写在前面

本文参考OpenBSD 3.8的官方FAQ文档和ftpd的man文档写成，更全面的信息请参看这两个文件。
·FAQ: Setting up Anonymous FTP Services
·Manual Page: ftpd
所有操作均在OpenBSD 3.8 Release上测试通过。
注：本文可以任意转载，但请保留作者信息，谢谢。

ftpd的三种启动方式

OpenBSD的ftpd程序没有配置文件，就靠设置运行参数进行配置。所有参数的
含义都可以在ftpd 的man文档中获得详细信息：
$ man ftpd
ftpd程序的启动有三种方法：
·inetd方式
·'rc'方式
·直接在命令行下执行ftpd命令

1、inetd方式

在'etc/inetd.conf'文件中有这么一行：

2、'rc'方式

所谓'rc'方式，指的就是通过修改'/etc/rc.conf'或者'/etc/rc.conf.local'文件中变
量的值，为服务的启动添加'entry'，使服务能够随系统启动。使用'rc'方式启
动fttpd，只需要将'/etc/rc.conf'中的'ftpd_flags'变量设置为自己组合好的参数
即可。这种方法需要在系统重启后服务才会随系统启动（这里的参数暂时使用
与'inetd'方式相同的参数）：

3、直接在命令行执行ftpd命令

这种方法的好处是不需要重新启动系统就可以启动ftpd服务：

停止ftpd

1、'/etc/rc.conf'

如果不需要ftpd随系统启动，则在'/etc/rc.conf'文件中将'ftpd_flags'变量的值设
置为"NO"”：

2、# kill PID
如果需要现在就结束ftpd进程，则使用\kill PID"的方式来实现：

ftpd常用参数

以下是ftpd 常用的一些参数（这里列出的只是常用的，并不是全部。更多的参
数请查看OpenBSD 的Manual Page。

· -4 如果指定了\-D"参数，则强制ftpd 只使用IPv4地址。
· -6 和\-4"的解释类似；如果指定了\-D"参数，则强制ftpd只使用IPv6地址。
· -A 只允许匿名登录（除非指定了\-n"选项）。
· -D 如果指定了该参数，ftpd 将做为daemon运行，监听ftpd 端口并且fork子进程对连接进行处理。在繁忙的服务器上，这样可以减少系统负载，与使用inetd 方式启动ftpd比起来，这种方式使用更少的系统资源。
· -d 使用LOG FTP将Debug信息写入syslog。
· -l 每个成功和失败的ftp session 都将由LOG FTP 工具通过syslog记录下日志。如果这个选项被指定两次（-ll），所有get/put/append/delete/make、directory/remove、dire操作以及所操作的文件都将被记录进日志。
· -U 每个并发的ftp session都被记录到日志文件/var/run/utmp，记录的格式就象who(1)命令的输出一样。
· -n 禁止匿名登录。默认是允许的。
· -S 如果设置了这个参数，ftpd 将会把所有匿名用户的下载情况记录在文件/var/log/ftpd 中（如果该文件存在的话）。
· -T maxtimeout 连接超时的时间限制。默认是2小时。
· -u mask 强制设置umask为指定的mask。而不是使用/etc/login.conf 中的设置（/etc/login.conf 中通常设置为022），并且不允许chmod。

常用参数组合

看了上面几个常用选项的含义，你应该可以组合出合适的选项来满足自己的功能需求了。

1、只允许使用系统帐号登录FTP
因为匿名用户登录需要使用到系统中的一个名为"ftp"的帐户（更多关于该帐户的描述，请看本文下半部分），而OpenBSD系统中默认没有该帐户，需要手动建立并且设置正确的权限，所以如果只允许用户通过系统帐号登录FTP服务器，则只需要在/etc/rc.conf 中将ftpd °ags 的值简单地设置为"-D"即可（虽然这时候的设置仍然允许匿名用户登录，但是因为系统中没有"ftp"用户，所以无法登录）。当然你也可以多设置一些参数。比如：

设置用于匿名访问FTP资源的'ftp'帐户

接下来我们要做的就是按照上面列出的三个要求来添加和设置这个低权限、处处受限的"ftp"用户。
1、添加"ftp"帐户以提供匿名访问
在/etc/shells中添加一个无法实际使用的shell设置"ftp"使用这个shell的目的，是不允许它通过shell登录到系统中。通常我们会有两种选择：
· /sbin/nologin
· /usr/bin/false
为了在添加用户时可以使用这两个shell，我们可以这样做：

添加帐户

这里使用"adduser -s shell /sbin/nologin"来添加一个这样的'ftp'帐户做为示例，并将该用户的$HOME目录设置为"/var/ftp"：

为FTP目录设置正确的权限

1、'ftp'目录
"ftp"目录表示"ftp"用户的主目录，在本例中就是"/var/ftp"目录。将它的owner设置为"root"，权限设置为任何人都不可写（555）：

chroot匿名登录的用户

'ftpd'会将'/etc/ftpchroot'文件中列出的用户都chroot。要使'ftp'用户在登录ftp后被chroot，只需要简单地把用户名添加到这个文件中就可以了。这是一个示例文件：

其他一些相关文件

· /etc/ftpusers { 列出了所有不受欢迎的用户。列在该文件中的用户都无法
登录ftp服务器。
· /etc/ftpwelcome { 欢迎信息。登录的用户都将在登录时看到这一信息。
· /etc/motd { 如果'/etc/ftpwelcome'文件不存在，则使用'/etc/motd'文件的内容做为欢迎信息。
2 .message { 这个文件可以被放置在' ftp'目录下的任何一个子目录中。用户进入该目录时就会显示这个文件中的内容。

1、硬件配置
HP NETSERVER 800 PⅢ1000 内存256M Inter82559网卡两张
2、分区情况
Filesystem Size Used Avail Capacity Mounted on
/dev/da0s1a 248M 54M 174M 24% /
devfs 1.0K 1.0K 0B 100% /dev
/dev/da0s1f 4.8G 130M 4.3G 3% /home
/dev/da0s1d 248M 12K 228M 0% /tmp
/dev/da0s1g 4.8G 565M 3.9G 12% /usr
/dev/da0s1e 5.8G 410K 5.3G 0% /var
3、系统安装情况
采用最小化安装
并且安装src和ports（原本打算采用ports安装，但是不知道怎么搞的，竟然不能cvs源码，当然也就不能通过ports安装，无奈之下只能采用源码编译）
4、内核编译
没有对内核采用优化，这里只是为了验证pf和squid结合做反向代理的可行性，在实际的生产应用中应该对服务器内核做一定程度的优化。

在这个笔记中我的构建意图是
web服务通过squid反向代理来完成
至于其他（我现在只有ftp）服务则通过pf来完成
那么为了完成这个目标我们还需要在pf规则中添加如下语句

至此，FreeBsd5.4+pf+squid反向代理基本完成。

本文基本实现oops＋pf实现透明代理，oops其他认证，带宽管理都没用上，希望能够抛砖引玉，肯请用过oops的大侠指教！谢谢。

安装过程

1, cd /usr/ports/www/oops/
make config 选中
[X] DB4 Berkeley DB v4 storage
make install clean
2, 修改/usr/local/etc/oops/oops.cfg
3，cd /usr/local/sbin/
oops -z -c /usr/local/etc/oops/oops.cfg （创建其磁盘高速缓存）
4，vi /etc/rc.conf加入oops_enable="yes"
5，reboot

配置

more /etc/rc.conf
defaultrouter="218.75.x.x"
gateway_enable="YES"
hostname="firewall.test.com"
ifconfig_fxp0="inet 218.75.y.y netmask 255.255.255.128"
ifconfig_fxp1="inet 192.168.0.1 netmask 255.255.255.192"
ifconfig_fxp1_alias0="inet 192.168.1.62 netmask 255.255.255.192"
ifconfig_fxp1_alias1="inet 192.168.2.62 netmask 255.255.255.192"
ifconfig_fxp1_alias2="inet 192.168.3.62 netmask 255.255.255.192"
sshd_enable="YES"
pf_enable="YES"
pflog_enable="YES"
pflog_logfile="/var/log/pflog"
sendmail_enable="NONE"
ntpdate_enable="YES" # Run ntpdate to sync time on boot (or NO).
ntpdate_flags="207.46.232.189" # time.windows.com
oops_enable="yes"

more /etc/pf.conf
#firewall by tds 20050601

#macros
wanif="fxp0"
lanif="fxp1"
oops="127.0.0.1"
tcpsrv="{22,113}"
lan0="{192.168.0.0/26}"
lan1="{192.168.2.0/26}"
lan3="{192.168.3.0/26}"
lan4="{192.168.1.0/26}"
ftpsrv="192.168.0.8"
bt1="192.168.0.38"
bt2="192.168.0.39"
noroute="{127.0.0.0/8,10.0.0.0/8,172.16.0.0/12,192.168.0.0/16}"

#options
set block-policy return
set loginterface $wanif
set optimization aggressive

#scrub
scrub in all

#nat and rdr
nat on $wanif from $lan0 to any -> $wanif
nat on $wa nif from $lan1 to any -> $wanif
nat on $wanif from $lan3 to any -> $wanif
nat on $wanif from $lan4 to any -> $wanif

rdr on $lanif proto tcp from any to any port 80 -> $oops port 3128
rdr on $wanif proto tcp from any to any port 21 -> $ftpsrv
rdr on $wanif proto tcp from any to any port 18888 -> $bt2
rdr on $wanif proto tcp from any to any port 4662 -> $bt2
rdr on $wanif proto udp from any to any port 4672 -> $bt2
rdr on $wanif proto tcp from any to any port 3389 -> $bt2
rdr on $wanif proto tcp from any to any port 3388 -> $bt1 port 3389

#filter rules
block all
block drop in quick on $wanif from $noroute
block drop out quick on $wanif from any to $noroute
block drop out quick on $wanif from any to 202.103.67.53
pass quick on lo0 all
pass in quick on $lanif from $lanif:network to any keep state
pass out quick on $lanif from any to $lanif:network keep state

pass in quick on $wanif proto tcp from an y to $wanif port $tcpsrv flags S/SA keep state
pass in quick on $wanif proto tcp from any to $ftpsrv port 21 flags S/SA keep state
pass in quick on $wanif proto tcp from any to $bt2 port {3389,4662,18888} flags S/SA keep state
pass in quick on $wanif proto tcp from any to $bt1 port 3389 flags S/SA keep state
pass in quick on $wanif proto udp from any to $bt2 port 4672 keep state
pass out on $wanif proto tcp all flags S/SA keep state
pass out on $wanif proto {udp,icmp} all keep state&n bsp;

more /usr/local/etc/oops/oops.cfg

只记录修改部分

nameserver 127.0.0.1
nameserver 220.168.208.3
nameserver 220.168.208.6

http_port 3128
#icp_port 3130
userid oops

logfile /var/log/oops/oops.log { 3 1m } unbuffered
accesslog /var/log/oops/access.log { 3 1m } unbuffered
pidfile /var/run/oops/oops.pid
statistics /var/run/oops/oops_statfile
mem_max 128m
lo_mark 80m
disk-low-free 3
disk-ok-free 5

force_http11
force_completion 85
maxresident 1m
insert_x_forwarded_for no
insert_via no
always_check_freshness

group mynet {
##
# You can describe group ip adresses here, or using src_ip acl's
# with networks_acl directive.
# networks_acl always have higher preference (checked first) and
# are checked in the order of appearance.
# If host wil not fall in any networks_acl - we check in networks.
# networks are ordered by masklen - longest masks(most specific networks)
# are checked first.
##
networks 192.168/16 127/8 ;
redir_mods transparent;（添加此行实现透明代理）
# networks_acl LOCAL_NETWORKS !BAD_NETWORKS ;
badports [0:79],110,138,139,513,[6000:6010] ;
miss allow;

module&nb sp;transparent { （实现透明代理）
# myport can have next form:
# myport [{hostname|ip_addr}:]port ...
myport 3128
# broken_browsers MSIE
}

storage {
path /usr/local/oops/storages/oops_storage ;
# Size of the storage. Can be in bytes or 'auto'. Auto is
# usefull for pre-created storages or disk slices.
# NOTE: 'size auto' won't work for Linux on disk slices.
# To use large ( > 2G ) files run configure with --enable-large-files

size 200m ; （磁盘高速缓存）

参考文章

高性能、多线程的高速Web代理服务器--OOPS!

