Freebsd jail设计解读
1 简介
Freebsd的jail模型是一个纯粹的沙箱模型，用来限制进程的一些行为，是一种安全机制。它是一种简单的“虚拟化”设计，更精确的说它只是简单的namespace机制实现。Linux的容器机制技术包括pid namespace、ipc namespace、uts namespace、mount namespace、netstack namespace、cgroup等。Freebsd的jail只包含了uts、netstack的namespace完整实现，剩下的namespace不具备功能完整性，只做了一些简单的隔离限制，在后面的源码分析中，将会看到详细的阐述。
2 架构
2.1 Jail模型
Jail模型在内核里是以prison为单位进行管理， 一个prison有其父prison，有兄弟prison，有子prison，很类似进程的关系链。
prison用结构体struct prison表示， 内核使用宏FOREACH_PRISON_DESCENDANT遍历prison：
sys/jail.h：
这个宏读起来比较绕，首先对prison的子节点进行深度遍历，然后在对其兄弟prison进行遍历。descend只起到一个标识作用，在从children向上回溯时不需要在做检查。
Freebsd增加了sys_jail、sys_jail_set、jail_remove三个系统调用，来支持jail的建立和销毁。Jail在内核中的结构如下：
struct jail {
kern_jail_set函数用于将struct jail结构转化为struct prison结构，后者挂接于每个线程的struct ucred结构体里。
struct prison {
以后内核对于取主机名等操作就从此结构体里取出，这样就实现了类似linux uts namespace的机制。
系统的init进程处于prison0之中，类似于linux的init进程处于init_namespace之中。
2.2 进程隔离
linux提供了pid namespace机制，不同的pid namespace之间不能进行信号发送，同一个pid namespace组里，只有父pid namespace可以给子pid namespace发送信号，反过来则不行。比如父进程可以发送kill -9杀死子进程，子进程却不能杀死父进程，这是进程间隔离的基本要素。Freebsd的实现也是如此。
sys_kill->p_cansignal->cr_cansignal->prison_check->prison_ischild
int
当发送信号操作时，会调用prison_ischild函数检查目标进程是否处于当前进程的子prison里，如果是则继续发送信号，如果不是则失败返回。这个算法与linux的pid namespace机制如出一辙，只不过linux的每个pid namespace都有自己的进程号管理体系，它通过层次来实现进程的pid namespace区分，假如一个进程处于三层namespace中， 那么在它的一层、二层namespace中都占有一个独立的进程号，而Freebsd并没有采取上述机制。
2.3 ipc隔离
在ipc相关的通讯中，也有类似进程隔离的检查机制。
kern/sysv_msg.c
msq_prison_cansee仍然调用prison_ischild函数来判断目标进程是否处于当前进程的子prison中。
kern/sysv_shm.c：
kern/sysv_sem.c:
2.4 文件系统隔离
2.4.1 mount隔离
freebsd没有实现linux的mount namespace机制，而是在mount的操作中，判断是否处于prison的进程可以执行mount操作。
kern/vfs_subr.c：
当进程处于jail中，就调用prison_check对当前进程的cred和要挂接的目录cred进行比对，后者又调用prison_ischild来判断要挂接的目录是否在当前prison之外，如果是的话就不允许此操作。
2.4.2 文件系统属性修改
ufs/ufs/ufs_vnops.c：
判断当前处在prison中的进程是否有PRIV_VFS_SYSFLAGS修改文件系统属性的权限。
priv_check_cred->prison_priv_check
2.5 网络隔离
freebsd的net stack namespace是通过vnet模型来实现的，jail模型只做简单的隔离操作，比如是否允许prison的进程绑定地址等等。
sys_bind->kern_bindat->sobind
so->so_proto->pr_usrreqs->pru_bind指向某个具体的地址族中的某个协议地址绑定操作指针，我们以INET地址族TCP协议的端口绑定操作来看下：
in_pcbbind->in_pcbbind_setup
int
Tcp bind的初始化操作中调用prison_local_ip4来判断是否允许此次bind操作。
int
[1] 如果prison没有设置PR_IP4标志则放行通过, 如果设置了但pr->pr_ip4保存的ipv4地址数组为空，则失败返回。在[3]处，如果地址类型为INADDR_ANY，则放行通过。然后调用[4]处的prison_check_ip4_locked判断要绑定的地址是否在prison ipv4地址数组中，它通过二分法来做匹配。如果绑定的地址不在其中，则返回失败，也就是说prison中进程使用socket绑定的ipv4地址必须是在通过sys_jail设置好的地址范围。
