NFS

Материал из ALT Linux Wiki

Важной особенностью NFS является то, что она рассчитана на использование внутри безопасной сети, рабочим станциям в которой можно доверять, поскольку авторизация доступа к файлам, смонтированным на NFS осуществляется на основании идентификатора пользователя, а подлинность пользователя каждая машина в сети проверяет самостоятельно. Вытекающим отсюда требованием является то, что пользователь должен быть зарегистрирован и на клиенте и на сервере NFS и иметь там одно и то же входное имя (login) и идентификатор. Это достигается использованием централизованной аутентификации (например, с помощью PAM и сервера аутентификации или NIS).

Для запуска NFS требуется, чтобы в системе были установлены следующие пакеты:

  • nfs-server или unfs3 (в OpenVZ VE ядерный NFS-сервер не работает)
  • rpcbind (с шестой платформы; ранее нужен был portmap)
  • nfs-clients (содержит в себе nfslock)

В некоторых системах вместо nfs-server и nfs-clients имеется пакет nfs-utils.

Сервер NFS

Настройка сервера NFS

Синтаксис /etc/exports

Все настройки NFS-сервера хранятся в файле /etc/exports.

Файл /etc/exports определяет, какие файловые системы экспортируются на удаленные узлы, и определяет параметры. Для этого файла действуют следующие синтаксические правила:

  • пустые строки игнорируются;
  • комментарии начинаются с символа решётки (#);
  • для продолжения записи на новой строке можно использовать символ обратной косой черты (\);
  • каждая экспортируемая ФС должна находиться на отдельной строке;
  • списки авторизованных узлов, размещаемые после экспортированной файловой системы, должны быть разделены пробелами;
  • параметры для каждого из узлов должны быть помещены в скобки непосредственно после идентификатора узла, без пробелов, разделяющих узел и первую скобку;
  • если название экспортируемого каталога содержит пробелы, его следует заключить в двойные кавычки.

Каждая запись экспортированной файловой системы имеет следующую структуру: 

export host(options)

Где:

  • export — путь к экспортируемому каталогу;
  • host — узел или сеть, в которую передается экспорт;
  • options — параметры, которые будут использоваться для узла.

Можно указать несколько узлов, а также конкретные параметры для каждого узла. Для этого следует перечислить их в одной строке в виде списка, разделённого пробелами, где за каждым именем узла следуют соответствующие параметры (в скобках), например: 

/mysharedir 192.168.0.100/24(no_subtree_check,rw)  192.168.10.0/24(no_subtree_check,ro)

Некоторые опции:

  • rw/ro — установка разрешения доступа к ресурсу (чтение запись/только чтение);
  • no_subtree_check/subtree_check — если экспортируется подкаталог файловой системы, но не вся файловая система, то с опцией subtree_check сервер, проверяет, находится ли запрошенный файл в экспортированном подкаталоге. Если экспортируется вся файловая система, запрет проверки подкаталогов (no_subtree_check) может увеличить скорость передачи;
  • sync/async — синхронный/асинхронный режим доступа. Опция sync указывает, что сервер должен отвечать на запросы только после записи на диск изменений, выполненных этими запросами. Опция async указывает серверу не ждать записи информации на диск, что повышает производительность, но понижает надежность;
  • wdelay/no_wdelay — установка задержки записи на диск (установка задержки/отключение задержки, этот параметр не действует при включенной опции async);
  • hide/nohide — не отображать/отображать нелокальные ресурсы (например, примонтированые с помощью mount –bind);
  • all_squash/no_all_squash — подмена запросов от ВСЕХ пользователей на анонимного uid/gid (либо на пользователя, заданного в параметре anonuid/anongid)/запрет подмены uid/gid;
  • anonuid=UID и anongid=GID — (явная) установка UID/GID для анонимного пользователя (может быть полезно, если какой либо каталог экспортируется для конкретного пользователя, заведенного в системе).
Примечание: Единственный параметр, который следует обязательно указать — это no_subtree_check или subtree_check.


Подробнее об опциях см. man exports.

