nfs服务器安全 nfs安全配置

NFS 深入配置

1.1 NFS配置参数权限

按需定制制作可以根据自己的需求进行定制,成都做网站、网站建设构思过程中功能建设理应排到主要部位公司成都做网站、网站建设的运用实际效果公司网站制作网站建立与制做的实际意义

参数名称

参数用途

rw

read-write,表示可读写权限

ro

read-only,表示只读权限

sync

请求或写入数据时,数据同步写入到硬盘才完成

async

异步写到远程缓冲区

all_squash

不管客户端什么用户,到服务端都会被压缩成匿名用户

anonuid

匿名用户的UID

anongid

匿名用户的GID

在配置文件内设置共享目录时所给予的权限:

[root@nfs01 ~]$ cat /etc/exports

/data 172.16.1.0/24(rw,sync) 10.0.0.0/24(ro)

配置好NFS服务后,/var/lib/nfs/etab文件中可以看到的配置参数以及默认自带的参数:

[root@nfs01 ~]$ cat /var/lib/nfs/etab

/data

172.16.1.0/24(rw,sync,wdelay,hide,nocrossmnt,secure,root_squash,

no_all_squash,no_subtree_check,secure_locks,acl,no_pnfs,anonuid=65534,

anongid=65534,sec=sys,rw,secure,root_squash,no_all_squash

1.1.1 更改NFS默认用户

1.1.1.1 nfs01服务端NFS、以及所有客户端:

[root@nfs01 ~] id www

uid=1111(www) gid=1111(www) 组=1111(www)

1.1.1.2 服务端NFS特殊配置

配置文件增加如下内容:

[root@nfs01 ~]$ tail -2 /etc/exports

/data 172.16.1.0/24(rw,sync,all_squash,anonuid=1111,anongid=1111)

/data1 10.0.0.0/24(ro)

共享目录更改用户和用户组:

[root@nfs01 ~] ls -ld /data

drwxr-xr-x 2 www www 70 4月 18 10:05 /data

1.1.1.3 服务端NFS重启

[root@nfs01 ~]$ systemctl reload nfs

1.1.1.4 每个客户端挂载

[root@web01 ~] df -h

文件系统 容量 已用 可用 已用% 挂载点

172.16.1.31:/data 19G 1.8G 18G 10% /data

新创建文件验证用户名:

[root@web01 /data]# touch new_web01.txt

[root@web01 /data]# ls -l

总用量 0

-rw-r--r-- 1 www www 0 4月 18 11:01 new_web01.txt

-rw-r--r-- 1 www www 0 4月 17 11:59 oldboy.txt

-rw-r--r-- 1 www www 0 4月 17 12:30 oldgirl.txt

1.2 NFS服务重点知识梳理

  当多个NFS客户端访问服务器端读写文件时,需要具有以下几个权限:

NFS服务器/etc/exports设置需要开放许可写入的权限,即服务器端的共享权限

NFS服务器实际要共享的NFS目录权限具有可写入w的权限,即服务器端本地目录的安全权限

每台机器都对应存在和NFS默认配置UID的相同UID的用户

下表列出了常用的重点NFS服务文件或命令。

NFS常用路径

说明

/etc/exports

NFS服务主配置文件,配置NFS具体共享服务的地点,默认内容为空

/var/lib/nfs/etab

NFS配置文件的完整参数设定的文件

/proc/mounts

客户端的挂载参数

1.3 NFS客户端挂载深入

1.3.1 mount -o 参数选项及系统默认设置

参数

参数意义

系统默认值

suid/nosuid

当挂载的文件系统上有任何SUID的程序时,只要使用nosuid就能够取消设置SUID的功能

suid

rw/ro

可以指定文件系统是只读(ro)或可读写(rw)