摘要

本文首先指出了著名的开源邮件系统Qmail在安全方面存在的问题，并借用UNIX系统上现有的安全工具对Qmail现存的安全隐患加以解决，接着介绍了一种比Base64编码效率更高的Base91编码技术对邮件编码进行改进。最后利用实验室的平台基本实现了该高速、简洁、安全的邮件系统。

引言

邮件服务是Internet中使用率仅次于WWW的服务，一个邮件服务器主要包括三个主要的功能：邮件传输代理MTA（Mail Transport Agent），邮件分发代理MDA（Mail Delevery Agent），邮件用户代理MUA（Mail User Agent）。前两者是核心模块，负责邮件收发和处理。
Qmail是全球安装使用量仅次于Linux/Unix上缺省安装的的Sendmail的邮件服务器软件，到目前为止Qmail的MTA依然是世界上转发速度最快的邮件传输代理[1]，Qmail几乎兼容所有的Linux/Unix类操作系统。由于在Linux/Unix类型的操作系统中，Sendmail被缺省安装，所以其使用量在该领域位居首位，但是其配置烦琐，而且仅仅支持单文件（/var/spool/mail/$USER）方式存储用户所有邮件，导致邮件收发仅能串行处理，效率低下，而且一旦存取该文件出错，用户的全部邮件将丢失。而Qmail支持以目录的形式管理用户的邮件[3]（$HOME/Maildir）,在数据安全和存取速度上比前者都有明显的优势。Qmail的整体模块如图1[2]所示,主要由MTA、MDA、MUA三大部分组成。

图1 Qmail系统框架图

由于体系结构比X.400 MHS(Message Handling System)体系简单，而且是基于TCP/IP协议，SMTP（Simple Mail Transfer Protocol）已成为事实上的邮件协议标准，由于该协议设计过于简单，其报文在网络上用明文方式传输，给网络监听者带来了极大的方便，Qmail系统的MTA协议用的就是SMTP，邮件在传输途中很容易被截获。
目前的Internet上垃圾、反动、病毒邮件泛滥，Qmail在设计时对这三个方面的安全问题考虑不足。
本文针对上述的问题，结合新的编码技术和UNIX系统现有的一些安全工具对其加以研究、改进。

1 问题的提出

垃圾邮件、反动邮件和病毒邮件是目前对所有邮件用户最大的威胁。从图1的框架图来看，qmail的MTA和MDA中没有任何对邮件的检测和过滤的措施，无疑对上述安全问题没有任何防护能力。
1.1针对垃圾邮件
Qmail缺省不支持对Smtp用户的认证，这就是说，任何能访问该Qmail服务器的用户均能利用它来向任何地址发送邮件，对于那些想利用邮件列表发布邮件广告的商人，或想借他人主机发送大量攻击性邮件的黑客来说，其可以被轻而易举地被拿来直接达到目的。事实统计90％的垃圾邮件是从那些打开了开放性转发（Open Relay）权限的服务器发出的。
1.2针对反动、色情邮件等非法邮件
反动、色情邮件主要是指邮件的内容中有违反国家法律的反动信息和黄色信息，这些信息通常也是使用邮件列表进行传播，其性质较商业广告垃圾邮件恶劣，对社会产生很大的负面影响。Qmail没有任何基于内容的过滤模块，不能拦截该类邮件。
1.3针对病毒邮件
病毒邮件是指携带了病毒体的邮件报文，该类邮件一般通过附件来携带病毒文件，如果要过滤该类恶意邮件，要求MTA、MDA、MUA三个模块中至少有一个模块拥有病毒查杀模块，Qmail设计中没有考虑到这一点，这也是Qmail系统存在的一大安全问题。
1.3针对报文的明文传输
基于SMTP协议的Qmail直接进行邮件收发对报文仅仅进行了简单的编码，对于邮件体甚至没有进行任何编码，利用网络窃听工具可以轻易获取邮件内容，图2是用著名的网络窃听器ethereal截获的邮件报文，从中我们知道这封邮件收发人的邮件地址、发送使用的MDA、编码方式、邮件体的类型、和信件的所有内容。如果有附件，我们可以根据已知的编码方式对其进行反编码获得最后的原始文件，所以毫无保密性可言。

图2 截获的明文格式的邮件报文

1.4针对用户的管理
Qmail设计成和操作系统共用用户，UNIX操作系统的用户数据库是一个文件，缺省为/etc/passwd文件，随之带来的问题就是添加邮件的用户必须同时添加一个系统用户，因为对于服务器来说多一个系统用户就等于系统多一个可以被用来入侵的途径，就等于要多耗费一个用户配置文件的存储空间，这将主要导致安全隐患和系统资源的浪费。
1.5针对访问权限的控制
Inetd是UNIX操作系统用来调用一些基本服务如Ftp、Telnet的特殊守护进程，Smtp和Pop(Post Office Protocol)协议也可以用其来启动，Qmail在没有第三方工具的支持时仅能使用Inetd来调用。随Inetd带来的问题就是不能控制访问邮件服务的IP地址的范围，在已知非法用户或恶意攻击者的IP地址的情况下，不能拒绝对他们提供服务，对服务器安全不利。

2 现有的基于UNIX的安全工具

UNIX系统下有很多开放源代码的软件包，他们一般由很多程序员自发组织进行开发。在安全领域，已有很多流行软件包可以解决Qmail存在的大部分安全问题。
2.1密码认证工具
2.1.1 checkpassword
是一个基于/etc/passwd进行认证的工具，第三方的程序可以将其作为和系统用户数据库进行交互的代理，对系统用户进行认证操作。
2.1.2 cmd5checkpw[4]
cmd5checkpw是一个和checkpasswd兼容的支持CRAM-MD5算法进行认证的工具。只要支持checkpasswd进行系统用户认证的程序均可以使用其来支持CRAM-MD5算法对数据进行信息摘要，防止密码被盗取。
2.1.3 vchkpw
vchkpw是Vpopmail工具集中一个认证工具，
2.1.4 qmail-Smtp-auth[5]
qmail-Smtp-auth是Mrs.Brisby开发的让Qmail支持Smtp认证的补丁程序的升级版本，后者仅仅支持基于LOGIN方式的认证,前者加入PLAIN和CRAM-MD5认证机制并且还支持认证方法的后续添加。
2.2传输过程的加密工具
2.2.1 OPENSSL[6]
OPENSSL是由全世界自愿者开发的开放源代码的SSL（Secure Sockets Layer）协议的实现工具集，其支持SSL v2/v3和TLS v1（Transport Layer Security)协议并拥有一个非常强大的密码库。
SSL[7]是一个用将用户数据用非对称加密方法加密后在互联网上进行安全传输的协议，使用该协议能很好地杜绝窃听者用嗅探器抓取信息明文的事件发生。
2.3访问控制工具
2.3.1 Ucspi-tcp[8]
Ucspi-tcp是一个基于UNIX的用来给网络应用程序提供安全TCP连接的程序，主要包括服务模块（tcpserver）和客户模块（tcpclient）两个部分，其中在服务器模块中具有访问控制特性，此特性允许对客户端的访问权限进行限制。
2.4用户管理工具
2.4.1 vpopmail
Vpopmail是UNIX上的一个创建和管理邮件虚拟域（Virtual Domain）的工具包，包括管理虚拟域、管理用户的工具和密码认证模块，它可以使一个邮件服务器提供多种“@domain”给用户选择，并且支持用数据库来存储和认证用户。
2.4.2 Mysql数据库[9]
Mysql是一个全世界使用最多的开源数据库软件，其运行方式是Server-Client方式，目前基于UNIX的大型应用程序均对其支持，包括前面提到的Vpopmail工具包。

3 问题的分析解决

3.1问题的分析
Qmail产生安全问题的关键在于其仅仅是一个出色MTA和MDA，其仅仅实现了邮件服务器的基本功能，在于没有考虑到现实网络中的安全问题。利用上面介绍的一些工具，可以把Qmail在安全方面的漏洞一一补全。
3.2 问题的解决
3.2.1针对垃圾邮件的解决方案
qmail-Smtp-auth是针对qmail开放性转发无法关闭的漏洞设计的补丁，使用这个补丁生成的Smtpd守护进程要求邮件发送者不能直接发送邮件，必须在发送时同时提供有效的用户名和密码。不过该补丁无法提供用户身份鉴别功能，所以它必须结合一个密码验证工具作为和用户验证数据库之间的代理。
在前面介绍的密码验证工具中checkpassword结合cmd5checkpw作为验证代理能提供对Linux/Unix的系统用户进行认证，基于这种方式进行认证的系统允许Linux/Unix操作系统内部用户使用Smtp发送和转发邮件；另外一种更好的密码验证方法在安装了vpopmail后可以使用，该方法的用一个可以从Mysql数据库取出用户数据来进行验证的工具vchkpw来实现，该工具比checkpassword好在可以让Qmail的用户数据不局限于用操作系统的系统用户，增强了用户认证的灵活性、安全性和高效性。
3.2.2针对反动、色情邮件等非法邮件
针对这个问题，还很少见现成的基于UNIX的工具可以支持对邮件的内容进行过滤，所以在这里本文仅能提一些设想。
从图1我们可以看到，在框图的上部分Qmail的MTA负责把收到的邮件放入排队队列，之后排队程序按照邮件的目的地址决定邮件发往本地邮箱目录存储还是发往下一个邮件服务器。在这个排队队列的处理程序中，可以加入一些基于文本、图像、声音、视频等内容过滤的程序代码，从而实现对非法邮件的过滤。
3.2.3针对病毒邮件
对付病毒邮件的方法和前面的基于内容的过滤方式基本上相同，不过在排队过程中，邮件必须通过杀毒软件的检测，由于杀毒软件本身涉及庞大的病毒库，一般直接使用由杀毒软件公司提供的模块是比较可行的方案。
3.2.4针对报文的明文传输
前面提到的SSL是专门用来对TCP协议的数据报进行用非对称密码进行加密传输。SMTP是运行在TCP协议之上的应用层协议，自然可以借助SSL来杜绝明文数据传输。在UNIX环境下，借助OPENSSL可以免费地获得这种服务。
3.2.4针对用户的管理
为了节约系统资源、增强安全性和提高效率，应该尽量避免使用系统用户来作为邮件用户，vpopmail工具集提供的丰富的用户管理工具，利用vadduser、udeluser、vpasswd、vadddomain等工具可以轻松地增减邮件用户、修改密码和增减虚拟域，而且支持绝大多数的数据库，包括最著名的开源数据库软件Mysql。
3.2.5针对访问权限的控制
由于Qmail缺省借用Inetd来同外界进行TCP连接，不能对来访的IP地址进行限定，导致安全隐患诸多。所以必须借助目前UNIX中广泛使用的TCP连接工具Ucspi-tcp来建立连接，其中的服务器模块tcpserver可以设定deny、allow等参数来拒绝和允许来访IP地址。
3.3针对性能的一些改进
由于SMTP的传输机制是以7bit的二进制编码的ASCII字符为基础的，虽然SMTP扩展允许发送8bit的二进制数据，但是有一些非Internet网关是不能够正确处理的。因此要确保二进制信息在传输过程中的完整性必须先对其进行编码[10]。目前最常用的编码是quoted-printable和base64编码，前者主要针对非附件部分的文本进行编码，后者主要针对附件进行编码。由于base64是把6比特二进制数据用一个字节的ASCII码来表示，其带宽利用率仅仅为0.75，效率比较低，增加了网络的负担。现在一种名为base91[10]的新编码方法已在1999被西南交通大学的何大可教授提出了，该编码使用了92(包括空格)个可打印字符作为映射集，把输入的消息比特切分为13比特的分组作为映射源，编码的源字节数比较大（大于64K）的时候其编码的带宽利用率接近于81.25％，比base64提高了大约6个百分点，所以在对附件（一般大于64K）的编码方案上base91是Qmail比base64更好的选择。
3.2.4对Webmail的支持
Webmail是web和mail结合的产物，其作用是提供一个基于Web界面的MUA，用户可以登陆邮件服务器的网站来收发自己的信件，Qmail没有Webmail模块，这部分单独进行开发很容易，后台可以选用PHP、JSP、ASP、CGI等流行动态网页编程语言，它们都有相关函数对用户进行认证和对用户邮箱目录进行存取并结合数据库管理邮件用户的所有数据。

4 安全邮件服务器的实现

依照前面的分析，在本文的最后对上述的设想在作者本人实验室的服务器上加以了实现，具体框架图如图3所示。

图3 经过改造后的安全邮件系统架构

该系统运行的操作系统平台为Freebsd[11]， Webmail平台为Apache服务器，数据库选择了Mysql，使用Openssl作为TCP传输加密软件。
从图3我们可以看到，外部服务器和客户端（因为对于本服务器它们都相当于客户角色，后面统称客户）通过Tcpserver来和本服务器连接并进行Smtp传输， 利用Tcpserver的allow、deny等命令参数可以限定客户的IP地址范围。在建立连接后，转向qmail-smtpd-auth模块进行认证，qmail-smtpd-auth借助vchkpw来用加密的方式将客户提供的用户名和密码与Mysql数据库进行对比认证，当认证通过后，客户的邮件报文被放入邮件队列等待处理。在这个阶段，可以加入基于文本、图像、声音或视频的过滤模块对邮件进行过滤，也可以放置病毒查杀模块对带病毒邮件进行处理，合法的邮件将由qmail-send模块根据邮件目的地址判断是转交给邮件外发模块还是存储到本地邮箱目录，在邮件外发模块qmail-remote将Base64编码方法替换成为Base91，提高了编码效率。
邮件用户在发送邮件的时候可以用基于Smtp的客户端工具也可以直接使用Webmail，前者的流程刚才已经介绍过了，后者的认证依靠Webmail同Mysql用户数据库进行交互来判断用户是否合法，合法的邮件由qmail-inject模块交付qmail-queue进入邮件队列，接下来的过程同基于smtp的发送流程一致。
邮件用户再收取邮件的时候可以使用Webmail和基于Pop协议的客户程序，前者在用户通过验证后根据用户名去读取该用户的邮件信息然后用Web页面的方式反馈给用户。后者首先用vchkpw来验证用户，然后通过Pop协议把该用户邮件下载到用户机本地磁盘上保存。
经过安装和运行，基本上验证了该系统的安全性，由于没有庞大的用户群来做重负荷测试，对该系统的运行速度和负荷能力还未能测试，但官方的资料显示Qmail在16MB内存486/66级别的机器上拥有日发7万封邮件的能力[12]。基本的安全问题已经解决，如果在过滤和杀毒方面如果能加以很好实现，这将是一个非常完善的系统。

参考文献

[1]D. J. Bernstein. Frequently asked questions of qmail. http://cr.yp.to/qmail/faq.html．
[2]The big qmail picture. http://www.nrg4u.com/qmail/the-big-qmail-picture-103-p1.gif．
[3]D. J. Bernstein. Building a POP toaster. http://cr.yp.to/qmail/toaster.html.
[4]cmd5checkpw http://members.elysium.pl/brush/cmd5checkpw/
[5]qmail-Smtpd-auth http://members.elysium.pl/brush/qmail-Smtpd-auth/
[6]Openssl http://www.openssl.org/
[7]Secure Sockets Layer http://www.webopedia.com/TERM/S/SSL.html
[8]Ucspi-tcp http://cr.yp.to/ucspi-tcp.html
[9] About Mysql AB http://www.Mysql.com/company/index.html
[10]张晓鹏. 基于Base-91的安全电子邮件服务器研究与实现[D].硕士论文. 西南交通大学, U.D.C:621.316.9. 2003.
[11]曾慧鹏. 用FreeBSD构建家庭网络世界.http://cnfug.org/journal/systems/2004/000046.html
[12]D.J.Bernstein . Frequently asked questions
The qmail security guarantee.http://cr.yp.to/qmail.html

版权声明：可以任意转载，转载时请务必以文字形式标明文章原始出处和作者信息及本声明.

