NFS简单配置

应用环境

OS:Linux AS4

NFS Sever:192.168.3.96 hostname rac01

NFS Client: 192.168.3.97 hostname rac02

检查系统是否安装了包nfs-utils及portmap，其中 protmap软件包中的portmap服务，为NFS和NIS等提供RPC服务的支持，因此在安装时应先安装portmap软件包。nfs-utils软件包中提供了NFS服务器程序和相应的维护工具。

[root@rac01 ~]# rpm -q nfs-utils portmap

nfs-utils-1.0.6-70.EL4

portmap-4.0-63

NFS服务器的配置文件—exports文件在目录“/etc”下，用于配置NFS服务器所提供的目录共享。此文件默认设置为空，没有配置的输出的任何的目录共享，这也是出于安全性的考虑，这样即使系统启动NFS服务也不会提供任何的共享。如果需要在NFS服务器中输出某个目录的共享，需要先在exports文件中进行相应的设置。

exports文件的格式

exports文件中每行提供一个共享目录的设置，设置行的格式如下所示：

#要输出的共享目录名 客户端主机地址(设置选择)

/home/share  *(sync,ro)

在exports文件的设置行中，共享目录和主机地址间用空格分隔，主机地址之后紧随设置选项，设置选项放置在括号中，多个设置选项间用逗号分隔。

1) 共享目录

 共享目录设置系统中需要输出作为共享的目录路径，该目录用于存放网络中其它主机共享的文件。

2) 客户端主机地址

 在exports文件中，客户端主机地址的指定非常灵活，可以是单个主机的IP地址或域名也只可以是指定网段中的主机或指定域中的主机，如下：

主机地址格式

客户端主机地址  说明

192.168.3.97  指定IP地址的主机

Nfstest.com 指定域名的主机

192.168.3.0/24  指定网段中的所有主机

*.test.com  指定域中的所有主机

*   所有主机

3) 设置选项

exports文件中的设置选项较多，经常使用的不多，如下：

设置选项 说明

sync  设置NFS服务器同步写磁盘，这样不会轻易丢失数据，NFS服务器建议使用该选项

ro  设置输出的共享目录只读，与rw不能同时使用

rw  设置输入的共享目录可读写，与ro不能同时使用

secure  NFS通过1024以下的安全TCP/IP端口发送

insecure NFS通过1024以上的端口发送

wdelay  如果多个用户要写入NFS目录，则归组写入(默认) 

no_wdelay 如果多个用户要写入NFS目录，则立即写入，当使用async时，无需此设置。

hide  在NFS共享目录中不共享其子目录

no_hide  共享NFS目录的子目录

subtree_check 如果共享/usr/bin之类的子目录时，强制NFS检查父目录的权限(默认) 

no_subtree_check和上面相对，不检查父目录权限

all_squash 共享文件的UID和GID映射匿名用户anonymous，适合公用目录。

no_all_squash 保留共享文件的UID和GID(默认) 

root_squash root用户的所有请求映射成如anonymous用户一样的权限(默认) 

no_root_squash root用户具有根目录的完全管理访问权限

anonuid=xxx 指定NFS服务器/etc/passwd文件中匿名用户的UID

anongid=xxx 指定NFS服务器/etc/passwd文件中匿名用户的GID

    exports文件配置实例，编辑/etc/exports文件，加入以下内容：

[root@rac01 oracle]# vi /etc/exports

#nfs

/home/oracle/nfs 192.168.3.97(sync,rw)

完成以后重启nfs服务

[root@rac01 oracle]# service nfs restart

查看nfs服务器的自启动状态：

[root@rac01 oracle]# chkconfig --list portmap

portmap         0:off   1:off   2:off   3:off   4:off   5:off   6:off

[root@rac01 oracle]# chkconfig --list nfs

nfs             0:off   1:off   2:off   3:off   4:off   5:off   6:off

[root@rac01 oracle]# chkconfig --level 345 portmap on

[root@rac01 oracle]# chkconfig --level 345 nfs on

[root@rac01 oracle]# chkconfig --list portmap

Portm           0:off   1:off   2:off   3:on    4:on    5:on    6:off

[root@rac01 oracle]# chkconfig --list nfs

nfs             0:off   1:off   2:off   3:on    4:on    5:on    6:off

NFS安全

NFS的不安全性主要体现于以下4个方面:

1、新手对NFS的访问控制机制难于做到得心应手,控制目标的精确性难以实现

2、NFS没有真正的用户验证机制,而只有对RPC/Mount请求的过程验证机制

3、较早的NFS可以使未授权用户获得有效的文件句柄

4、在RPC远程调用中,一个SUID的程序就具有超级用户权限.

加强NFS安全的方法：

1、合理的设定/etc/exports中共享出去的目录，最好能使用anonuid，anongid以使MOUNT到NFS SERVER的CLIENT仅仅有最小的权限，最好不要使用root_squash。

2、使用IPTABLE防火墙限制能够连接到NFS SERVER的机器范围

iptables -A INPUT -i eth0 -p TCP -s 192.168.0.0/24 --dport 111 -j ACCEPT

iptables -A INPUT -i eth0 -p UDP -s 192.168.0.0/24 --dport 111 -j ACCEPT

iptables -A INPUT -i eth0 -p TCP -s 140.0.0.0/8 --dport 111 -j ACCEPT

iptables -A INPUT -i eth0 -p UDP -s 140.0.0.0/8 --dport 111 -j ACCEPT

3、为了防止可能的Dos攻击，需要合理设定NFSD的COPY数目。

4、修改/etc/hosts.allow和/etc/hosts.deny达到限制CLIENT的目的

/etc/hosts.allow

portmap: 192.168.0.0/255.255.255.0 : allow

portmap: 140.116.44.125 : allow

/etc/hosts.deny

portmap: ALL : deny

5、改变默认的NFS端口

NFS默认使用的是111端口，但同时你也可以使用port参数来改变这个端口，这样就可以在一定程度上增强安全性。

6、使用Kerberos V5作为登陆验证系统

NFS故障解决

1、NFSD没有启动起来

首先要确认NFS输出列表存在，否则nfsd不会启动。可用exportfs命令来检查，如果exportfs命令没有结果返回或返回不正确，则需要检查/etc/exports文件。

2、mountd进程没有启动

mountd进程是一个远程过程调用(RPC)，其作用是对客户端要求安装(mount) 文件系统的申请作出响应。mountd进程通过查找/etc/xtab文件来获知哪些文件系统可以被远程客户端使用。另外，通过mountd进程，用户可以知道目前有哪些文件系统已被远程文件系统装配，并得知远程客户端的列表。查看mountd是否正常启动起来可以使用命令rpcinfo进行查看，在正常情况下在输出的列表中应该象这样的行：

100005 1 udp 1039 mountd

100005 1 tcp 1113 mountd

100005 2 udp 1039 mountd

100005 2 tcp 1113 mountd

100005 3 udp 1039 mountd

100005 3 tcp 1113 mountd

如果没有起来的话可以检查是否安装了PORTMAP组件。

rpm -qa|grep portmap

3、fs type nfs no supported by kernel

kernel不支持nfs文件系统，重新编译一下KERNEL就可以解决。

4、can't contact portmapper: RPC: Remote system error - Connection refused
出现这个错误信息是由于SEVER端的PORTMAP没有启动。

5、mount clntudp_create: RPC: Program not registered

NFS没有启动起来，可以用showmout -e host命令来检查NFS SERVER是否正常启动起来。

6、mount: localhost:/home/test failed, reason given by server: Permission denied

这个提示是当client要mount nfs server时可能出现的提示，意思是说本机没有权限去mount nfs server上的目录。解决方法当然是去修改NFS SERVER咯。

7、被防火墙阻挡

这个原因很多人都忽视了，在有严格要求的网络环境中，我们一般会关闭linux上的所有端口，当需要使用哪个端口的时候才会去打开。而NFS默认是使用111端口，所以我们先要检测是否打开了这个端口，另外也要检查TCP_Wrappers的设定。