Um die Verwaltung von Jails vom Hostsystem aus zu ermöglichen, gibt es ein paar Tools, die kurz beschrieben werden. jail [-i] [-l -u <Username> | -U <Username>] <Pfad> <Hostname> <IP-Adresse> <Kommando>: Startet eine Jail im angegebenen Pfad, mit der IP-Adresse und dem Kommando. Falls die Option -l gesetzt ist, wird vor dem Start das Environment auf Standardwerte gesetzt. Das angegebene Kommando wird dabei mit den User-Rechten des Hostsystems (-u) oder mit den Rechten des Users innerhalb der Jail (-U) ausgeführt. jexec [-u <Username> | -U <Username>] <JID> <Kommando> <Parameter zum Kommando>: Führt ein Kommando mit den Parametern innerhalb einer Jail aus. Dabei startet es mit den User-Rechten des Hostsystems (-u) oder mit den Rechten des Users innerhalb der Jail (-U). Zur eindeutigen Identifizierung der Jail ist auch hier wieder die JID anzugeben. jls: Erzeugt eine Liste aller im Moment gestarteten Jails. Es werden dabei die Identifizierungsnummer der Jail (JID), IP-Adresse, Hostname und Pfad zur Jail ausgegeben. Die JID ist eine fortlaufende Nummer, unter der die Jail eindeutig identifiziert wird. Die JID ist für killall wichtig. killall -j <JID> -<Signal> <Prozessname>: Damit wird an einen Prozess innerhalb einer Jail ein Signal gesendet. Wenn kein Prozessname und Signal angegeben ist, dann wird die ganze Jail beendet. "Signal" bezeichnet die in UNIX üblichen Signale wie SIGTERM, SIGKILL et cetera.

Damit Routing-fähige Jails auch von außen erreichbar sind, müssen entsprechende Regeln für PF und IPFW [9] geschrieben werden. Zunächst zu PF, dem Paketfilter, der von OpenBSD portiert wurde.

# NAT-Regeln fuer PF
# =================
extif = "<I>Internet-Interface<I>"
intif = "<I>Intranet-Interface<I>"
nat_jail = "<I>Jail-IP-Adresse<I>"
nat on $extif from $intif:network to  any -> ($extif)
rdr on $extif proto tcp from any to  any port <I>Port<I> -> $nat_jail
pass in on $extif inet proto tcp from any to $nat_jail port  <I>Port<I>

Zunächst wird festgelegt, auf welchem Netzwerk-Interface ( »$extif« ) der Datenstrom belauscht werden soll. Anschließend leitet PF alle TCP-Daten, die über das externe Interface an Port »Port« gesandt werden, an die IP-Adresse der Jail ( »$nat_jail« ) um. Damit die Daten auch ungehindert durch den Paketfilter fließen, wird mit »pass« ein Kanal freigeschaltet.

Bei IPFW ist die Sache umfangreicher. Es müssen das IPFW-Skript und NAT-Regeln für den NAT-Daemon erstellt werden. Die Regeln für den NAT-Daemon ( »natd« ):

# NAT-Regeln fuer natd
# /etc/natd.conf
# =================
redirect_port tcp <Jail-IP>:<Port 1> <Port 1>
redirect_port tcp <Jail-IP>:<Port 2> <Port 2>

Damit IPFW im System verfügbar ist, müssen diverse Optionen im Kernel aktiviert sein. Dazu ist es ratsam, sich die einschlägige Literatur wie beispielsweise das sehr gute Handbuch durchzulesen. Damit alles lesbarer ist, setzt man eine Variable: »fwcmd="/sbin/ipfw -f"« Dann muss auch hier wieder der Datenverkehr, der über das Interface tun0 führt, für den NAT-Daemon zugänglich gemacht werden. Die folgende Regel sollte eine der ersten Angaben im Skript sein:

${fwcmd} add divert natd all from any to
  any via tun0

Damit keiner über den umgeleiteten Datenstrom Schaden anrichten kann, folgt eine weitere Regel:

${fwcmd} add allow tcp from any to any
  <Port> setup keep-state
 @KL: Die letzte Regel sollte immer sein:
${fwcmd} add deny ip from any to any

Nach dem Einlesen des Konfiguration bei PF oder dem Ausführen des Skripts für IPFW werden die Regeln aktiv. Zu jeweiligen Konfiguration sei dringend auch die Dokumentation zu Tools empfohlen.

Für Jails gibt es sechs MIBs (Management Information Base), die nur vom Hostsystem aus geändert werden dürfen, und zwei Parameter lassen sich vom Root-User innerhalb der Jail manipulieren. Die Flags werden mittels »sysctl« gesetzt: »sysctl -w $MIB=0 oder sysctl -w $MIB=1. Mit sysctl $MIB« lässt sich der aktuelle Status erfragen. Zuerst die MIBs, die vom Hostsystem geändert werden dürfen und sich auf alle Jails gleichermaßen auswirken:

Innerhalb einer Jail dürfen zwei MIBs geändert werden, sofern dies erlaubt wurde!