前言

MPI（Message Passing Interface）消息传送接口
它不是一个协议，但它的地位已经实际上是一个协议了。它主要用于在分布式存储系统中的并行程序通信。MPI是一个函数库，它可以通过Fortran和C程序进行调用，MPI的好处是它速度比较快，而且移植性比较好。

Cluster
目前常见的Cluster(集群)架构有两种，一种是Web/Internet Cluster System，这种架构主要是将资料放置在不同的主机上面，亦即由多部主机同时负责一项服务；而另外一种则是所谓的平行运算了(Parallel Algorithms Cluster System)！平行运算其实就是将同一个运算的工作，交给整个Cluster里面的所有CPU来进行同步运算的一个功能。由于使用到多个CPU的运算能力，所以可以加快运算的速度。

此文档所安装架设的LAM/MPI Cluster System属于后者，由于实验环境条件以及自身能力的限制，可能文档有部分解释不详尽，如有疑问请来信与我联系，我将尽力完善此文档，谢谢！

软件及平台

Server \\ FreeBSD 5.3 Stable
IP:172.18.5.247
Hostname: center.the9.com

Client \\ FreeBSD 5.3 Release
IP:172.18.5.80
Hostname: node1.the9.com

apache_1.3.29 \\ All Ports Install
php4-4.3.10
php4-gd-4.3.10
php4-extensions-1.0
lam-6.5.9
ganglia-monitor-core-2.5.6
ganglia-webfrontend-2.5.5

目的

架设一套基于FreeBSD 5.3的LAM/MPI Cluster System.

安装及配置

node1.the9.com

二,Apache+PHP Server 的架设
center.the9.com

三,NFS Server-Client 的架设
NFS Server(center.the9.com)

NFS Client(node1.the9.com)

四,LAM/MPI Cluster System的架设
Step 1: 基本安装
center.the9.com

Step 2: 配置

center.the9.com

五,Monitor WEB GUI 的配置
center.the9.com

六,启动并调试Cluster System以及检查测试
center.the9.com node1.the9.com nodeX.the9.com etc....

center.the9.com

LAM 6.5.9/MPI 2 C++/ROMIO - Indiana University

lamboot: boot schema file: /usr/local/etc/lam-bhost.def
lamboot: opening hostfile /usr/local/etc/lam-bhost.def
lamboot: found the following hosts:
lamboot: n0 center.the9.com
lamboot: n1 node1.the9.com
lamboot: resolved hosts:
lamboot: n0 center.the9.com --> 172.18.5.247
lamboot: n1 node1.the9.com --> 172.18.5.80
lamboot: found 2 host node(s)
lamboot: origin node is 0 (center.the9.com)
Executing hboot on n0 (center.the9.com - 1 CPU)...
lamboot: attempting to execute "hboot -t -c lam-conf.lam -d -v -I " -H 172.18.5.247 -P 53433 -n 0 -o 0 ""
hboot: process schema = "/usr/local/etc/lam-conf.lam"
hboot: found /usr/local/bin/lamd
hboot: performing tkill
hboot: tkill
hboot: booting...
hboot: fork /usr/local/bin/lamd
[1] 28338 lamd -H 172.18.5.247 -P 53433 -n 0 -o 0 -d
hboot: attempting to execute
Executing hboot on n1 (node1.the9.com - 1 CPU)...
lamboot: attempting to execute "/usr/bin/ssh node1.the9.com -n echo $SHELL"
lamboot: got remote shell /bin/sh
lamboot: attempting to execute "/usr/bin/ssh node1.the9.com -n (. ./.profile; hboot -t -c lam-conf.lam -d -v -s -I "-H 172.18.5.247 -P 53433 -n 1 -o 0 " )"
hboot: process schema = "/usr/local/etc/lam-conf.lam"
hboot: found /usr/local/bin/lamd
hboot: performing tkill
hboot: tkill
hboot: booting...
hboot: fork /usr/local/bin/lamd
[1] 43110 lamd -H 172.18.5.247 -P 53433 -n 1 -o 0 -d
topology done
lamboot completed successfully

LAM 6.5.9/MPI 2 C++/ROMIO - Indiana University

Shutting down LAM
lamhalt: sending HALT to n1 (node1.the9.com)
lamhalt: waiting for HALT ACKs from remote LAM daemons
lamhalt: received HALT ACK from n1 (node1.the9.com)
lamhalt: sending final HALT to n0 (center.the9.com)
lamhalt: local LAM daemon halted
LAM halted

center.the9.com

node1.the9.com

Cluster Monitor WEB GUI

http://center.the9.com/ganglia/ \\ 用这个查看系统数据,还是很直观的,是以RRDTool 生成的 images. :)

CPUs Total: 2
Hosts up: 2
Hosts down: 0

Avg Load (15, 5, 1m):
1%, 4%, 0%
Localtime:
2004-12-31 10:50

Total CPUs: 2
Total Memory: 0.2 GB
Total Disk: 8.0 GB
Most Full Disk: 61.2% Used

参考

在这里写下我的关于BSD radix树路由表的设计原理的文章之前，首先要感谢一个人：xie_minix，http://blog.chinaunix.net/index.php?blogId=2681。在我刚开始接触BSD 的radix树路由表的时候，是xie_minix发表在 http://www.cnfreeos.org/bsdsrc/ 的文章给我指明了最初的方向。滴水之恩，涌泉相报。自受惠于xie_minix公开的成果之日起，在下就决定将日后的心得也如xie_minix一般公之于众，以期能给其他的爱好、钟情、研究、使用BSD的朋友们一些帮助。

当然，还有一个人也是需要感谢的，W.Richard Stevens，没有他的书，也就没有了这里写下的一切。

写这篇文章的时候使用的是FreeBSD5.1的代码，举例用的是IPv6地址。

BSD路由表使用的是radix树，这种树的设计思想来自Donald R.Morrison于1968年提出的Patricia树（Practical Algorithm To Retrieve Information Coded In Alphanumeric）。这是一种基于以二进制表示的键值的查找树，尤其适合于处理非常长的、可变长度的键值。Partricia的基本思想是构建一个二叉树，在每个节点中都存储有进行下一次的bit测试之前需要跳过的bit数目，以此来避免单路分支（即避免二叉树的某一段呈现只往左或者只往右生长的趋势）。因此，一般意义上的Patricia树由内部节点和外部节点组成，内部节点用于指示需要进行bit测试的位置，并依据bit测试结果决定查找操作的前进方向，而外部节点则用于存储键值，查找操作将于外部节点处终止。

BSD正是借用了Partricia树的思想来组织路由表，但考虑到路由表的特殊性，即需要存储掩码并实现最长匹配路由查找，于是对Partricia树进行了改造，形成了BSD的radix树。在BSD的radix树中的路由查找操作将分为三个步骤，第一个步骤即是Partricia查找，终结于某个叶子节点，判断该叶子节点是否与查找键相同。第二个步骤，如果找到的叶子节点与查找键无法匹配，则在这个叶子节点的重复键链表中寻找网络匹配的可能。第三个步骤，如果找到的叶子节点及其重复键与查找键不满足网络匹配条件，则向树顶回溯，继续寻找网络匹配的可能。

1 BSD路由表的表头

BSD路由表的头指针存放在rt_tables[]数组中，这是一个radix_node_head结构体类型的指针数组。在BSD的协议栈中，所有协议的路由表都是用radix树进行组织的，而这些radix树的头指针就都存放在rt_tables[]数组中，IPv6路由表的头指针只是其中之一，即下标为AF_INET6的数组元素。

radix_node_head结构体的内存布局如图1所示。rnh_treetop是指向路由表顶部节点的指针。在这个结构体中还定义了8个函数指针，分别指向路由表提供的8个操作函数。在这个结构体的尾部还有三个radix_node结构体，这就是radix树的初始三节点，它们的rn_flags字段将被设置成RNF_ROOT，表示这是radix树的根节点。这三个节点是在路由表跏蓟鄙傻摹?

路由表初始化完成后，这三个根节点的链接关系如图3所示。从这个图中我们可以看出，在三个根节点组成的数组rnh_nodes[3]中，第二个根节点作为路由表的顶部节点，由rnh_treetop指针指向，它将是对路由表的所有操作的开始处。此外，第一个根节点被初始化为顶部节点的左孩子，第三个根节点被初始化为顶部节点的右孩子，而这三个初始根节点的父指针都指向了中间的那个顶部节点。这实际上已经搭起了一个radix树的基本框架。如图2所示。

在图2中，我们将中间的作为路由树顶的根节点用圆圈表示，因为它属于内部节点。而另外的两个根节点我们用方框表示，它们属于叶子节点。在本文档中将始终按照这一约定来图示内部节点和叶子节点。

2 BSD路由表的节点

BSD路由表的radix树实际上就是由一系列的内部节点和叶子节点组成的。内部节点位于树的中间位置，每个内部节点都会指定一个bit测试位置，即当从树的顶端开始向下查找，遇到这个内部节点时需要判断是0还是1的bit位置，接下来的查找将根据bit测试的结果来决定是向左走还是向右走。叶子节点位于树的边缘，用于存储路由表键值，即IP地址。

2.1 内部节点

前已述及，内部节点在radix树中用于表示一个bit测试位置。

内部节点和叶子节点使用的都是radix_node结构体，只是少数字段的定义有所不同。我们首先通过内部节点来查看一下radix_node结构体中的各个字段。在radix树中的3个根节点中，位于中间的那个顶端节点就是内部节点，因此我们的描述就以图3为例。

rn_mklist:这个指针指向的是一个radix_mask结构体链表。对于内部节点来说这个链表上的掩码都取自它的子树中的叶子节点所对应的掩码，但只有那些在做逻辑AND运算时能够把这个内部节点的测试bit变成0的掩码才能够加入到这个链表中，这类掩码的作用将在路由查找时的回溯过程中体现出来。对于叶子节点，如果它的掩码满足上述条件而被选入它的某一级父节点的掩码链表的话，那么它的rn_mklist指针就会指向这个掩码链表中对应于它自己的掩码的那个节点。

rn_parent:这是节点的父指针，从叶子节点一直向上指到树的顶端节点，而树的顶端节点的父指针是指向它自己的。路由查找时的回溯过程将沿父指针进行。

rn_bit:对于内部节点，这个值大于等于0，用于指示在这个内部节点处需要进行测试的bit位置。这个位置是从用于存储IP地址的socket地址结构体的起始位置开始计算的。对于叶子节点，这个值是一个负数，具体数值就是-1减去这个叶子节点所对应的掩码的索引值。而所谓掩码的索引值就是指这个掩码中第一次出现0的bit位置，这个位置也是从socket地址结构体的起始位置开始计算的。

rn_bmask:这是一个1字节的掩码，其中只有一个bit为1。在实际的路由查找中，为了加快查找速度，就是使用这个字段直接对指定的字节进行bit测试，而不是指定bit进行测试。对于叶子节点，这个字段为0。

rn_flags:这个字段的可能取值一共有3个，RNF_NORMAL，表示这是一个含有常规路由的叶子节点；RNF_ROOT，表示这是一个位于radix_node_head结构体中的节点，即路由表中的三个根节点；RNF_ACTIVE，表示这条路由的状态是好的。

rn_Off:这是内部节点独有的字段，表示一个从socket地址结构体的起始位置开始计算的字节偏移量，用于指定在这个内部节点处需用rn_bmask进行单字节比较的字节偏移量。

rn_L:这是内部节点独有的字段，指向这个内部节点的左孩子。

rn_R:这是内部节点独有的字段，指向这个内部节点的右孩子。

2.2 叶子节点

叶子节点和内部节点的大部分字段都是一样的，只是最后三个字段的定义不一样。相同字段的定义已在前面的内部节点部分进行了描述，最后三个字段的定义如下。

rn_Key:这个字段就内存位置而言相当于内部节点中的rn_Off字段。这个字段用于指向存储着叶子节点键值（即IP地址）的socket地址结构体。

rn_Pfxlen: 这个字段就内存位置而言相当于内部节点中的rn_L字段。这个字段用于存储前缀长度。

rn_Dupedkey: 这个字段就内存位置而言相当于内部节点中的rn_R字段。当路由表中有重复键情况出现的时候，即有多个叶子节点的键值（IP地址）相同，这些叶子节点是以链表的形式挂接在树中的某个叶子节点下的，rn_Dupedkey即指向重复键链表中的下一个叶子节点。