Для применения изменений, внесённых в файл /etc/exports необходимо выполнить команду: 

# exportfs -ra

или перезапустить NFS-сервер: 

# systemctl restart nfs

Синтаксис для экспорта через NFS 3

По соображениям безопасности не рекомендуется экспортировать каталоги по протоколу NFS 3. Рекомендуется использовать NFS 4. 

/mysharedir ipaddr1(rw)  ipaddr2(ro)

Например: 

/mysharedir 192.168.0.1/24(rw)

В скобках указываются дополнительные параметры:

  • rw — разрешены чтение и запись;
  • ro — разрешено только чтение;
  • no_root_squash — отключение ограничения прав root;

По умолчанию пользователь root имеет на смонтированных ресурсах права пользователя nobody.

Можно указывать разрешение экспорта сразу для подсети. Например разрешение для машин из подсети 192.168.0.X строка будет выглядеть так: 

/mysharedir 192.168.0.1/24(rw)

Подробную информацию о формате файла можно посмотреть командой man exports

Синтаксис для экспорта через NFS 4

экспортируемые по NFS 4 каталоги имеют тот же синтаксис, что и через NFS3, за исключением того, что все они должны быть в одном подкаталоге (chroot для безопасности). Пусть это каталог /exports. Тогда необходимо подмонтировать остальные экспортированные каталоги внутрь /exports с помощью mount --bind (mount --bind /mysharedir /exports/mysharedir), прописать в fstab: 

/mysharedir     /exports/mysharedir   none    bind  0  0

и прописать в /etc/exports: отличие от NFS3 в том, что нужно будет добавить nohide к mysharedir и явно объявить корневой каталог экспорта с fsid=0. 

/exports        192.168.0.1/24(fsid=0,ro,insecure,all_squash)
/exports/mysharedir    192.168.0.1/24(nohide,ro,insecure,all_squash)

Настройка nfs на устаревших системах, до p8

Настройка portmap (для p5 и ранее, устарело с p6)

Для работы nfs необходим сервис portmap. По умолчанию, сервис portmap запущен только на loopback (lo) интерфейсе в целях безопасности. Этого достаточно для раздачи сетевых ресурсов через nfs4.

Однако при этом не будет работать монтирование каталогов по nfs3. Если это действительно нужно, то нехотя комментируем в файле /etc/sysconfig/portmap строку PORTMAP_ARGS="-l", прописываем в /etc/hosts.allow сеть, в которую раздаем: 

portmap mountd nfsd statd lockd rquotad : 192.168.ххх.0/255.255.255.0

и в /etc/hosts.deny: 

portmap mountd nfsd statd lockd rquotad : ALL

после этого еще раз вдумчиво читаем http://tldp.org/HOWTO/NFS-HOWTO/security.html. и глубоко размышляем над глубокой небезопасностью запуска portmap без PORTMAP_ARGS="-l" и использования nfs3.

Настройка rpcbind для шестой платформы

Начиная с шестой платформы portmap заменен на rpcbind. Настраивается аналогично portmap. Конфигурационный файл /etc/sysconfig/rpcbind, для использования nfs 3, нужно закомментировать в этом файле строчку CONTROL_ARGS="-l"; это можно сделать не вручную, а просто выполнив команду: 

# control rpcbind server

Настройка kerberos

См. NFS_сервер_с_Kerberos_авторизацией

Запуск NFS-сервера

Запуск NFS под systemd

Запустить NFS-сервер и включить его по умолчанию: 

# systemctl enable --now nfs.service
# systemctl status nfs.service

Если все команды прошли успешно и не выдавали ошибок, то сервер можно считать работающим. Дополнительно можно запустить команду exportfs, которая выведет текущие настройки на данный момент. В случае нормальной работы она должна вывести на экран записи из файла /etc/exports: 

# exportfs
/home         	192.168.0.0/24
/exports      	192.168.0.0/2

Запуск NFS на устаревших системах до p8

  1. После настройки файла необходимо запустить:
    • сервис rpcbind для p6: 
      # service rpcbind start
    • сервис portmap для p5: 
      # service portmap start
  2. Запустить непосредственно NFS-сервер: 
    # service nfs start
  3. Запустить сервис блокировок: 
    # service nfslock start

