable="YES"
EOF

pkg: менеджер бінарних пакетів та базові інструменти

Встановіть необхідні пакети: pkg bootstrap, pkg update, pkg upgrade -y, потім pkg install -y vim curl wget git bash sudo. Ports tree (/usr/ports) дає можливість збирати пакети з вихідників з кастомними флагами. На продакшен-сервері це рідко потрібно — бінарні пакети з pkg закривають 95% потреб.

pf: файрвол з виразним синтаксисом

FreeBSD використовує pf з OpenBSD — один з найбільш виразних синтаксисів firewall-правил. Конфіг лежить у /etc/pf.conf:

# Інтерфейс
ext_if = "vtnet0"
# Блокуємо все вхідне, дозволяємо вихідне
set block-policy drop
block in all
pass out all keep state
# Loopback
pass in on lo0 all
# Дозволяємо SSH тільки з керуючої підмережі
pass in on $ext_if proto tcp from <10.0.0.0/24> to any port 22 flags S/SA keep state
# HTTP/HTTPS
pass in on $ext_if proto tcp to any port { 80, 443 } flags S/SA keep state
# ICMP
pass in inet proto icmp all icmp-type echoreq
EOF
pfctl -f /etc/pf.conf && pfctl -sr && pfctl -s info

SSH та користувачі

pw useradd deploy -m -s /bin/bash && pw groupmod wheel -m deploy
pkg install -y sudo
echo "%wheel ALL=(ALL) ALL" >> /usr/local/etc/sudoers
cat > /etc/ssh/sshd_config.d/hardening.conf << 'EOF'
PermitRootLogin no
PasswordAuthentication no
MaxAuthTries 3
X11Forwarding no
EOF
service sshd restart

Чому варто обрати ZFS на FreeBSD?

Якщо обрали ZFS при встановленні — базовий пул zroot вже створений. Управління пулами та датасетами робиться через zpool та zfs. Снапшоти перед freebsd-update або великим оновленням пакетів — обов'язкова практика на FreeBSD. Відкат займає секунди. ZFS на FreeBSD працює на 30% швидше, ніж ZFS на Linux через DKMS, завдяки відсутності додаткового рівня абстракції (тестування Phoronix). Також доступне стиснення lz4 «з коробки», що дає до 40% економії місця на типових логах.

zpool status && zfs list
zfs snapshot zroot/ROOT/default@before-update
zfs rollback zroot/ROOT/default@before-update
zfs set compression=lz4 zroot/data

Оновлення базової системи

На відміну від Linux, базова система FreeBSD (ядро + userland) оновлюється окремо від пакетів. Процес безпечний: перед оновленням робимо снапшот, після — ребут і ще одне встановлення для userland. Пакети оновлюються через pkg upgrade. Для періодичних оновлень використовуємо freebsd-update, налаштовуємо автоматичні перевірки через cron. Це знижує ризик вразливостей при мінімальному оверхеді.

Створення ізольованих середовищ за допомогою jails

Jails — це інструмент для ізоляції процесів, схожий на контейнери. На FreeBSD jails працюють на рівні ядра, що дає мінімальні накладні витрати. Використовуємо iocage для зручного управління. Приклад створення:

iocage create -n web01 -r 13.3-RELEASE ip4_addr="vnet0|10.0.0.10/24" boot=on iocage start web01 

Jails дозволяють розділити сервіси без необхідності запуску окремих віртуальних машин. Це економить ресурси та спрощує оновлення.

Організація моніторингу FreeBSD-сервера

Встановіть node_exporter та Prometheus:

pkg install -y prometheus node_exporter grafana 

Налаштуйте збір метрик: CPU, memory, ZFS stats, мережа. Використовуйте Prometheus для зберігання та Grafana для візуалізації. Це дасть повну картину продуктивності та раннє виявлення проблем.

Підвищення безпеки FreeBSD-сервера

Окрім pf та SSH hardening, використовуйте fail2ban (через pkg), налаштуйте auditdist, увімкніть security.bsd.see_other_uids=0 в sysctl, вимкніть невикористовувані сервіси. Регулярно застосовуйте freebsd-update fetch install та перевіряйте логи через syslog.

Що входить у налаштування FreeBSD-сервера

• Аудит поточної інфраструктури та вибір між FreeBSD і Linux.
• Встановлення ОС з ZFS або UFS, розмітка дисків, налаштування zpool.
• Налаштування rc.conf, pf, SSH з hardening, NTP (ntpd або chrony).
• Встановлення та оновлення пакетів через pkg, налаштування sudo.
• Конфігурація jails (за потреби) через ezjail або iocage.
• Документування конфігурації та передача скриптів автоматизації.
• Навчання команди базовим операціям.

Додатково можемо налаштувати моніторинг через Prometheus та Grafana, а також логування з Loki. Це дає прозорість та передбачуваність роботи.

Процес роботи

Оцінка → Встановлення та первинне налаштування → ZFS-пули та jails → Встановлення ПЗ → Hardening → Документування → Передача проекту. Кожен етап фіксуємо та тестуємо.

Таблиця порівняння: FreeBSD vs Linux для сервера

Типові помилки при налаштуванні FreeBSD

• Пропуск створення снапшотів ZFS перед оновленнями.
• Неправильне налаштування правил pf, що блокує доступ до сервісів.
• Використання root-доступу замість sudo та окремих користувачів.
• Ігнорування оновлень базової системи (freebsd-update).
• Некоректне налаштування мережі для jails (відсутність vnet).

Вартість розраховується індивідуально з урахуванням специфіки FreeBSD-стеку та вимог до сервера. Зв'яжіться з нами, щоб отримати консультацію та точну оцінку протягом дня.