在radix树中，左右两个根节点即属于叶子节点。

2.3 根节点

radix树中的根节点即是在图2和图3中给出的3个节点。这三个节点都被设置了RNF_ROOT标志，以表示它们是根节点。

中间的那个根节点是radix树的顶部节点，所有的路由查找操作都是从它开始的。我们可以看到，这个根节点的bit测试位置是64，也就是说，对于存储在socket地址结构体中的BSD地址而言，实际的BSD地址开始的第一个bit在结构体中的偏移量是64，整个radix树的bit比较算法就是从这第64 bit开始。前已述及，为了加快查找速度，实际的查找操作中使用的是字节偏移和字节掩码。因此，第64 bit对应的字节偏移就是8，而字节掩码就是二进制的1000 0000。

另外的两个根节点分列于树的最左端和最右端。我们可以看到，它们的rn_bit字段都小于0，表明这两个根节点属于叶子节点。事实上，它们一个对应的是全0键值，一个对应的是全1键值。

在路由查找操作中，任何时刻都不能返回根节点本身。如果查找操作定位到了根节点，将代之以返回空指针。

2.4 重复键节点

BSD路由表中的重复键节点是指路由树中键值（IP地址）完全相同的叶子节点。

这些重复键节点由各自的rn_Dupedkey指针串成一个链表，通过位于链表头部的叶子节点挂在路由树中。位于链表中的重复键节点是按照掩码的精确程度从高到低排列的，即位于链表头部的叶子节点的掩码最精确，对于掩码连续的情况而言也就是它的掩码最长。这样在路由查找的时候如果找到了这串重复键节点，就可以保证掩码最长的路由最先匹配。

3 BSD路由表的路由条目

如前所述，BSD路由表是由一系列的内部节点和叶子节点组织起来的，这是BSD路由表的逻辑结构。如果从内存布局来讲，BSD路由表中的路由条目则是通过rtentry结构体来存放的，我们前面提到的内部节点和外部节点实际上都是存放在这个结构体中的。rtentry结构体的组成如图4所示。

我们可以看到，在rtentry结构体的头部就是由两个radix_node结构体组成的数组rt_nodes[2]。在这个数组中，第一个元素是叶子节点，负责存储路由表键值，即IP地址，第二个元素是内部节点，负责完成树的连接。因此，就一般情况而言，每当往路由树中添加一条路由的时候，我们实际上添加的是两个节点，一个叶子节点和一个内部节点，只不过这两个节点的存储空间是我们事先用rtentry结构体分配好了的。虽然这两个节点在物理上是紧挨着的，但是由于后续路由条目的加入，它们之间就可能会插入一系列的内部节点，而这些内部节点又分别属于各自的rtentry结构体，并对应着各自的叶子节点。

在rtentry结构体的剩余部分中存储的是这条路由的接口、接口地址以及网关路由等关键信息。

4 BSD路由表的路由查找

前已述及，BSD路由表使用的是经BSD修改之后的Patricia树，也就是BSD radix树。在这种树中，内部节点用于指定需要对查找键进行测试的一系列bit位置，而外部节点则用于存储键值。为了适合路由表的需求，每个叶子节点都会有一个与之对应的掩码。内部节点可能有也可能没有对应的掩码，这取决于在它的子树中是否存在能够将它的测试bit逻辑AND成0的掩码。于是，根据这些特性，BSD路由表中的路由查找就分成了三个步骤，即找到叶子节点进行精确匹配、在重复键链表中进行网络匹配和通过回溯过程进行网络匹配。

4.1 第一步：寻叶

这一步实际上就是Patricia查找，即从路由表的顶部节点开始，根据所遇内部节点中指示的bit测试位置进行测试，根据该bit是0还是1来决定继续往右走还是往左走，直至到达一个叶子节点为止。

当radix_node结构体作为内部节点的时候，它的bit测试位置是由rn_bit字段来给出的。但是，仅仅是这样一个bit测试位置对于有多个字节的IP地址来说显然是不合适的，在查找的时候再去定位这个bit会影响查找效率，所以在添加这个内部节点的时候就会根据bit测试位置计算一个字节偏移量和相应的字节掩码，即rn_Off和rn_bmask字段。字节偏移量用于指定bit测试位置所在字节相对于socket地址结构体起始处的偏移量，而字节掩码则是一个8 bit的掩码，其中只有一个bit为1，在通过字节偏移量定位了字节之后，即可由字节掩码进行bit测试操作。

举例而言，BSD路由表的局部如图5所示。图中位于最上方的标记有64的那个内部节点就是radix树的顶端根节点，即在初始化路由表时生成的三个根节点中的中间一个，64这个数字是IPv6地址的第一个bit在socket地址结构体中的偏移量。由于所有的路由查找操作都要从树的顶端开始向下进行，所以不管查找哪条路由，都会从IPv6地址的第一个bit开始进行比较。

假设我们现在需要在这个radix树中查找FE80::210:5CFF:FEC2:38E7这条路由。从树的顶端开始，根据沿途内部节点指定的bit进行测试。这条路由的第64 bit为1，向右。第65 bit为1，继续向右。第71 bit为0，向左。第128 bit为0，继续向左。第160 bit为1，向右。这时，将会遇到一个rn_bit字段为负值的节点，即叶子节点，于是查找操作将停止在此处。

接下来的操作就是比较找到的这个叶子节点与我们的查找键是否匹配。比较操作是以字节为单位进行的，参与比较的字节数将以叶子节点掩码的最后一个非0字节为限，即若在此范围内叶子节点与查找键相同则认为匹配，查找操作成功结束，否则认为不匹配，并记录下查找键与叶子节点键值第一次出现不同的字节位置。在返回查找结果时有一点需要注意，即在任何时候都不能返回根节点自身，如果在这一步找到的叶子节点是一个根节点，那么就必须返回它的重复键指针rn_dupedkey，而不是它自己。

第一步的查找路径在图5中用红色曲线进行了标识。

4.2 第二步：辨重

如果在第一步中找到的叶子节点与查找键不满足匹配的条件，则需要遍历这个叶子节点的重复键链表。由于重复键链表中的叶子节点与第一步中找到的叶子节点的键值（也就是IP地址）是完全相同的，只是掩码呈逐渐缩短的趋势，因此可能在重复键链表中存在网络匹配的可能。重复键处理的过程如图6所示。

图6是在图5的基础上绘制的。对于图中所示的三个重复键节点，我们用绿色的长短表示了它们各自掩码的长短，可以看出，掩码是呈逐渐变短趋势的。

由于在第一步中我们已经确定了查找键和叶子节点键值第一次出现不同的字节位置，因此可以方便地换算出查找键和叶子节点键值第一次出现不同的bit位置。前已述及，在叶子节点的radix_node结构体中，rn_bit字段就是由叶子节点的掩码中第一次出现0的bit位置换算出来的。因此，在接下来的重复键处理中，我们只需要把查找键和叶子键值第一次出现不同的bit位置跟叶子节点的rn_bit字段进行比较就可以方便地确定某个重复键节点是否满足网络匹配的条件，而不需要进行实际的掩码操作。

如果在重复键链表中有某个叶子节点满足网络匹配条件，则向调用者返回这个叶子节点。否则查找操作将回到最初找到的那个叶子节点（也就是重复键链表上的第一个节点），准备开始向树顶回溯了。

第二步的查找路径在图6中依然用红色曲线进行标识，实际上是将图5中的红色曲线延伸至重复键链表中。

4.3 第三步：回溯

到目前为止，我们只是使用作为查找键的IP地址在radix树中根据内部节点指示的bit测试位置找到了某个叶子节点，并进行了重复键处理，仍然没有找到匹配的叶子节点。这并不能排除在radix树中还存在有其它可能满足网络匹配条件的叶子节点，因此就需要沿着来时的内部节点路径向树顶回溯，寻求网络匹配的可能。回溯过程如图7所示。

回溯过程在图7中用蓝色曲线标识，方向从下到上。我们可以看出，回溯过程是从第一步中找到的那个叶子节点处开始，沿着每个节点的父指针rn_parent向树顶前进，这实际上就是我们在第一步中从树顶找到叶子节点所经由的路径，因此才把这一步称为回溯。

回溯途中经过的是一系列的内部节点，对于每一个内部节点，将会判断它是否挂的有掩码链表，即它的rn_mklist字段是否为空。掩码链表在图7中用粉红色表示。没有掩码链表的内部节点将不予考虑，直接通过。如果某个内部节点挂的有掩码链表，那说明在它的子树中可能存在着网络匹配的可能，需要停下来做一下判断再决定是否继续回溯。

这里首先就遇到了一个问题，究竟什么样的内部节点才挂有掩码链表？这实际上就是要回答回溯的必要性和可行性，这和radix树的组织方式即路由添加时的设计方法有关。首先需要明确下面两个问题。

为什么要回溯？

在第一步“寻叶”中，我们根据查找键的一系列bit测试结果找到了一个叶子节点，具体找到哪个叶子节点完全取决于radix树当时的组织形态，但有一点是可以确定的，那就是这个叶子节点的键值在其起点之后的某个长度之内一定和我们的查找键是相同的。如果这个长度就是叶子键值的长度，那我们在第一步中就匹配成功了，否则我们就要在树中寻找满足以下三个条件的叶子节点：

.它和我们在第一步中找到的叶子节点有共同部分；
.它的掩码短于或等于它和第一步中的叶子节点的共同部分；
.它的掩码短于或等于查找键和第一步中的叶子节点的共同部分。

为什么可以回溯？

如果radix树中存在满足上述条件的叶子节点，那我们通过回溯算法就一定可以找到它，这是由radix树的路由添加算法决定的。在这里我们只需要明确一个事实，那就是对于一个测试bit为n的内部节点的子树中的所有子孙叶子节点的键值而言，从实际IP地址的开始bit到第n-1 bit都是相同的。举例而言，如果一个内部节点的测试bit是71，那么它的子树中的所有子孙叶子节点的键值的第64到70共 7个bit的内容都是相同的。因此，如果这个内部节点的子树中有某个叶子节点的掩码短于或等于7的话，那它的键值事实上就是这个子树中所有路由的公共部分，而它本身也就成了这个子树中所有路由的普适路由。正是radix树中的这些普适路由组成了回溯查找时的候选路由的集合。

一个内部节点的掩码链表正是它的子树中所有普适路由的记录链表，而对于一条普适路由来说，则会将其挂在它所能作为普适路由的最大可能的子树的顶端内部节点的掩码链表中。

对于回溯过程中遇到的每一个掩码链表非空的内部节点，我们都需要遍历它的掩码链表，只要发现一个满足前述三个条件的节点，就表明我们对查找键的网络匹配已经成功，回溯过程结束。

5 BSD路由表的路由添加

在对路由查找中的回溯过程的描述中我们已经提到一个事实，即对于一个测试bit为n的内部节点的子树中的所有子孙叶子节点的键值而言，从实际IP地址的起始bit到第n-1 bit都是相同的。这个事实就是由路由添加操作来保证的。路由添加操作可以分为寻叶求异、存异求同和普适提升三个阶段。

5.1 第一步：寻叶求异

向路由表中添加一条路由的目的就是为了以后来查找它，因此，为了确定新路由在路由表中的位置，首先就要对新键值执行查找操作，也就是我们在路由查找部分中描述的第一步：寻叶。这一步实现的是Patricia查找，即从树顶开始按照内部节点的指示对新键值进行一系列的bit测试，直到遇见一个叶子节点为止。

假设有如图8所示的一个路由表局部，这和描述路由查找时使用的实际上是一个图，图中叶子节点存储的键值是FE80::8210:0C00:7EC2:3800。现在假设我们要向路由表中添加FE80::8210:0:0:0/76这条路由，先对这个新键值执行Patricia查找，以实际IP地址的起始bit为第64 bit：第64 bit为1，向右；第71 bit为0，向左；第128 bit为1，向右；第144 bit为0，向左；第160 bit为0，继续向左。因此，这个查找将沿着图8中的红色曲线一直找到存放着FE80::8210:0C00:7EC2:3800键值的那个叶子节点。