Если все команды прошли успешно и не выдавали ошибок, то сервер можно считать работающим. Дополнительно можно запустить команду exportfs, которая выведет текущие настройки на данный момент. В случае нормальной работы она должна вывести на экран записи из файла /etc/exports

Для запуска сервисов при старте системы: 

# chkconfig rpcbind on (chkconfig portmap on)
# chkconfig nfs on
# chkconfig nfslock on

Проблемы с запуском nfs на p8

Симптомы: 

# systemctl start nfs.service   
 Job for nfs-server.service failed because the control process exited with error code.
 See "systemctl status nfs-server.service" and "journalctl -xe" for details.

# systemctl status nfs-server.service
 ● nfs-server.service - NFS server and services
   Active: failed (Result: exit-code) since Сб 2016-11-12 14:10:48 EET; 3s ago
  Process: 4812 ExecStart=/usr/sbin/rpc.nfsd $NFSD_OPTIONS $NFSDCOUNT (code=exited, status=1/FAILURE)
  Process: 4810 ExecStartPre=/usr/sbin/exportfs -r (code=exited, status=0/SUCCESS)
  Main PID: 4812 (code=exited, status=1/FAILURE)
 ноя 12 14:10:48 birthday.localdomain systemd[1]: Starting NFS server and services...
 ноя 12 14:10:48 birthday.localdomain rpc.nfsd[4812]: rpc.nfsd: unable to set any sockets for nfsd
 ноя 12 14:10:48 birthday.localdomain systemd[1]: nfs-server.service: Main process exited, status=1/FAILURE
 ноя 12 14:10:48 birthday.localdomain systemd[1]: Failed to start NFS server and services.
 ноя 12 14:10:48 birthday.localdomain systemd[1]: nfs-server.service: Unit entered failed state.

отлаживаем rpc.nfsd (опция -d): 

# rpc.nfsd -d 8
 rpc.nfsd: knfsd is currently down
 rpc.nfsd: Writing version string to kernel: -2 +3 +4 
 rpc.nfsd: Created AF_INET TCP socket.
 rpc.nfsd: Created AF_INET UDP socket.
 rpc.nfsd: Created AF_INET6 TCP socket.
 rpc.nfsd: writing fd to kernel failed: errno 97 (Address family not supported by protocol)
 rpc.nfsd: unable to set any sockets for nfsd

Оказывается, включен ipv6 и включен протокол v.3 (см. version string to kernel: -2 +3 +4) который не получается повесить на ipv6 адрес.

  • Решение 1 (если nfs3 не нужен): выключить v.3 (опция -N3) в $NFSD_OPTIONS: прописываем в /etc/sysconfig/nfs
NFSD_OPTIONS=-N3

после чего nfs нормально запускается.

  • Решение 2 (если нужен nfs3, не тестировал):

в /etc/netconfig закомментировать: 

#udp6       tpi_clts      v     inet6    udp     -       -
#tcp6       tpi_cots_ord  v     inet6    tcp     -       -

см. How to disable ipv6 in Debian

Использование NFS

Подключение к NFS-серверу можно производить вручную, а можно настроить автоматическое подключение при загрузке.

Монтирование NFS-ресурса

Команда монтирования: 

# mount -t nfs -o <опции> <сервер>:/remote/export /local/directory

Где:

  • <опции> — разделённый запятыми список опций;
  • <сервер> — IP-адрес или имя NFS-сервера;

/remote/export — каталог, экспортируемый с сервера (каталог, который будет примонтирован); /local/directory — локальный каталог (каталог, в который будет примонтирован каталог, экспортируемый с сервера).

