NFS: различия между версиями

Версия от 14:15, 23 февраля 2012

Данная страница находится в разработке.
Эта страница ещё не закончена. Информация, представленная здесь, может оказаться неполной или неверной.

NFS

Важной особенностью NFS является то, что она рассчитана на использование внутри безопасной сети, рабочим станциям в которой можно доверять, поскольку авторизация доступа к файлам, смонтированным на NFS осуществляется на основании идентификатора пользователя, а подлинность пользователя каждая машина в сети проверяет самостоятельно. Вытекающим отсюда требованием является то, что пользователь должен быть зарегистрирован и на клиенте и на сервере NFS и иметь там одно и то же входное имя (login) и идентификатор. Это достигается использованием централизованной аутентификации (например, с помощью PAM и сервера аутентификации или NIS).

Для запуска nfs требуется, чтобы в системе были установлены следующие пакеты:

nfs-server или unfs3 (в OpenVZ VE ядерный NFS-сервер не работает)
portmap (в шестой платформе заменен на rpcbind)
nfs-clients (содержит в себе nfslock)

(в некоторых системах вместо nfs-server и nfs-clients имеется пакет nfs-utils)

Настройка portmap

Для работы nfs необходим сервис portmap. По умолчанию, сервис portmap запущен только на loopback (lo) интерфейсе в целях безопасности. Этого достаточно для раздачи сетевых ресурсов через nfs4.

Однако при этом не будет работать монтирование каталогов по nfs3. Если это действительно нужно, то нехотя коментируем в файле /etc/sysconfig/portmap строку PORTMAP_ARGS="-l", прописываем в /etc/hosts.allow сеть, в которую раздаем:

portmap mountd nfsd statd lockd rquotad : 192.168.ххх.0/255.255.255.0

и в /etc/hosts.deny:

portmap mountd nfsd statd lockd rquotad : ALL

после этого еще раз вдумчиво читаем http://tldp.org/HOWTO/NFS-HOWTO/security.html. и глубоко размышляем над глубокой небезопасностью запуска portmap без PORTMAP_ARGS="-l" и использования nfs3.

Настройка rpcbind, для шестой платформы

Начиная с шестой платформы portmap заменен на rpcbind. Настраивается аналогично portmap. Конфигурационный файл /etc/sysconfig/rpcbind, для использования nfs 3, закомментировать:

control rpcbind server

Настройка kerberos

Для rw каталогов жедательно настроить kerberos.

TODO

Для read-only можно просто закоментировать в файле /etc/sysconfig/nfs строку

SECURE_NFS=yes

Настройка сервера NFS

1. В файле /etc/exports указываются каталоги, которые мы экспортируем (разрешаем монтировать с других машин) (см. man exports).

По соображениям безопасности не рекомендуется экспортировать каталоги по протоколу NFS 3. Рекомендуется использовать NFS 4.

синтаксис для экспорта через NFS 3

/mysharedir ipaddr1(rw)  ipaddr2(ro)

Например

/mysharedir 192.168.0.1/24(rw)

В скобочках указываются дополнительные параметры:

rw — разрешены чтение и запись

ro — разрешено только чтение

no_root_squash — отключение ограничения прав root

По умолчанию пользователь root имеет на смонтированных ресурсах права пользователя nobody.

Можно указывать разрешение экспорта сразу для подсети. Например разрешение для машин из подсети 192.168.0.X строка будет выглядеть так:

/mysharedir 192.168.0.1/24(rw)

Подробную информацию о формате файла можно посмотреть командой man exports

синтаксис для экспорта через NFS 4

экспортируемые по NFS 4 каталоги имеют тот же синтаксис, что и через NFS3, за исключением того, что все они должны быть в одном подкаталоге (chroot для безопасности). Пусть это каталог /exports. Тогда необходимо подмонтировать остальные экспортированные каталоги внутрь /exports с помощью mount --bind (mount --bind /mysharedir /exports/mysharedir), прописать в fstab:

/mysharedir     /exports/mysharedir   none    bind  0  0

и прописать в /etc/exports: отличие с NFS3 в том, что нужно будет добавить nohide к mysharedir и явно обьявить корневой каталог экспорта с fsid=0.

