RH333 Unit 6 - Network File System
1. 回顾NFS协议及其缺陷
2. 理解如何配置NFSv4的服务器和客户端
3. 使用Kerbeross来保证NFS认证和传输的加密
4. 研究SELinux和NFS之间如何影响
5. NFS配置问题排错
二、NFS服务配配置:
1. 类型:System V-launched service
2. 软件包:nfs-utils
3. Daemons:nfsd、rpc.mountd、rpc.statd、lockd、rpc.idmapd、rpc.gssd、rpc.svcgssd
4. 脚本:nfs、nfslock、rpcidmapd、rpcgssd、rpcsvcgssd
5. 端口:2049/tcp和2049udp(nfsd)、其它端口随机(通过portmap(111/tcp和111/udp)映射)
6. 配置:/etc/exports、/etc/sysconfig/nfs、/etc/idmapd.conf
7. 额外:portmap、krb5-workstation、util-linux
三、NFS挂载类型:
1. NFSv2:采用UDP协议传输
2. NFSv3:安全的异步传输、支持TCP协议、64-bit文件大小、大文件的读写、支持一部分Kerbeross特性
3. NFSv4:支持更完整的附加协议、UTF-8文件编码、提升用户映射支持、提升了锁机制、提升了客户端的缓存、支持完整的Kerbeross功能
四、挂载并使用NFSv3的步骤详解:
1. 客户端询问服务器的portmap,获取rpc.mountd端口
2. 客户端询问服务器的rpc.mountd,获取导出的文件系统和权限
3. rpc.mountd分发给客户端访问文件系统的句柄(也就是告知客户端如何访问文件系统)
4. 客户端使用句柄通过服务器的nfsd服务来进行访问和改变文件系统
5. 通过lockd和rpc.statd服务来进行文件锁管理
五、系统认证和用户认证
1. 程序是通过挂载的NFS文件系统来访问文件的
2. NFS客户端通过NFS请求来访问NFS服务器的时候包含了程序的UID和GID
(1) NFS服务器相信客户端发送精确的UID/GID信息
(2) 在服务器与客户端假设相同的用户UID和组GID信息
3. NFS服务器使用UID/GID信息控制访问
六、控制系统认证名字映射
1. 如果可能,使用中心认证方式
(1) 使用中心NIS或者LDAP服务保证服务器与客户端的UID和GUI映射的一致性
2. 在/etc/exports使用适当的选项
(1) root_squash:root映射UID和GID为65534(nfsnobody)
(2) all_squash:映射所有UID和GID为65534(nfsnobody)
七、基本共享安全
1. 不要共享包含服务器配置文件的目录
2. 共享全部的文件系统考虑使用subtree_check
3. 除非必须,否则不要使用no_root_squash选项
4. 共享文件系统时,小心使用crossmnt和nohide选项
八、NFSv3漏洞
1. 辅助协议使用随机端口,配置防火墙较为复杂
2. 客户端认证是通过主机名或IP地址
3. 服务器信任认证的客户端
4. 明文传输协议容易导致内存篡改和窃取
5. 以root身份运行复杂的服务
九、NFSv3中使用静态的端口
1. 通过设置静态端口为辅助NFS服务简单进行防火墙配置
2. 默认情况下,nfsd使用TCP和UDP的2049端口
3. 编辑/etc/sysconfig/nfs:
LOCKD_TCPPORT=888 LOCKD_UDPPORT=888 MOUNTD_PORT=889 STATD_PORT=12001
4. 通过rpcinfo -p命令核实端口