找到这个叶子节点之后，就需要判断它的键值和新键值是否相等。如果相等，则表示出现了重复键的情况，将根据新路由的掩码长度将其挂接在该叶子节点的重复键链表中的适当位置。在我们的例子中，叶子节点的键值与新键值并不相等，于是就要记录下它们第一次出现不同的bit位置，这也就是“寻叶”之后的“求异”操作。

新键值FE80::8210:0:0:0和叶子节点键值FE80::8210:0C00:7EC2:3800的比较结果如图9所示。在这个图中，蓝色部分是用二进制表示的。我们可以看出，在现有radix的所有测试bit上，新键值和叶子节点键值都是相同的，因此才会找到这个叶子节点。但它们的键值实际并不相同，而这两个键值的第一个不同bit就是第148 bit。

确定了新键值和前面找到的那个叶子节点键值的第一个不同bit，实际上也就是确定了这两个键值的共同部分。这些信息将决定新路由在radix树中的位置，具体操作则可以归纳为路由添加的第二步：存异求同。

5.2 第二步：存异求同

首先，让我们结合例子再来回顾一下前面提到的那个事实：对于一个测试bit为n的内部节点的子树中的所有子孙叶子节点的键值而言，从实际IP地址的起始bit到第n-1 bit都是相同的，参见图10，图中用不同颜色的圆环来抽象表示各个内部节点的子树。测试bit为64的那个内部节点是树的顶点，属于特例，它的子树（也就是整个radix树）中的IP地址是没有公共部分可言的。测试bit为71的那个内部节点的子树中的节点的第64到第70 bit都是相同的，以此类推。这是从添加第一条路由开始就必须遵从的规则，显然，此时对新路由的添加也必须遵从于这一规则。

我们在第一步中已经计算出Patricia找到的叶子节点键值和新键值第一次出现不同的bit位置，即我们例子中的第148 bit。为了不违反上述事实，新键值就不能属于测试bit在第148 bit右边的内部节点的子树，而只能属于测试bit在第148 bit左边的内部节点的子树。因此，我们接下来的工作就是确定新键值究竟应该属于哪个内部节点的子树，而实现方法就是沿着来时的路径向树顶回溯，找到正好把第148 bit卡在中间的两个内部节点。注意，在这个回溯过程中是不可能有哪个内部节点的测试bit正好等于第148 bit的，因为如果那样的话，在第一步的Patricia查找中就不会走到存放着FE80::8210:0C00:7EC2:3800键值的那个叶子节点那儿了。

回溯过程是从前面找到的那个叶子节点处开始的，在图10中用蓝色曲线表示。首先遇到的是测试bit为160的内部节点，它的子树中从第64到159 bit都是相同的。由于新路由和叶子节点键值的第一个不同bit是第148 bit，属于第64到159 bit的范围，因此新路由不能属于它的子树，否则就会违反前述规则。继续向树顶回溯，这次遇到的是测试bit为144的内部节点，它的子树中从第64到143 bit都是相同的，因此新路由至少要属于这个内部节点的子树才能遵从前述规则。

就我们的例子来说，此时已经可以确定新路由应该插入在测试bit为144和160的两个内部节点之间，这是因为对新路由的第64、71、128和144 bit进行测试的结果都和前述叶子节点相同，我们必须保证路由查找操作在第144 bit之后、第160 bit之前对第148 bit进行测试，这样才能找到我们新加的这条路由。我们在前面提到过，每当往radix树中新加一条路由时，实际上都需要插入两个节点，即一个内部节点和一个叶子节点，或者说，路由条目的添加是以rtentry结构体为单位的，新加的两个节点正是这个结构体中的两个radix_node[2]结构体数组。

我们先来看看新路由的内部节点。它的测试bit显然就是第148 bit，而它就将替代测试bit为第160 bit的内部节点作为测试bit 为144 bit的那个内部节点的新的左孩子，而测试bit为第160 bit的那个内部节点则将成为它的某个孩子。

我们再来看看新路由的叶子节点，它存储着FE80::8210:0:0:0这个键值，而它此时显然也是新路由的内部节点的某个孩子。为了确定新叶子和测试bit为第160 bit的那个内部节点的左右名分，我们只需要判断新键值在新路由的内部节点的测试bit上是0还是1。对于我们的例子，新键值在第148 bit上为0，因此新叶子将作为新内部节点的左孩子，而测试bit为第160 bit的内部节点则作为右孩子。我们之所以可以在这里直接根据新键值就做出左右划分，是因为我们已经确定测试bit为第160 bit的内部节点的子树中所有叶子的第148 bit都是相同的，而新键值和这些叶子的第148 bit都是不同的。插入新路由之后的radix树如图11所示。

5.3 第三步：普适提升

在经过寻叶求异和按异求同两个步骤之后，路由添加的操作只能说是完成了一半。之所以这么说，是因为前面的操作对于只有键值没有掩码的Patricia树来说是够了，但对于作为路由表的radix树来说则还不行，因为路由查找操作是以最长匹配为原则的，在键值匹配失败的情况下我们还要去尝试网络匹配的可能，这也就是我们在路由查找部分描述的寻叶、辨重和回溯三个步骤。所以，在把新路由插入radix树之后，我们还要继续处理它的掩码，处理的结果可能会影响到新路由的某个父节点的掩码链表，关于掩码链表的使用可以参见路由查找部分的回溯步骤。

我们知道，所谓路由的最长匹配查找，就是用某个路由条目的掩码和查找键进行逻辑与，然后再把逻辑与的结果和路由条目的键值进行比较，如果相同，则说明满足网络匹配条件，而查找操作最后返回的就是满足上述条件的掩码最长的那条路由。现在，我们假设A是radix树中的最外层内部节点之一，它有B和C两个作为叶子节点的孩子，如图12所示。

在图12中用红色曲线给出了路由查找的第一步“寻叶”，这一步是只用查找键进行而与掩码无关的。我们假设叶子节点C的键值和查找键匹配失败，在重复键处理过程中也没有匹配成功，这时我们就需要继续寻找网络匹配的可能。前面已经提到，所谓网络匹配就是叶子节点和查找键的带掩码的比较，这实际上可以理解为用查找键和叶子掩码进行逻辑与之后的结果在树中再次进行查找，对于一个满足网络匹配条件的叶子节点来说，这样的查找必然就会找到它那儿。让我们再来看图12，要让这样的查找能够找到叶子节点B的条件之一就是B的掩码能够改变查找键在内部节点A处的行进方向，也就是说，B的掩码要能够把内部节点A的测试bit逻辑与成0，图中蓝色曲线表示的就是这种带掩码的查找过程。满足上述条件的路由B就称为节点A的子树中的普适路由。

显然，一条路由的掩码越短，它就越可能作为更大一些的子树中的普适路由。而所谓普适提升就是在每次新加入一条路由的时候，我们都需要确定它究竟最大能作为哪一层子树中的普适路由，确定子树之后，这条新路由的掩码就会记录在作为该子树的顶点的内部节点的掩码链表中。

结合我们在前面举的例子，在radix树中加入FE80::8210:0:0:0/76这条路由之后，我们就需要对其进行普适提升操作。这条路由的掩码是76 bit，也就是说，它的掩码中的第一个0 bit将出现在第140 bit，参见图9。普适提升的过程如图13所示。我们从新路由开始向树顶回溯，第一个遇到的是测试bit为第148 bit的内部节点，显然，新路由的掩码可以把它的测试bit与成0，因此，新路由可以作为它的子树中的普适路由。继续回溯，遇到的是测试bit为第144 bit的内部节点，同样，新路由也可以作为它的子树中的普适路由。下一个遇到的是测试bit为第128 bit的内部节点，这一次新路由的掩码就不能把这个内部节点的测试bit与成0了，因此，新路由最大只能作为测试bit为第144 bit的内部节点的子树中的普适路由，新路由的掩码将记录在它的掩码链表中。这条普适提升的行进路径在图13中用蓝色曲线表示，而内部节点的掩码链表在图中用粉色表示。

一个内部节点的掩码链表中将记录它的子树中的所有满足普适条件的掩码。链表上的节点是按照掩码从长到短的顺序排列的，每个链表节点都有一个指针指向它们各自对应的叶子节点，而叶子节点也有一个指针指向这个掩码链表节点。

在路由查找的回溯过程中，每当我们遇到掩码链表非空的内部节点的时候，就会遍历它的掩码链表，直接判断每个链表节点的掩码是否满足我们在描述路由查找的回溯步骤时列出的三个条件，一旦满足，我们就可以通过指针直接找到对应的叶子节点，而这样找到的第一个叶子节点就是我们要查找的最长匹配路由。

6 BSD路由表的路由删除

BSD路由表中的路由删除操作涉及的内容是和路由添加相对应的。在描述路由删除步骤之前，我们需要明确一个事实，在前面已经见过，路由条目的内存管理是以rtentry结构体为单位的，但radix树的操作却看不到这个结构体的存在，它只看得到一系列的内部节点和叶子节点。因此，同一个rtentry结构体内的两个radix_node结构体在该路由刚加入radix树的时候是直接相连的，但随着之后的操作，这两个radix_node结构体可能就相隔很远了。如图14所示。

在图14中，左边的图用绿色表示刚加入radix树中的一对radix_node结构体，其中，内部节点的测试bit为第148 bit。右边的图表示在这之后又加入了一对radix_node结构体，用粉色表示，其中，内部节点的测试bit为第150 bit。我们可以看到，由于新路由的加入，属于同一个rtentry结构体的两个绿色的节点在逻辑上被分开了。在删除路由的时候，我们就必须对这种情况进行处理，把rtentry结构体作为一个整体从radix树中摘除，具体做法因被删除节点的位置的不同而不同。

6.1 独有一叶

一般情况下，一个rtentry结构体内的两个radix_node结构体将同时出现在radix树中，但有一个例外，那就是出现了重复键的情况。参见路由查找以及路由添加部分的描述，在添加路由的时候，如果遇到了重复键的情况，我们就会把新路由直接挂到重复键链表中的适当位置。注意，重复键链表中都是叶子节点，它们是作为一个链表挂在同一个内部节点下的。因此，作为重复键加入的路由条目中的内部节点部分是闲置不用的。

非重复键链表头节点的删除过程如图15所示。在图中我们用绿色表示准备删除的路由条目对应的叶子节点，而用虚线在这个叶子节点的旁边画了一个内部节点，表示它虽然在物理上存在着，但却没有使用，不是radix树的一部分。对于这种情况，我们只需要直接将指定路由叶子节点从树中摘除，并将rtentry结构体释放即可。

6.2 父子同源无后继

除了前一节中描述的“独有一叶”的情况之外，其余的路由删除就需要牵扯到内部节点的处理了。所谓“父子同源无后继”指的是被删除的叶子节点是重复键链表上的唯一节点，而且它和作为父节点的内部节点同属于一个rtentry结构体，此时也只需要直接把这两个节点从radix树中摘除即可，如图16所示，图中用绿色表示一对属于同一个rtentry结构体的叶子节点和内部节点。

6.3 父子同源有后继

所谓“父子同源有后继”指的是被删除的叶子节点位于重复键链表头部，在它之后还有其它的重复键节点。对于这种情况，我们就不能把内部节点一删了事，而需要用替补上来的那个重复键节点对应的闲置内部节点空间去把被删除的叶子节点对应的内部节点替换下来。如图17所示，图中分别用绿色和粉色表示两对属于同一个rtentry结构体的叶子节点和内部节点，其中，绿色表示将要删除的路由对应的两个节点。

我们可以看到，在图17中，除了用粉色的叶子节点替换掉绿色的叶子节点作为重复键链表上的第一个节点之外，还要用原来闲置的粉色内部节点空间去把绿色的内部节点从radix树中替换下来，以便将绿色的节点对应的rtentry结构体空间作为一个整体释放。注意，这里对内部节点的替换是完全拷贝，因此粉色内部节点将完全替代绿色内部节点在radix树组织结构中的作用。

6.4 父子异源无后继

所谓“父子异源无后继”是指被删除的叶子节点是重复键链表中的唯一节点，且它和它的父节点不属于同一个rtentry结构体，也就是说，和它同属一个rtentry结构体的内部节点空间肯定在radix树中其它的某个地方。在图18中，我们分别用绿色和粉色表示两对属于同一个rtentry结构体的叶子节点和内部节点，其中，绿色表示将要删除的路由条目对应的两个节点。

这里的删除过程是这样的：首先是把绿色的叶子节点和粉色的内部节点从radix树中摘除，使粉色的叶子节点作为绿色内部节点的左孩子，然后再用粉色内部节点的空间去把绿色内部节点从radix树中替换下来。

6.5 父子异源有后继

所谓“父子异源有后继”是指被删除路由的叶子节点后面还有重复键节点，而它的父节点和它不属于同一个rtentry结构体。在图19中，我们分别用绿色和粉色表示两对属于同一个rtentry结构体的叶子节点和内部节点，其中，绿色表示将要删除的路由对应的两个节点，而粉色则表示将要替补上来的重复键叶子节点及其闲置内部节点。

具体删除过程是这样的：首先是把绿色的叶子节点从radix树中摘除，将粉色的叶子节点替补成测试bit为第150 bit的内部节点的左孩子，然后再用本来闲置的粉色内部节点空间将绿色内部节点从radix树中替换下来。

已完成的内容

1、vm_map_entry结构体中的adj_free和max_free
2、vm_map_entry_splay()函数
3、vm_map_findspace()函数
......