rw

dev/nodev

是否可以保留装置文件的特殊功能

dev

exec/noexec

是否具有执行文件的权限

exec

user/nouser

是否允许用户拥有文件的挂载与卸载功能

nouser

auto/noauto

auto指的是“mount -a”时会不会被挂载的项目,如果不需要这个分区随时被挂载,可以设置为noauto

auto

1.3.2 mount -o 参数详细说明

参数选项

说明

async

涉及文件系统I/O的操作都是异步处理,即不会同步写到磁盘,能提高性能,但会降低数据安全。

sync

有I/O操作时,都会同步处理I/O,会降低性能,但数据比较安全。

atime

在每一次数据访问时,会更新访问文件的时间戳,是默认选项,在高并发的情况下,可以通过添加noatime来取消默认项。

ro

以只读的方式挂载一个文件系统

rw

以可读写的方式挂载一个文件系统

auto

能够被自动挂载通过-a选项

noauto

不会自动挂载文件系统

defaults

这是fstab里的默认值,包括rw、suid、dev、exec、auto、nouser、async

exec

允许文件系统执行二进制文件,取消这个参数,可以提升系统安全性。

noexec

在挂载的文件系统中不允许执行任何二进制程序,进仅对二进制程序有效。

noatime

访问文件时不更新文件的时间戳,高并发情况下,一般使用该参数

nodiratime

不更新文件系统上的directory inode时间戳,高并发环境,推荐显式应用该选项,可以提高系统I/O性能。

nosuid

不允许set-user-identifier or set-group-identifier位生效。

suid

允许set-user-identifier or set-group-identifier位生效。

nouser

禁止一个普通用户挂载该文件系统,这是默认挂载时的默认选项。

remount

尝试重新挂载一个已经挂载了的文件系统,这通常被用来改变一个文件系统的挂载标志,从而使得一个只读文件系统变的可写,这个动作不会改变设备或者挂载点。当系统故障时进人single或rescue模式修复系统时,会发现根文件系统经常会变成只读文件系统,不允许修改,此时该命令就派上用场了。具体命令为:mount -o remount,rw /,表示将根文件系统重新挂载使得可写。single或rescue模式修复系统时这个命令十分重要。

dirsync

目录更新时同步写人磁盘。

1.3.3 企业生产场景NFS共享存储优化

硬件:使用ssd/sas磁盘,可以买多块,制作成raid10。

NFS服务器端配置:

/data 10.0.0.0/24(rw,sync,all_squash,anonuid=65534,anongid=65534)

NFS客户端挂载优化配置命令:

mount -t nfs -o nosuid,noexec,nodev,noatime,nodiratime,rsize=131072,

wsize=131072 172.16.1.31:/data /mnt ===兼顾安全性能

对NFS服务的所有服务器内核进行优化,执行命令如下:

cat /etc/sysctl.conf EOF

net.core.wmen_default = 8388608

net.core.rmen_default = 8388608

net.core.wmen_max = 16777216

net.core.rmen_max = 16777216

EOF

执行sysctl -p 生效

大型网站NFS网络文件系统的替代软件为分布式文件系统,如:Moosefs(mfs)、GlusterFS、FastDFS。

1.4 NFS系统应用的优缺点

1.4.1 优点

简单,容易上手,容易掌握。

NFS文件系统内数据是在文件系统之上的,即数据是能看得见的。

部署快速维护简单方便,且可控,满足需求就是最好的。

可靠,从软件层面上看,数据可靠性高,经久耐用。

服务非常稳定。

1.4.2 缺点(局限)

存在单点故障,如果NFS服务端宕机了,所有客户端都不能访问共享目录。

在大数据高并发的场合,NFS效率、性能有限。

客户端认证是基于IP和主机名的,权限要根据ID识别,安全性一般。

NFS数据是明文的,NFS本身不对数据完整性进行验证。

多台客户机挂载一个NFS服务器时,连接管理维护麻烦。

1.4.3 解决性能问题的方法

使用CDN加速以及自己搭建文件缓存服务(squid、nginx、varnish)。

把多个目录分配到不同的NFS服务器上。

弃用NFS(即读写分离)。

使用分布式文件系统。

linux配置nfs步骤

NFS的配置过程很简单。在服务器端中编辑 /etc/exports 文件,添加如下内容: /home/nfs-share 192.168.1.122 (rw,sync)

第一项是要共享的目录,后者为共享的配置参数一般为: (rw,sync,no_root_squash,no_all_squash,no_subtree_check)

然后开启NFS和portmap服务:

/etc/init.d/nfs start //用service nfs start也可以 /etc/init.d/portmap start //用service portmap stasrt也可以

在centos6.5中portmap已经改为rpcbind 在客户端,用mount –t nfs 192.168.123:/home/nfs-share /home/remote_file挂载服务器端的共享目录到本地的/home/remote-file挂载点,然后我们就可以在客户端上应用到远程主机上的/home/nfs-share目录了。想要系统在开机时自动挂载,修改/etc/fstab文件,把NFS服务器的共享目录添加进去就可以了,这个不用多说。

如何知道远程主机上的共享目录情况呢?使用showmount命令,这个命令需要root权限。它有三个选项(记住这三个选项代表的含义: showmount –a IP 显示指定NFS服务器的客户端以及服务器端在客户端的挂载点 showmount –d IP 显示指定NFS服务器在客户端的挂载点 showmount –e IP 显示指定NFS服务器上的共享目录列表(或者叫输出列表) 我们输入命令showmount –a 192.168.1.123:

图片客户端中出现的mount clntudp_create: RPC: Program not registered错误是怎么回事?噢,我刚才重启了一下服务器端,重启后NFS服务没有开启。 我们开启服务器端的NFS服务,再从客户端上查看一下NFS服务器的情况:

Showmount –a显示出NFS服务器192.168.1.123的共享目录被客户端192.168.122挂载到/home中;

在showmount -e IP,出现clnt_create: RPC: Port mapper failure - Timed out报错

解决方案:

被访问的NFS服务器上的防火墙没有添加规则,向iptables里面添加以下查看的所有端口即可(目前解决的方法,当然你也可以关闭防火墙,不过这样是比较不安全的,如果你的nfs作用不大,建议你另选别的应用来替代吧!毕竟开那么多的端口,比较不安全呀!)

通过#rpcinfo -p 10.10.209.148

[root@rh01 /]# rpcinfo -p 10.10.209.148program vers proto port service100000 4 tcp 111 portmapper100000 3 tcp 111 portmapper100000 2 tcp 111 portmapper100000 4 udp 111 portmapper100000 3 udp 111 portmapper100000 2 udp 111 portmapper100024 1 udp 52943 status100024 1 tcp 37706 status100011 1 udp 875 rquotad100011 2 udp 875 rquotad100011 1 tcp 875 rquotad100011 2 tcp 875 rquotad100003 2 tcp 2049 nfs100003 3 tcp 2049 nfs100003 4 tcp 2049 nfs100227 2 tcp 2049 nfs_acl100227 3 tcp 2049 nfs_acl100003 2 udp 2049 nfs100003 3 udp 2049 nfs100003 4 udp 2049 nfs100227 2 udp 2049 nfs_acl100227 3 udp 2049 nfs_acl100021 1 udp 37438 nlockmgr100021 3 udp 37438 nlockmgr100021 4 udp 37438 nlockmgr100021 1 tcp 46331 nlockmgr100021 3 tcp 46331 nlockmgr100021 4 tcp 46331 nlockmgr100005 1 udp 57177 mountd100005 1 tcp 43147 mountd100005 2 udp 49154 mountd100005 2 tcp 54810 mountd100005 3 udp 55707 mountd100005 3 tcp 58309 mountd

[root@rh01 /]#

刚才在重启NFS服务的时候,细心的话可以注意到,我们在输入命令/etc/init.d/nfs start开启nfs服务时,系统还自作主张地开启了NFS quotas等其它3个服务。

怎么回事?我们只输入了一条启动NFS服务的命令,它怎么额外的启动了3个服务?后面的启动portmap服务又是怎么回事? 我们首先要了解一点:NFS文件系统要提供服务单靠本身的NFS服务是不够的,还需要调用其它服务,这个其它服务就是RPC(remote procedure call,远程过程调用)服务和portmap服务。由于NFS服务本身不提供文件传输功能,我们要远程使用NFS文件系统就需要RPC服务的支持;而portmap服务用来为RPC服务进行动态端口分配和映射,所以portmap服务也是NFS服务所必须的。

我们查看一下服务的启动情况:

所遇错误:

/etc/init.d/nfs-kernel-server: 没有那个文件或目录

解决方案:

没有配置、安装NFS

Linux 下配置NFS服务

1、安装

2、配置

3、客户端

所遇问题:centos6.5

portmap: 未被识别的服务

解决方案:

由于在6系列里面,portmap已经改名了 ,6系列需要使用 service rpcbind start启动[root@unix-big-bang ~]# service portmap start

portmap: 未被识别的服务

[root@unix-big-bang ~]# service rpcbind status

rpcbind (pid 1312) is running...