Список доступных ресурсов можно проверить, выполнив команду: 

# showmount -e 192.168.0.199
Export list for 192.168.0.199:
/exports 192.168.0.0/26
/home    192.168.0.0/24
Примечание: При запуске данной команды можно получить ошибку: 
# showmount -e 192.168.0.199
clnt_create: RPC: Unable to receive

Это может происходить потому что по умолчанию rpcbind слушает только локальные запросы: 

# ss  -tnlup | grep rpcbind
udp   UNCONN 0      0          127.0.0.1:111        0.0.0.0:*    users:(("rpcbind",pid=4248,fd=6))      
udp   UNCONN 0      0              [::1]:111           [::]:*    users:(("rpcbind",pid=4248,fd=8))      
tcp   LISTEN 0      4096       127.0.0.1:111        0.0.0.0:*    users:(("rpcbind",pid=4248,fd=7))      
tcp   LISTEN 0      4096           [::1]:111           [::]:*    users:(("rpcbind",pid=4248,fd=9))

Разрешить rpcbind прослушивать входящие соединения из сети: 

# control rpcbind server
# systemctl restart rpcbind.service

# ss  -tnlup | grep rpcbind
udp   UNCONN 0      0            0.0.0.0:111        0.0.0.0:*    users:(("rpcbind",pid=4130,fd=6))      
udp   UNCONN 0      0               [::]:111           [::]:*    users:(("rpcbind",pid=4130,fd=8))      
tcp   LISTEN 0      4096         0.0.0.0:111        0.0.0.0:*    users:(("rpcbind",pid=4130,fd=7))      
tcp   LISTEN 0      4096            [::]:111           [::]:*    users:(("rpcbind",pid=4130,fd=9))


Пример команды монтирования (каталог /mnt/nf должен существовать: 

# mount -t nfs -o nfsvers=4  192.168.0.199:/home /mnt/nfs

Для проверки успешности монтирования можно использовать команду: 

#
mount | grep nfs
...
192.168.0.199:/home on /mnt/nfs type nfs4 (rw,relatime,vers=4.2,rsize=262144,wsize=262144,namlen=255,hard,proto=tcp,timeo=600,retrans=2,sec=sys,clientaddr=192.168.0.177,local_lock=none,addr=192.168.0.199)

Команда выдаст строку (строки) с информацией о примонтированном ресурсе (ресурсах).

Монтирование с записью в fstab

Для автоматического монтирования к NFS-серверу при загрузке необходимо добавить следующую строку в файл /etc/fstab: 

192.168.0.199:/home  /mnt/nfs   nfs   intr,soft,nolock,_netdev,x-systemd.automount    0 0

где:

  • intr — позволяет прервать процесс при необходимости;
  • soft — предотвращает от зависания в случае недоступности удалённой машины.

Кроме того, стоит убедиться, что сервис netfs запускается при старте системы.

Прежде чем изменять /etc/fstab, попробуйте смонтировать вручную и убедитесь, что всё работает.

Автомонтирование

Осуществляется при помощи automount, autofs или subfs.

autofs

Данный способ монтирования позволяет автоматически монтировать папку после обращения к ней в ФМ (к примеру, через закладки) или в терминале и автоматически отмонтировать при отсутствии активности. Для реализации данного способа необходимо:

  1. Установить пакет autofs (если он ещё не установлен): 
    # apt-get install autofs
  2. Для настройки autofs в файл /etc/auto.master необходимо добавить строку: 
    /mnt/nfs /etc/auto.nfs -t 60 -browse
    Здесь /mnt/nfs — каталог, в котором будут подключаться сетевые файловые системы; /etc/auto.smb — файл конфигурации или скрипт (определяется правами на исполнение указанного файла); 60 — таймаут (в секундах) подключения при отсутствии обращения; browse — создать пустой каталог для точки монтирования, чтобы предотвратить тайм-ауты, если к сетевому ресурсу невозможно подключиться.
  3. Создать каталог /mnt/nfs: 
    # mkdir /mnt/nfs
  4. Создать файл /etc/auto.nfs, в который добавить строку: 
    public1  -fstype=nfs,rw 192.168.0.199:/home/
    где:
    • -rw,soft,intr,rsize=8192,wsize=8192 – параметры монтирования;
    • public1 – каталог, который будет создаваться в каталоге /mnt/nfs при монтировании;
    • 192.168.0.199:/home/– IP-адрес и общая папка сервера.
Примечание: Подключаемый ресурс должен присутствовать в выводе команды: 
# showmount -e 192.168.0.199
Export list for 192.168.0.199:
/exports 192.168.0.0/24
/home    192.168.0.0/24


autofs + avahi

Использование avahi. Установите пакет avahi-service-nfs или вручную создайте на сервере файл /etc/avahi/services/nfs.service, используется nfs4: 