1、vm_map_entry结构体中的adj_free和max_free

vm_map_entry结构体同时按两种数据结构进行组织，一种是双向链表（通过prev和next指针），一种是二叉查找树（通过left和right指针）。其中的二叉查找树就是由Daniel Dominic Sleator和Robert Endre Tarjan提出的splay树，他们的论文题目把这种树叫做自调整二叉查找树。

splay树的基本原理请参见原始论文【Self-Adjusting Binary Search Trees】和我写的一些笔记【FreeBSD虚存系统splay树的基本原理】

FreeBSD是从5.0开始将splay树引入VM系统的，在5.3的时候又加入了基于树状结构的空闲空间算法。本文就从这个空闲空间算法讲起。

vm_map_entry结构体的主要内容如下：

空闲空间算法向vm_map_entry结构体中添加了两个字段，adj_free和max_free。adj_free是和这个map entry相邻且紧跟其后（位于较高地址）的空闲空间的大小。注意，adj_free字段取决于链表结构，而不是splay树。这个链表是按照地址的升序来排列的，因此adj_free可以通过下述方式来计算：

也就是说，一个map entry的adj_free字段的值等于它在链表中的下一个map entry的起始地址减去它自己的终止地址。

下图画出了一个FreeBSD VM系统splay树的局部示意图，图中虚拟地址空间中的地址数值仅做算法示例用，不具备任何真实地址的属性。

图中给出了三个map entry，分别表示了虚拟地址空间中三个区间。entry和对应地址空间使用相同颜色标注，分别为蓝色、绿色和粉色。绿色entry和粉色entry分别作为蓝色entry在splay树中的左孩子和右孩子，它们自己则无后继，左右孩子指针皆为空，图中用红色箭头标出了splay树的链接关系。对于链表结构而言，排在最前面的是绿色entry，其后继为蓝色entry，绿色entry则作为蓝色节点的后继，图中用蓝色箭头标出了链表结构的链接关系。

我们可以看到，绿色entry所表示的虚拟地址空间的起始地址为100，终止地址为300。蓝色entry的起始地址为500，终止地址为600。粉色entry的起始地址为850，终止地址为1050。根据上面给出的计算方法，绿色entry的adj_free字段的值就应该是200，蓝色entry的adj_free就是250，粉色entry的adj_free就是300。

max_free字段则是基于splay树的，表示这个map entry的子树中的相邻空闲空间的最大值。其计算方法是取这个entry自己的adj_free和其左、右子树的max_free三者之中的最大值。这也就是vm_map_entry_set_max_free()函数做的事情：

根据上述算法，我们就可以分别计算出上图中三个map entry的max_free字段的值：绿色entry为200，粉色entry为300，而蓝色entry则为200、300、250三者之最大值，即300。

引入了这两个字段之后，我们就可以很方便地判断出一个子树中是否存在足够大的空闲空间。这使得我们只需在树中从上至下走一次即可找到满足first-fit原则的空闲区域。这个算法的具体实现在vm_map_findspace()函数中。但我们先来看看vm_map_entry_splay()函数。

vm_map_entry_splay()函数

vm_map_entry_splay()是splay树算法的核心所在。给定一个地址addr和splay树的根节点root，这个函数能够把包含或者是与这个地址相邻的map entry搬移成树根。

这个函数的算法需要在树中从上到下和从下到上走两遍。下面是第一遍的代码段：

我们还是以一种形象化的方法来描述这个“splay”过程。假设我们现在有一棵splay树，它的局部如图vm_map_entry_splay_001所示。同样，图中的所有数字都仅仅用于算法示例，不具有任何实际地址的属性。每个map entry的起始地址和终止地址用“100-200”的格式标注，其adj_free和max_free字段的值也都根据前面讲到的规则进行了计算和标注。

假设vm_map_entry_splay函数的入参addr为1000，也就是说，我们要拿1000这个值来对这颗树执行splay操作，当前的树根是A entry。我将用以下这种格式来描述整个过程，首先给出一些关键变量的当前值，然后按代码执行顺序描述相关流程，左边的数字是代码所在行数，右边是对应的实际操作。一个阶段的操作完成之后我将给出当前的树的形态图示。

第一次执行for循环体：

经过上述操作之后的树的形态如图vm_map_entry_splay_002所示。我们可以看到，A的子树已经发生了变化，而且我们已经在第634行确定了在B之后仍将继续向左走，因此余下的操作不会再对A的子树造成影响，于是就在这里对A的max_free字段进行重新计算。计算是通过调用vm_map_entry_set_max_free()函数来进行的，这个函数的算法我们已经在前面讲过了，就是取E和C的max_free以及A的adj_free三者之最大值。此处就是把A的max_free从原来的300更新成了200，表示在A的新子树中的最大相邻空闲空间为200，在图中用红色标出。除此之外，节点B的子树也发生了变化，但由于后面的操作还有可能会影响到B的子树结构，所以此处并不急于更新B的max_free字段。

继续：

经过上述操作之后的树的形态如图vm_map_entry_splay_003所示。我们可以看到，此时的splay树已被一分为二：一边是已经遍历过的以B为顶点的子树，这个子树以rlist指针指向；一边是尚未遍历过的以D为顶点的子树，这个子树以root指针指向。

for循环的第一次执行到次就结束了。下面是第二次：

经过上述操作之后的树的形态如图vm_map_entry_splay_004所示。此时D的子树也发生了变化，且我们已经在第652行确定在G处将继续向右走，因此D的子树不会再有变化，于是就在这里对D的max_free进行更新，只不过更新前后的值都是300，在图中用红色标出。

继续：

经过上述操作之后的树的形态如图vm_map_entry_splay_005所示。我们可以看到，新的root已经指向了I，而已经遍历过的部分则被分成了两个子树，分别由rlist和llist指针指向。我们还可以初步看出这两个子树的性质，rlist指向的子树中的地址都是大于我们的入参地址100的，而llist指向的子树中的地址都是小于1000的。

下面是for循环的第三次执行：

经过上述操作之后的树的形态如图vm_map_entry_splay_006所示。我们可以看到，新的root已经指向了J节点，当然，对于我们的例子而言，这也是最后一个节点。遍历过的部分仍然被分成了由rlist和llist两个指针指向的子树。刚才遍历过的I及其右子树被“倒置”在了B及其子树的上面。连接I和B的指针被标成了红色，因为这条边等会还有用，别忘了，用这条边串起来的节点的max_free字段的值还都没有确定呢，等会就要通过这条边来更新这些节点的max_free字段。同样，在llist指向的子树中也会有这么一条边，只是对于我们的例子而言就无法画出来了。另外还有一点需要明确，rlist的子树中的“这条边”是由一系列的left指针连成的，而llist的子树中的“那条边”则是由一系列的right指针连成的。

下面是for循环的第四次执行：

由于我们只剩最后一个J entry了，于是for循环到此结束。实际上也就完成了对splay树的“第一遍”处理。

下面是“第二遍”的代码：

这部分代码比较简单，而且一些基本思想我们已经在前面介绍过了，所以这里就不再做详细的逐步分析，仅从大的概念上来谈谈。

splay树的基本思想是什么？就是假设我这次访问的节点在将来被继续访问的可能性极高，因此需要把这个节点移往树根，虽然这次的移动要花点时间，但如果前面的假设成立，这种算法就能获得极好的“摊平效率”，也就是说，从一段长时间的连续操作来看，它的平均操作时间是相当低的。此处，我们的splay操作到J entry那儿就结束了，这个entry要么就包含我们的入参地址，要么就是和我们的入参地址相邻，也就是说，按照splay树的算法，它即将成为新的树根。但一人得道，鸡犬不能升天，J entry可以成为树根，但它的子树却没有沾光的权利，它们仍将留在树中相对较低的位置。

我们前面已经提到过，llist指向的子树中用right指针串起来的那些entry和rlist指向的子树中用left指针串起来的那些entry的max_free字段都还没定呢，现在就要分别确定它们。这两个子树是互不相干的，因为一边是小于入参地址的，一边是大于入参地址的。但是有个问题，别忘了当前root也即J的子树。虽然在我们的例子里J是没有子树的，但在实际当中是完全可能有的。因此这次的计算也得把它们捎上。这两个子树显然也是一边小于入参地址，一边大于入参地址，所以它们将分别加入llist和rlist指向的子树。在两个while循环开始之前的ltree = root->left;和rtree = root->right;这两条语句就是为了让llist和rlist分别接管当前root的这两个子树。

另外还要注意的就是，llist和rlist指向的子树都是”倒置的“。比如在我们的例子中，I的子树放在了B的子树的上面，这种倒置的设计就是为了这第二遍的计算。因为第一遍的splay操作是从上到下，而第二遍对max_free的更新必须从下到上更新才行。要达到这个目的，我们就得知道来时的路径。这里的设计和“栈”很像，先入后出，既保存了路径，又省掉了一个父指针。

所以，在上面的两个while循环里，就沿着right指针遍历llist链表，沿着left指针遍历rlist链表，在对所经过的entry的max_free进行更新之后，就把顺序纠正过来，该在上面的还在上面，该在下面的还在下面。完成之后的树的形态如图vm_map_entry_splay_007所示。

llist和rlist指针被用来遍历链表了，最后肯定要变成空指针，所以拨乱反正之后的两个子树就分别用ltree和rtree指针来指向。我们可以看到，通过这次更新计算，G entry的max_free从200变成了300，而B entry的max_free则从300变成了200，在图中用红色标出。

现在两边躯体都已经弄好了，就差把“头”装上去了：

对于我们的例子来说，就是把ltree指向的子树作为J的左子树，把rtree指向的子树作为J的右子树。最后还别忘了更新J的max_free，从50改成300。最终的树的形态如图vm_map_entry_splay_008所示。

vm_map_entry_splay()函数到此结束。

vm_map_findspace()函数

vm_map_findspace()函数的功能就是对于给定的map映射，找到其虚拟地址空间中位于start地址之后的第一个满足length长度要求的空闲空间。

首先是对所请求的数据进行判断。即所请求的起始地址必须大于该map的最低地址，而所请求的地址范围必须落在该map的最高地址之内，且所请求的地址范围不会跨越vm_size_t类型的表达极限。若树为空，则表示该map的地址空间尚是一块完整的没有开垦过的土地，因此返回其最低地址，查找成功结束。

接下来是用入参地址start去对树进行splay操作，参见前面对vm_map_entry_splay()函数的分析，这个操作之后，新的树根所表示的地址区间要么就包含start，要么就紧接在start所属的空闲区域之前或者之后。首先假设新的树根位于start之后，如果start之后的空闲空间满足我们的需求，查找操作成功结束。如果start属于新树根的地址区间，我们就以新树根的终止地址作为请求的起始地址，否则仍然以start作为起始地址。map->root->end + map->root->adj_free实际上就找到了新树根在链表中的下一个entry的起始地址，也就是虚拟地址空间中位于新树根的地址区间之后的下一个非空闲区域的起始地址，用这个地址减去我们前面算出的请求起始地址，就能判断出这个空闲区间内是否有足够的空间满足我们的请求。如果满足，则查找成功结束。

流程走到这里，说明在和新root相邻的空闲空间中没有找到满足要求的空闲区域，需要我们继续往树中查找。注意，vm_map_findspace()函数只在入参start之后的地址空间中查找空闲区域，经过前面用start对整个树的splay处理，我们现在就可以确定，这样的空间如果存在，那它只能出现在当前树根的右子树中，因为这半个子树表示的才是地址空间中大于start的部分。如果右子树为空，那么我们就可以直接断定查找失败。如果右子树非空，但它的子树中没有超过我们所请求的length的空闲空间，那么我们也可以直接断定查找失败。此处的判断也正是前面所讲的vm_map_entry_splay()函数中计算max_free字段的意义所在。

下面就是遍历右子树的代码，清晰明了。注意，FreeBSD查找可用空闲空间时使用的是first fit原则，即从低地址开始，返回满足条件的第一个空闲空间。由于splay树本质上就是一个二叉查找树，左小右大，所以遍历操作也按左、中、右的顺序来安排。其中的注释也提到了我们之前的分析，即右子树中的所有区域的地址都是大于start的。显然，之所以能进入这个遍历循环，是因为我们在第1050行判断过这个右子树中一定存在大于length的空闲空间，因此，遍历操作不可能以失败结束。所以在while循环之后会有一个panic，如果执行到了那条语句，那就说明max_free出问题了。注意，我们遍历每一级的时候都是用max_free字段来判断子树中是否有满足条件的空闲空间的。

如果vm_map_findspace()函数的查找操作是针对内核映射而言，则需要将所请求的空间向上调整为页尺寸的整数倍，并根据实际情况决定是否增加内核的地址空间。

概要

本文简要介绍了如何在FreeBSD上面安装Trac。Trac是一个具有增强的Wiki和问题跟踪系统的基于WWW的项目管理系统。

·它无缝集成了SVN版本控制系统，并且提供了一个浏览SVN源代码的页面。
·它提供了一系列的报表来协助项目的管理。
·它允许在问题描述中嵌入Wiki格式的内容。
·它允许在向SVN提交更改的信息中嵌入Wiki格式的内容。