/exports        192.168.0.1/24(fsid=0,ro,insecure,all_squash)
/exports/mysharedir    192.168.0.1/24(nohide,ro,insecure,all_squash)

Запуск NFS

1. После настройки файла необходимо запустить сервис rpcbind (для p6,portmap для p5) командой:

(p5)# service portmap start

(p6)# service rpcbind start

2. Запустить непосредственно nfs-server командой:

# service nfs start

3. Запустить сервис блокировок командой:

# service nfslock start

Если все команды прошли успешно и не выдавали ошибок, то сервер можно считать работающим. Дополнительно можно запустить команду exportfs, которая выведет текущие настройки на данный момент. В случае нормальной работы она должна вывести на экран записи из файла /etc/exports

Для запуска сервисов при старте системы:

chkconfig rpcbind on (chkconfig portmap on)
chkconfig nfs on
chkconfig nfslock on

Использование NFS

Подключение к nfs-серверу можно производить вручную, а можно настроить автоматическое подключение при загрузке.

Допустим машина где запущен nfs-server называется server, и нам необходимо смонтировать с сервера каталог /myshare Тогда, для ручного способа достаточно (из под пользователя root) выполнить команду:

mount -t nfs4 -o proto=tcp,port=2049 server:/myshare /mnt/myshare

или (NFS3)

mount -t nfs server:/myshare /mnt/myshare

Внимание: так nfs4 монтироваться не будет! myshare стоит убрать. Подробнее про nfs4 лучше сразу читать тут: http://www.altlinux.org/NFSv4#.D0.9C.D0.BE.D0.BD.D1.82.D0.B8.D1.80.D0.BE.D0.B2.D0.B0.D0.BD.D0.B8.D0.B5_.D0.BA.D0.BB.D0.B8.D0.B5.D0.BD.D1.82.D0.BE.D0.BC

где, /mnt/myshare — локальный каталог куда монтируется удалённый каталог.

Для автоматического монтирования к nfs-серверу при загрузке необходимо добавить следующую строку в файл /etc/fstab:

server:/myshare  /mnt/myshare   nfs4   proto=tcp,port=2049,intr,soft,lock,_netdev 0 0

или (NFS3)

server:/myshare  /mnt/myshare   nfs   intr,soft,lock,_netdev

где, intr — позволяет прервать процесс при необходимости soft — предотвращает от зависания в случае недоступности удалённой машины.

Кроме того, стоит убедиться, что сервис netfs запускается при старте системы.

Прежде чем изменять /etc/fstab, попробуйте смонтировать вручную и убедитесь, что всё работает.

Автомонтирование

Осуществляется при помощи automount, autofs или subfs.

subfs

Рецепт mike@ для subfs (фрагмент /etc/fstab), NFS4

server:/var/ftp/pub /pub subfs fs=nfs4,program=/sbin/net-submountd,interval=5,proto=tcp,port=2049,soft,_netdev 0 0

или NFS3

server:/var/ftp/pub /pub subfs fs=nfs,program=/sbin/net-submountd,interval=5,soft,_netdev 0 0

autofs + avahi

Использование avahi. Создайте на сервере файл /etc/avahi/services/nfs.service, используется nfs4:

<?xml version="1.0" standalone='no'?>
<!DOCTYPE service-group SYSTEM "avahi-service.dtd">
<service-group>
<name replace-wildcards="yes">%h</name>
<service>
       <type>_nfs._tcp</type>
       <port>2049</port>
</service>
</service-group>

и запустите на сервере nfs сервис avahi-daemon. Проверьте с машин-клиентов, что сервер nfs виден с этих машин с помощью команды

avahi-browse -tkrp _nfs._tcp

Установите на машины-клиенты autofs. С настройками по умолчанию, ресурсы nfs будут монтироваться как /mnt/net/servername/netshare.

Ссылки

@@ Строка 118: / Строка 118: @@
 Для автоматического монтирования к nfs-серверу при загрузке необходимо добавить следующую строку в файл <tt>/etc/fstab</tt>:
-<pre>server:/myshare  /mnt/myshare   nfs4   proto=tcp,port=2049,intr,soft,lock,_netdev</pre>
+<pre>server:/myshare  /mnt/myshare   nfs4   proto=tcp,port=2049,intr,soft,lock,_netdev 0 0</pre>
 или (NFS3)
 <pre>server:/myshare  /mnt/myshare   nfs   intr,soft,lock,_netdev</pre>
@@ Строка 125: / Строка 125: @@
 intr — позволяет прервать процесс при необходимости
 soft — предотвращает от зависания в случае недоступности удалённой машины.
+Кроме того, стоит убедиться, что сервис netfs запускается при старте системы.
 Прежде чем изменять /etc/fstab, попробуйте смонтировать вручную и убедитесь, что всё работает.