[root@unix-big-bang ~]#

好文共赏:

linux nfs文件共享

◆一、概念

NFS是网络文件系统(Network File System)的简称,是分布式计算机系统的一个组成部分,可实现在异构网络上共享和装配远程文件系统。

NFS由SUN公司开发,目前已成为文件服务的一种标准(RFC1904,RFC1813)。其最大的功能就是可以通过网络,让不同 操作系统 的计算机可以共享数据,所以也可以看作是一个文件服务器。NFS是除了SAMBA之外Windows与Linux及Unix与Linux之间通信的方法。

理想条件下的NFS 网络拓扑结构

1、设置Linux系统之间的文件共享(Linux与Windows中间文件共享采用SAMBA服务);

2、NFS只是一种文件系统,本身没有传输功能,是基于RPC协议实现的,才能达到两个Linux系统之间的文件目录共享;

3、NFS为C/S 架构 ;

◆二、服务器配置

1、配置文件

主要配置文件为:/etc/exports

格式为: 共享目录 可mount主机IP(参数1,参数2,……)

如:/var/nfs 172.20. . (rw,sync,no_rootl_squash)

说明:必须注意nfs/目录的访问权限,必须设置成777权限;父目录/var权限无要求,普通的755即可;

2、启动相关服务

然后依次启动相关服务:portmap,nfslock,nfs

service portmap start

service nfslock start

service nfs start

关闭顺序相反。

3、检查共享目录

随后可以采用showmount –e查看一下,看看共享的目录情况:

[root@ns var]# showmount -e

Export list for ns.osserver:

/var/nfs 172.20. .

OK,到此为止,NFS服务器搭建完毕;

◆三、客户端配置

1、确保portmap运行

客户端必须确保RPC协议相应的portmap正常运行,否则mount将失败;

2、挂载/var/nfs目录(本地挂载点为/mnt/nfs)

mount -t nfs 172.20.65.16:/var/nfs /mnt/nfs

成功mount以后,即可同本地目录一样随意操作;

◆四、其它相关命令

1、当修改了/etc/exports文件后,可以不用重新启动nfs服务,直接采用exports –rv 即可重新导出共享目录;

该命令格式如下:

exportfs [-aruv]

-a :全部mount或者unmount /etc/exports中的内容

-r :重新mount /etc/exports中分享出来的目录

-u :umount 目录

-v :在 export 的时候,将详细的信息输出到屏幕上。

具体例子:

[root@ns var]# showmount -e

Export list for ns.osserver:

/var/nfs 172.20. .

[root@ns var]# exportfs –au #全部卸载

[root@ns var]# showmount -e

Export list for ns.osserver:

[root@ns var]# exportfs –rv #全部重新 export 一次

exporting 172.20. . :/var/nfs

[root@ns var]#

2、showmout命令对于NFS的操作和查错有很大的帮助,所以我们先来看一下showmount的用法

showmout

-a :这个参数是一般在NFS SERVER上使用,是用来显示已经mount上本机nfs目录的cline机器。

-e :显示指定的NFS SERVER上export出来的目录。

例如:

[root@localhost ~]# showmount -e 172.20.16.139

Export list for 172.20.16.139 :/root/share 172.20.16.137

[root@ns var]# showmount -a

All mount points on localhost.localdomain: :/root/share,172.20. . :/root/share,172.20.16. :/root/share,172.20.16.139:/nfsshare,172.20.16.139:/root/share172.20.16.137: 172.20.16.137:,172.20. . 172.20.16.137:,172.20.16. 172.20.16.137:/root/share172.20.16.139: 172.20.16.139:,172.20. . 172.20.16.139:,172.20.16. 172.20.16.139:,172.20.16.139172.20.16.139:DEFAULT

◆五、常见问题解答

1、提示:mount to NFS server '172.20.67.203' failed: server is down.

解决方案:可能是NFS服务器的防火墙有问题;

2、提示:mount: RPC: Timed out

解决方案:由于RPC协议没运行;启动portmap服务;

也有可能是防火墙问题;Server/Client均有可能。

NFS服务有什么优缺点呢?linux应用基础入门

NFS服务可以让不同的客户端挂载使用一个共享目录,在集群架构环境中经常会用到。那么在Linux运维工作中,NFS服务有什么优缺点呢?

优点有什么呢?

1)简单、容易上手和掌握

2)NFS文件系统内数据可见的

3)部署快速,维护简单方便且可控满足需求就是最好的

4)可靠,数据性高、经久耐用

5)服务稳定

局限又是什么?

1)存在单点故障,如果NFS Server宕机了,所有客户端就不能访问共享目录了

2)在大数据高并发的情况下,NFS效率、性能是有限的

3)客户端认证是基于IP和主机名的,权限要根据ID识别,安全性一般(用于内网则问题不大)

4)NFS数据是明文的,NFS本身不对局完整性做验证

5)多台客户机器挂载一个NFS服务器时,连接管理维护麻烦。NFS服务端出问题后,所有NFS客户端都处于挂掉状态

以上便是“NFS服务有什么优缺点?”的相关介绍。


网页标题:nfs服务器安全 nfs安全配置
浏览地址:http://scyanting.com/article/dojodcp.html