目的

通过阅读或者参考本文，您可以最终在FreeBSD系统上面安装和运行一个Trac项目管理系统。

前置条件

安装这个系统需要您对于FreeBSD有基本了解，知道Python编程语言。在安装的过程中如果出现问题能够自己参考FreeBSD手册来解决。

系统需求

在安装Trac的时候，需要以下系统或者软件并且所有软件将会从FreeBSD Ports中来安装：

·FreeBSD 5.3最小安装版：如果使用最小安装版，您在安装的时候需要拥有连接因特网。
·portmanager
·Apache2
·Python
·SQLite: Trac用来存储数据的数据库系统。
·SVN: 也就是Subversion, 在CVS基础上重新设计的新一代版本控制系统。
·ClearSilver-python
·py-PySQLite: 用来支持通过Python语言访问SQLite数据库。
·Trac

详细步骤

1. 安装FreeBSD5.3。建议在安装之前阅读FreeBSD手册，因为我是从头安装起来的因此不存在保存、备份以前数据的问题。如果你没有空闲的机器，那么希望你能够找到其他方法；如果你已经有现成的FreeBSD5.3系统，则可以跳过第1节。

1.1 将安装光盘放入CD-ROM然后重新启动机器，如果你已经设置了光驱启动功能，那么机器重新启动后就可以进入内核配置界面截图如下：

我们不关系内核配置，因此选择第一行跳过内核配置进入安装界面截图如下：

1.2 在安装界面中选择Express进入安装过程，在这个过程中他会提示你进行磁盘分区等操作。遇到这些操作的时候按照提示进行即可。

1.3 进入选择安装方式的时候，系统提供你几个配置包供你选择。因为我们安装的是一个台项目管理服务器，因此不需要图形界面。因此我们选择安装最小的二进制文件和文档(User)就可以了。

1.4 在选择了安装User包以后，系统会提示你是否需要安装Ports集合，因为我们所有的基础系统都是从Ports中安装，因此这里选择“是(Yes)”。

1.5 在系统提示选择安装媒介的时候选择CD/DVD。然后经过大约十几分钟的安装，我们的FreeBSD系统安装差不多了好了。

1.6 系统安装完成以后我们还需要做几件事情：设置root用户密码; 激活网络，这样我们可以访问因特网已安装其他软件。

2. 安装Portmanager。由于是第一次使用ports来安装软件，因此我们先要找找这个portmanager在那里：

通过运行上面的命令，我们知道portmanager在/usr/ports/sysutils/portmanager目录里面，于是我们进入这个目录。然后运行命令

3. 安装Apache2。同样方法我们找到apache软件在目录/usr/ports/www/apache2中，然后我们执行一下命令安装apache2:

这里我们在安装Apache2的时候，指定Apache2需要支持Berkeley DB4。因为后面安装的SVN系统需要使用db4，如果我们这里不一次方式安装，安装SVN的过程中会出现错误。

4. 安装Python：

7. 安装ClearSilver-python: 在Trac的官方安装文档上面将clearsilver和python支持库的安装时分开的，由于我不是很了解他们之间的关系，而且ports里面提供了clearsilver-python的安装包，因此我直接采用这个。

10. 添加用户对svn进行管理：这里我建议不要用root来运行所有的软件，这样可以增强系统的安全性。因此我们这里需要增加新用户来管理svn.
10.1 增加用户组svn
10.2 增加用户svn, 将用户svn添加到组svn中。

11. 添加第一个SVN项目仓库：

14. 重新启动Apache2：

15. 访问http://localhost/svn/cnfug, 你应该可以看到我们刚才添加的目录helloworld。这个表明我们对于SVN和Apache2的安装已经成功！

16. 创建用户trac和用户组trac, 将用户trac添加到svn用户组中，以便于trac访问svn仓库。

17. 安装配置Trac，最后一步了加油阿！

17.1 安装Trac：

18. 运行第一个Trac项目：

19. 这样子我们第一个Trac项目就运行起来了！！让我们登陆到http://localhost:8080/上去就可以看到如下图片中的内容。

经过以上的步骤，我们终于让我们的第一个Trac系统运行起来了。可能大家这里也注意到了我们这个Trac是基于tracd运行的，而更多人希望是能够和Apache结合起来。

我也希望在下一篇文章中能够介绍一下如何在现在的基础上和Apache2集成起来运行我们的Trac!

参考资料及资源

在本文的编写过程中参考或者使用了因特网上面的资源或文档，这里本人尊重相关资源所有者的所有权利并无意侵犯。这里列举其中一些已表示对于作者的感谢。

·FreeBSD ISO: ftp://ftp.freebsd.org/pub/FreeBSD/releases/i386/ISO-IMAGES/5.4/
·FreeBSD手册: http://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/index.html
·Trac: http://projects.edgewall.com/trac/
·Trac Installation Guide: http://projects.edgewall.com/trac/wiki/TracInstall
·SVN: http://subversion.tigris.org/
·SQLite: http://www.sqlite.org/
·PySQLite: http://sourceforge.net/projects/pysqlite
·ClearSilver: http://www.clearsilver.net/
·Python: http://www.python.org/
·Apache2: http://httpd.apache.org/

0、概述

当需要在多台计算机上安装FreeBSD操作系统时，我们可以使用PXE全自动安装方式，来减少重复工作量，这里以实例介绍PXE安装FreeBSD的实现过程。
整体思路是：
　　　　　PXE客户端启动 -> 从PXE服务端获取IP地址和pxeboot ->
　　　　　pxeboot开始运行，以TFTP方式获取/boot/loader.rc ->
　　　　　按照loader.rc设置启动系统 -> 运行sysinstall，通过FTP获取安装文件，开始自动安装

接下来，让我们按照这个思路来一步步实现。

1、安装DHCP服务

PXE启动主要是通过DHCP服务实现，所以我们首先需要安装DHCP服务，这里使用isc-dhcp，并使用ports方式安装。

出现ports选项，使用默认值。

安装完成后，就是配置DHCP服务了，DHCP的默认配置文件是/usr/local/etc/dhcpd.conf，本例中的配置如下：

2、准备PXE环境

我们将PXE环境所需要的文件全部放于/home/pxe目录下，首先要准备的就是pxeboot文件，pxeboot实际就是loader，只是它用于PXE环境。
标准的pxeboot默认使用NFS获取启动文件、内核等文件，但我们这里设计的是TFTP方式，所以我们需要重新编译pxeboot，让它使用TFTP来获取启动文件，按照下面的步骤操作：

修改 /home/pxe/boot/loader.conf 为

3、设置自动安装

sysinstall在执行安装操作前会检查/install.cfg文件是否存在，如果存在则按照文件中的设置，执行全自动安装。我们所使用的是标准安装程序，整个安装所需要的基本环境存放在 /home/pxe/mfsroot.gz 中，由于它没有设置自动安装，所以我们需要修改 mfsroot.tgz 为其增加 install.cfg 文件。

现在重新压制mfsroot.gz

4、开启相关服务

(1) DHCP服务
首先要设置网卡IP为我们在dhcpd.conf中设置的IP 192.168.7.1，本文是在VMware中验证的，所以这里以lnc0为例

(3) FTP服务
我们设置了安装程序使用FTP的方式获取安装文件，所以我们需要在这台服务器上开启FTP服务。
首先增加系统用户ftp及ftp组，并设置它的home目录为/mnt/cd，因为我们所有的安装程序都在光盘上，加上先前我们已经将光盘加载到/mnt/cd目录中，所以这里设置ftp帐号的home目录为/mnt/cd，就是设置了Anonymous FTP服务的根目录为/mnt/cd，当PXE客户端安装程序启动时，安装程序会从这里取得安装需要的文件

现在一切准备已经完成，找到台支持PXE的机器，以PXE方式引导，你就可以看到FreeBSD在它上面自动完成整个安装过程了。

Copyright © 2004、2005、2006

本文介绍使用FreeBSD+Postfix+Cyrus-sasl+Courier-imap+igenus+spamassassin+Clamav+mailscanner+mailscanner-mrtg+mailman
来架构一个具有多域名，有邮件列表、webmail、防病毒、防垃圾邮件、web管理界面的邮件系统。
Jacky, $Revision: 4.51 bate $Date: 2005-12-03

系统主要采用MailScanner+clamav+Spamd+APF来对病毒过滤和垃圾邮件过滤。

本文在4.10、5.3、5.4、6.0上安装测试通过，病毒过滤放弃采用amavisd。主要采用执行效率更高的MailSanner来对邮件过滤和垃圾邮件过滤，配置更容易，并且降低了系统开消。让系统更加稳定，经过严格病毒邮件测试成功率达到了100%。垃圾邮件过滤基本上达到了95%的成功率。

Table of Contents
Chapter 1. 系统安装
1.1 安装MySQL
1.2 安装Apache
1.3 安装PHP
1.4 安装zend
1.5 安装openssl
1.6 安装phpMyAdmin
1.7 通过phpMyadmin设置数据库
1.8安装Courier-imap
1.9安装 postfix 和 cyrus-sasl
1.10 安装expect
Chapter 2. 配置邮件服务器
2.1 配置rc.conf
2.2 配置postfix 和 cyrus-sasl
2.3 配置Courier-imap
Chapter 3. 手动设置第一个用户并测试
Chapter 4. 安装postfix管理工具
4.1安装本人开发的postfix管理工具
4.2 用户登录测试
Chapter 5. 防病毒与防垃圾邮件
5.1 安装Clamav
5.2 安装MailScanner
5.3 安装配置Spamassassin
5.4修改Postfix设定档main.cf
5.5修改mailscanner.conf
5.6新增MailScanner所要用到的资料夹
5.7把病毒提示信息改为中文
5.8MailScanner监管进出邮件
5.9 邮件流量监控（mailscanner-mrtg）安装与设置
5.10．安装APF防垃圾邮件
Chapter 6. 安装webmail
Chapter 7邮件列表（mailman）
Chapter 8. 查看系统状态

Chapter 1. 系统安装

安装之前：因用户数据都保存在/var目录下，因此安装FreeBSD时/var的空间应尽量大。FreeBSD的版本为5.3，按最小化安装，软件包只安装cvsup，安装结束后用cvsup更新ports树。在文档中假设服务器的ip地址为192.168.0.2，域名为toping.net，主机名为mail.toping.net。

请兄弟们仔细一些，注意空格和TAB。

祝兄弟们好运。本人水平有限。如果发现文章中有什么错误和不当的地方请发邮件：scyz@toping.net。我会在第一时间给予答复。

1.1 安装MySQL
mail# cd /usr/ports/databases/mysql40-server
mail# make install clean

编辑/etc/rc.conf，加入
mysql_enable="YES"

1.2 安装Apache
mail# cd /usr/ports/www/apache2
mail# make install clean

编辑/etc/rc.conf，加入
Apache2_enable="YES"

1.3 安装PHP
mail# cd /usr/ports/www/mod_php4
mail# make install clean

我的选择：（注意别选DEBUG，否则会和ZEND有冲突）
[X] APACHE2 Use apache 2.x instead of apache 1.3.x

安装需要的PHP扩展模块
mail# cd /usr/ports/lang/php4-extensions
mail# make install clean

我选择了下面的模块：

[X] BCMATH bc style precision math functions
[X] BZ2 bzip2 library support
[X] CALENDAR calendar conversion support
[X] CRACK crack support
[X] CTYPE ctype functions
[X] CURL CURL support
[X] FTP FTP support
[X] GD GD library support
[X] GETTEXT gettext library support
[X] FILEINFO fileinfo support
[X] IMAP IMAP support
[X] MBSTRING multibyte string support
[X] MCAL Modular Calendar Access Library support
[X] MCRYPT Encryption support
[X] MCVE MCVE support
[X] MHASH Crypto-hashing support
[X] MYSQL MySQL database support
[X] PCRE Perl Compatible Regular Expression support
[X] POSIX POSIX-like functions
[X] SESSION session support
[X] TOKENIZER tokenizer support
[X] XML XML support
[X] ZLIB ZLIB support

最后在编辑/usr/local/etc/apache2/httpd.conf最后加入：
DirectoryIndex index.html index.html.var index.php

#注：在DirectoryIndex这里加入index.php,是为了让apache支持首页为index.php的首页文件

AddType application/x-httpd-php .php
AddType application/x-httpd-php-source .phps

Group www、User www修改为： Group postfix、User postfix
注：以上这一步要在postfix安装后再操作

1.4.安装zend
mail# cd /usr/ports/devel/ZendOptimizer
mail# make install clean

因为版权的问题，他不会自动下载。这里你需要到他的官方网站去下载ZendOptimizer-2.5.10a-freebsd4.3-i386.tar.gz到/usr/ports/distfiles目录下面后再安装。
下载地址：
http://downloads.zend.com/optimizer/2.5.10/ZendOptimizer-2.5.10a-freebsd4.3-i386.tar.gz