<?xml version="1.0" standalone='no'?>
<!DOCTYPE service-group SYSTEM "avahi-service.dtd">
<service-group>
<name replace-wildcards="yes">%h</name>
<service>
       <type>_nfs._tcp</type>
       <port>2049</port>
</service>
</service-group>

и запустите на сервере nfs сервис avahi-daemon. Проверьте с машин-клиентов, что сервер nfs виден с этих машин с помощью команды 

avahi-browse -tkrp _nfs._tcp

Установите на машины-клиенты autofs. С настройками по умолчанию, ресурсы nfs будут монтироваться как /mnt/net/servername/netshare.

Для домашней локальной сети, когда nfs раздается не с сервера, а с другой рабочей станции, которую могут выключить в любой момент, рекомендуется прописывать у клиентов в /etc/sysconfig/autofs timeout поменьше (например, 5 сек): 

OPTIONS="-t5"

autofs + avahi, проблемы на p8 и p9

при включенном ipv6 команда avahi-browse -tkrp _nfs._tcp кроме IPv4 _nfs сервиса 

=;eth0;IPv4;hostname;_nfs._tcp;local;hostname.local;192.168.1.xxx;2049;

выдаст и IPv6 _nfs сервис 

=;eth0;IPv6;hostname;_nfs._tcp;local;hostname.local;fe80::xxxx:xxxx:xxxx:xxxx;2049;

который не поддерживается autofs-5.1.5-alt1 из p9, что приведет к неработоспособности автомонтирования NFS. До исправления autofs можно отключить ipv6 

sysctl -o net.ipv6.conf.all.disable_ipv6=1
sudo service nfs restart

проверяем и если заработало, то вносим изменения на постоянной основе либо собрать в бранчи autofs с поддержкой ipv6. Патчи для старых версий см. RH#711844.

systemd

Есть возможность использовать systemd, чтобы выполнять авто-монтирование конкретного ресурса при загрузке. Этот вариант имеет одно преимущество по сравнению с монтированием через fstab: если NFS-сервер по какой-либо причине будет недоступен, то клиент всё равно загрузится без ошибок.

1. Создаём на клиенте файл /lib/systemd/system/nfs-shared.service следующего содержания: 

[Unit]
Description=Mount NFS share
Requires=network-online.target
After=network-online.target


[Service]
Type=oneshot
RemainAfterExit=true
ExecStart=/bin/mount 192.168.1.1:/home/data /mnt/shared -o fsc,hard
ExecStop=/bin/umount /mnt/shared
TimeoutStopSec=5


[Install]
WantedBy=multi-user.target

Не забываем создать каталог, в которую будет смонтирован NFS-ресурс: 

# mkdir -p /mnt/shared

После этого включаем сервис в автозагрузку и запускаем его: 

# systemctl enable --now nfs-shared

Проверяем, смонтировался ли ресурс: 

$ ls /mnt/shared

Последняя команда должна выдать содержимое NFS-ресурса.

subfs (для p5 и ранее, устарело)

Рецепт mike@ для subfs (фрагмент /etc/fstab), NFS4 

server:/var/ftp/pub /pub subfs fs=nfs4,program=/sbin/net-submountd,interval=5,proto=tcp,port=2049,soft,_netdev 0 0

или NFS3 

server:/var/ftp/pub /pub subfs fs=nfs,program=/sbin/net-submountd,interval=5,soft,_netdev 0 0

Ссылки

Файловые системы