完成后在/usr/local/etc/php.ini中加入：
[Zend]
zend_optimizer.optimization_level=15
zend_extension_manager.optimizer="/usr/local/lib/php/20020429/Optimizer"
zend_extension_manager.optimizer_ts="/usr/local/lib/php/20020429/Optimizer_TS"
zend_extension="/usr/local/lib/php/20020429/ZendExtensionManager.so"
zend_extension_ts="/usr/local/lib/php/20020429/ZendExtensionManager_TS.so"

重启apache安装完成。

1.5 安装openssl
mail# cd /usr/ports/security/openssl
mail# make install clean

1.6 安装phpMyAdmin
mail# cd /usr/ports/databases/phpmyadmin
mail# make fetch
注：(在这里建议直接下载后复制安装)

mail# cd /usr/ports/distfiles
mail# tar –zxvf PhpMyadmin-x.tar.gz
mail# mv /usr/local/www/phpMyAdmin-x /usr/local/www/data/dbadmin

修改/usr/local/www/data/dbadmin/config.inc.php
$cfg['PmaAbsoluteUri'] = 'http://192.168.0.2/dbadmin/';
$cfg['Servers'][$i]['auth_type'] = 'http'; // Authentication method (config, http or cookie based)?
注：指定phpmyadmin的认证方式为http方式。

在浏览器输入http://192.168. 0.2/dbadmin/，首次进行登入的用户名为root密码为空，登入后可以修改你的密码。

1.7 通过phpMyadmin设置数据库

建立postfix数据库(注意：数据库名称为postfix)：

mail# mysql –u root –p
mysql# CREATE DATABASE `postfix` ;
mysql# use postfix;

下面为sql语句：

CREATE TABLE domaininfo (
domain_id int(5) NOT NULL auto_increment,
domain varchar(25) NOT NULL default '',
alias varchar(30) default NULL,
passwd varchar(35) NOT NULL default '',
usernum int(5) NOT NULL default '0',
quota int(11) NOT NULL default '0',
des varchar(30) default NULL,
expire date NOT NULL default '0000-00-00',
active tinyint(1) NOT NULL default '1',
create_time datetime default NULL,
PRIMARY KEY (domain_id),
UNIQUE KEY domain (domain),
KEY domain_id (domain_id)
) TYPE=MyISAM COMMENT='domain information';

INSERT INTO domaininfo VALUES (1,'admin',NULL,'$1$.j3.t12.$I7MGf7ZD2HrWwUWQF88Mg1',0,0,'Super Admin','0000-00-00',1,'0000-00-00 00:00:00');

CREATE TABLE userinfo (
id int(11) NOT NULL auto_increment,
userid varchar(20) NOT NULL default '',
domain_id int(5) NOT NULL default '0',
address varchar(50) NOT NULL default '',
alias varchar(60) default NULL,
passwd varchar(35) NOT NULL default '',
realname varchar(20) default NULL,
quota int(11) NOT NULL default '0',
active tinyint(1) NOT NULL default '0',
homedir varchar(60) NOT NULL default '',
maildir varchar(60) NOT NULL default '',
create_time datetime NOT NULL default '0000-00-00 00:00:00',
`fax` varchar(20) NOT NULL default '',
`telephone` varchar(15) NOT NULL default '',
`sex` int(1) NOT NULL default '0',
`year` int(4) NOT NULL default '0',
`MONTH` int(2) NOT NULL default '0',
`DAY` int(2) NOT NULL default '0',
`education` varchar(4) NOT NULL default '',
`marital` int(1) NOT NULL default '0',
`occupation` varchar(15) NOT NULL default '',
`companyname` varchar(30) NOT NULL default '',
`province` varchar(6) NOT NULL default '',
PRIMARY KEY (id),
UNIQUE KEY address (address)
) TYPE=InnoDB COMMENT='User Information';

注：对于初学者，建议以上操作都在phpmyadmin中操作更加的简便，如果后面要使用igenus请导入原来igenus的sql。

建立数据库用户并授以相应的权限

mail# mysql –u root –p
mysql# use mysql;
mysql# INSERT INTO user (host,user,password) VALUES('localhost','postfix','');
mysql# update user set password=password('postfix') where User='postfix';
mysql# GRANT ALL ON postfix.* TO postfix@localhost IDENTIFIED BY "postfix";
注：这里加用户名和密码都为：postfix。并授权对postfix数据库进行操作

1.8 安装Courier-imap
mail# cd /usr/ports/mail/courier-imap
mail# make install clean
我的选择：
[X] OPENSSL Build with OpenSSL support
[X] AUTH_MYSQL MySQL support

在/etc/rc.conf中加入：
courier_authdaemond_enable="YES"
courier_imap_pop3d_enable="YES"
courier_imap_imapd_enable="YES"

mail# cd /usr/local/etc/courier-imap
mail# cp imapd.cnf.dist imapd.cnf
mail# cp pop3d.cnf.dist pop3d.cnf
mail# /usr/local/etc/rc.d/courier-authdaemond.sh start

注：此时会在/var/run/authdaemond/下产生socket，如果没有下面这一步下面的认证无法通过。

mail# chmod +x /var/run/authdaemond

1.9 安装 postfix 和 cyrus-sasl
mail# cd /usr/ports/security/cyrus-sasl2
mail# make install WITH_AUTHDAEMON=yes
mail# make clean

创建/usr/local/lib/sasl2/smtpd.conf

pwcheck_method: authdaemond
log_level: 3
mech_list: PLAIN LOGIN
authdaemond_path:/var/run/authdaemond/socket

更详细的参数设置请看：
http://www.toping.net/bbs/htm_data/7/0508/330.html

至此，认证部分基本完成。

安装postfix
mail# cd /usr/ports/mail/postfix
mail# make install clean

我的选择：
[X] VDA VDA (Virtual Delivery Agent)
[X] MySQL MySQL map lookups (choose version with WITH_MYSQL_VER)
[X] TLS SSL and TLS
[X] SASL2 Cyrus SASLv2 (Simple Authentication and Security Layer)

回答下面的两问题：
You need user "postfix" added to group "mail".[是否将postfix用户加到mail用户组]
Would you like me to add it [y]? y
Would you like to activate Postfix in /etc/mail/mailer.conf [n]? n

在/etc/rc.conf中加入postfix启动所需的启动选项
在/etc/rc.conf中加入：

sendmail_enable="YES"
sendmail_flags="-bd"
sendmail_pidfile="/var/spool/postfix/pid/master.pid"
sendmail_procname="/usr/local/libexec/postfix/master"
sendmail_outbound_enable="NO"
sendmail_submit_enable="NO"
sendmail_msp_queue_enable="NO"

设置postfix启动所需
mail# ln -s /usr/local/sbin/sendmail /usr/sbin/sendmail

注：如果/usr/sbin/sendmail存在就删了再做上链接，如果升级内核和升级系统后要重新做这一步。

mail# echo ‘postfix: root’ >> /etc/aliases
mail# /usr/local/bin/newaliases
mail# chown postfix:postfix /etc/opiekeys

1.10 安装expect
用于Web客户端建立邮件用户
mail# cd /usr/ports/lang/expect
mail# make install clean

Chapter 2. 配置邮件服务器

本节主要讲述各种服务的参数配置。

2.1 配置rc.conf，编辑/etc/rc.conf

下面是前面所装软件都加入了启动选项的rc.conf配置：

mysql_enable="YES"
apache2_enable="YES"
courier_authdaemond_enable="YES"
courier_imap_pop3d_enable="YES"
courier_imap_imapd_enable="YES"
sendmail_enable="YES"
sendmail_flags="-bd"
sendmail_pidfile="/var/spool/postfix/pid/master.pid"
sendmail_procname="/usr/local/libexec/postfix/master"
sendmail_outbound_enable="NO"
sendmail_submit_enable="NO"
sendmail_msp_queue_enable="NO"

2.2 配置postfix 和 cyrus-sasl
(1)修改/usr/local/etc/postfix/main.cf，在文件最后加入以下内容
mail# ee /usr/local/etc/postfix/main.cf
smtpd_helo_required = yes
strict_rfc821_envelopes = yes
smtpd_etrn_restrictions = permit_mynetworks, reject
#=====================BASE=====================
myhostname = mail.toping.net
mydomain = toping.net
mydestination = $myhostname
local_recipient_maps =
command_directory = /usr/local/sbin
local_transport = virtual
#=====================MySQL=====================
virtual_alias_maps = mysql:/usr/local/etc/postfix/mysql_virtual_alias_maps.cf
virtual_gid_maps = static:125
virtual_mailbox_base = /
virtual_mailbox_domains = mysql:/usr/local/etc/postfix/mysql_virtual_domains_maps.cf
virtual_mailbox_limit = 51200000
virtual_mailbox_maps = mysql:/usr/local/etc/postfix/mysql_virtual_mailbox_maps.cf
virtual_minimum_uid = 125
virtual_transport = virtual
virtual_uid_maps = static:125
#=====================Quota=====================
virtual_create_maildirsize = yes
virtual_mailbox_extended = yes
virtual_mailbox_limit_maps = mysql:/usr/local/etc/postfix/mysql_virtual_mailbox_limit_maps.cf
virtual_mailbox_limit_override = yes
virtual_maildir_limit_message = Sorry, the user's maildir has overdrawn his diskspace quota, please try again later.
virtual_overquota_bounce = yes
#====================SASL=====================
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
broken_sasl_auth_clients = yes
smtpd_delay_reject=yes
smtpd_recipient_restrictions = permit_mynetworks,permit_sasl_authenticated,permit_auth_destination,reject
smtpd_client_restrictions = permit_sasl_authenticated

更详细的参数设置请看论坛：
http://www.toping.net/bbs/htm_data/7/0601/871.html

(4)编辑/usr/local/etc/postfix/mysql_virtual_alias_maps.cf
mail# ee /usr/local/etc/postfix/mysql_virtual_alias_maps.cf
user = postfix
password = postfix
hosts = localhost
dbname = postfix
query = SELECT alias FROM userinfo WHERE address='%s' AND active = 1

(5)编辑/usr/local/etc/postfix/mysql_virtual_domains_maps.cf
mail# ee /usr/local/etc/postfix/mysql_virtual_domains_maps.cf
user = postfix
password = postfix
hosts = localhost
dbname = postfix
query = SELECT domain FROM domaininfo WHERE domain='%s'

(6)编辑/usr/local/etc/postfix/mysql_virtual_mailbox_maps.cf
mail# ee /usr/local/etc/postfix/mysql_virtual_mailbox_maps.cf
user = postfix
password = postfix
hosts = localhost
dbname = postfix
query = SELECT maildir FROM userinfo WHERE address='%s' AND active = 1

(7)编辑/usr/local/etc/postfix/mysql_virtual_mailbox_limit_maps.cf
mail# ee /usr/local/etc/postfix/mysql_virtual_mailbox_limit_maps.cf
user = postfix
password = postfix
hosts = localhost
dbname = postfix
query = SELECT quota FROM userinfo WHERE address='%s'

2.3 配置Courier-imap

(1)修改Courier相关设置，/usr/local/etc/courier-imap/imapd：

IMAP_CAPABILITY="IMAP4rev1 CHILDREN NAMESPACE THREAD=ORDEREDSUBJECT THREAD=REFERENCES SORT QUOTA"

(2)修改/usr/local/etc/courier-imap/pop3d

POP3AUTH="LOGIN CRAM-MD5 CRAM-SHA1"

(3)编辑修改/usr/local/etc/authlib/authmysqlrc
mail# mv /usr/local/etc/authlib/authmysqlrc /usr/local/etc/authlib/authmysqlrc_bak
mail# ee /usr/local/etc/authlib/authmysqlrc
MYSQL_SERVER localhost //数据库主机地址
MYSQL_USERNAME postfix //数据库用户名
MYSQL_PASSWORD postfix //数据库密码
MYSQL_PORT 0
MYSQL_OPT 0
MYSQL_DATABASE postfix //数据库名称
MYSQL_USER_TABLE userinfo
MYSQL_CRYPT_PWFIELD passwd
MYSQL_UID_FIELD '125'
MYSQL_GID_FIELD '125'
MYSQL_LOGIN_FIELD address
MYSQL_HOME_FIELD homedir
MYSQL_NAME_FIELD realname
MYSQL_MAILDIR_FIELD maildir
MYSQL_QUOTA_FIELD quota
注：这里得用tab键来跳格

(4)编辑/usr/local/etc/authlib/authdaemonrc
mail# mv /usr/local/etc/authlib/authdaemonrc /usr/local/etc/authlib/authdaemonrc_bak
mail# ee /usr/local/etc/authlib/authdaemonrc
authmodulelist="authmysql"
authmodulelistorig="authmysql"
version="authdaemond.mysql"
daemons=5
authdaemonvar=/var/run/authdaemond
subsystem=mail
DEBUG_LOGIN=0
DEFAULTOPTIONS="wbnodsn=1"

重启服务器

Chapter 3.手动设置第一个用户并测试

本章介绍如何开通用户，并且测试系统是否正常。

注：增加用户时请到这里生成加密后的密码后直接插入到数据库中就可以了。
http://www.toping.net/soft
mail# mysql
mysql> use postfix;
mysql> show tables;
+-------------------+
| Tables_in_postfix |
+-------------------+
| address |
| admin |
| card |
| domaininfo |
| lastauth |
| logs |
| message |
| personal |
| scheduler |
| stow |<