linux7 security,SECURITY-centos7下NFS使用与配置

NFS是Network File System的缩写，即网络文件系统。客户端通过挂载的方式将NFS服务器端共享的数据目录挂载到本地目录下。

nfs为什么需要RPC?

因为NFS支持的功能很多，不同功能会使用不同程序来启动，因此，NFS对应的功能所对应的端口无法固定。

端口不固定造成客户端与服务端之间的通信障碍，所以需要RPC来从中帮忙。

NFS启动时会随机取用若干端口，然后主动向RPC服务注册取用相关端口和功能信息，RPC使用固定端口111来监听来自NFS客户端的请求，

并将正确的NFS服务端口信息返回给客户端，这样客户端与服务端就可以进行数据传输了。

二、NFS的工作流程

1、由程序在NFS客户端发起存取文件的请求，客户端本地的RPC(rpcbind)服务会通过网络向NFS服务端的RPC的111端口发出文件存取功能的请求。

2、NFS服务端的RPC找到对应已注册的NFS端口，通知客户端RPC服务。

3、客户端获取正确的端口，并与NFS daemon联机存取数据。

4、存取数据成功后，返回前端访问程序，完成一次存取操作。

所以无论客户端，服务端，需要使用NFS，必须安装RPC服务。

NFS的RPC服务，在Centos5及以前名为portmap,Centos6下名称为rpcbind。

三、NFS服务安装配置

nfs-utils、rpcbind

查看是否安装NFS软件包

rpm -qa nfs-utils rpcbind

yum install nfs-utils rpcbind

四、启动rpcbind支持服务

查看服务状态

systemctl status rpcbind.service

如果不知道rpcbind命令在哪

which rpcbind

启动rpc服务

systemctl restart rpcbind.service

查看rpc

lsof -i :111

netstat -lntup|grep rpcbind

(如果出现-bash未找到命令可执行下面命令)

yum install net-tools lsof

查看nfs服务向rpc注册的端口信息

rpcinfo -p localhost

检查rpcbind是否开机启动

chkconfig --list rpcbind

五、启动NFS服务

systemctl start nfs.service

查看状态

systemctl status nfs.service

再次查看rpc注册的端口信息

rpcinfo -p localhost

六、NFS常见进程详解

ps -ef|egrep "rpc|nfs"

rpc 101101 1 0 17:11 ? 00:00:00 /sbin/rpcbind -w

rpcuser 101188 1 0 17:22 ? 00:00:00 /usr/sbin/rpc.statd --no-notify

root 101190 2 0 17:22 ? 00:00:00 [rpciod]

root 101200 1 0 17:22 ? 00:00:00 /usr/sbin/rpc.idmapd

root 101201 1 0 17:22 ? 00:00:00 /usr/sbin/rpc.mountd

root 101206 2 0 17:22 ? 00:00:00 [nfsd4]

root 101207 2 0 17:22 ? 00:00:00 [nfsd4_callbacks]

root 101213 2 0 17:22 ? 00:00:00 [nfsd]

root 101214 2 0 17:22 ? 00:00:00 [nfsd]

root 101215 2 0 17:22 ? 00:00:00 [nfsd]

root 101216 2 0 17:22 ? 00:00:00 [nfsd]

root 101217 2 0 17:22 ? 00:00:00 [nfsd]

root 101218 2 0 17:22 ? 00:00:00 [nfsd]

root 101219 2 0 17:22 ? 00:00:00 [nfsd]

root 101220 2 0 17:22 ? 00:00:00 [nfsd]

root 101243 100830 0 17:28 pts/0 00:00:00 grep -E --color=auto rpc|nfs

nfsd(rpc.nfsd)主进程，主要是管理客户端能否登入服务端，登入者ID判别。

mountd(rpc.mountd)管理NFS文件系统，登入者的权限管理

rpc.lockd(非必要)用来锁定文件，用于客户端同时写入

rpc.statd(非必要)检查文件一致性

rpc.idmapd 名字映射后台进程

七、配置NFS开机自启动

chkconfig rpcbind on

chkconfig nfs on

chkconfig --list rpcbind

chkconfig --list nfs

八、NFS服务端配置

vi /etc/exports

exports文件配置格式:

NFS共享的目录 NFS客户端地址1(参数1,参数2,...) 客户端地址2(参数1,参数2,...)

说明：

NFS共享目录：

要用绝对路径，可被nfsnobody读写。

NFS客户端地址：

指定IP: 192.168.0.1

指定子网所有主机: 192.168.1.0/24

指定域名的主机: test.com

指定域名所有主机: .test.com

所有主机:

参数：

ro：目录只读

rw：目录读写

sync：将数据同步写入内存缓冲区与磁盘中，效率低，但可以保证数据的一致性

async：将数据先保存在内存缓冲区中，必要时才写入磁盘

all_squash：将远程访问的所有普通用户及所属组都映射为匿名用户或用户组(nfsnobody)

no_all_squash：与all_squash取反(默认设置)

root_squash：将root用户及所属组都映射为匿名用户或用户组(默认设置)

no_root_squash：与rootsquash取反

anonuid=xxx：将远程访问的所有用户都映射为匿名用户，并指定该用户为本地用户(UID=xxx)

anongid=xxx：将远程访问的所有用户组都映射为匿名用户组账户

例如：

/data/tmp 192.168.1.0/24(rw,sync,all_squash)

创建需要共享的目录

mkdir -p /data/tmp

chown nfsnobody.nfsnobody /data/tmp

重新加载nfs配置

exportfs -rv

查看nfs服务器挂载情况

showmount -e localhost

九、挂载测试

mkdir -p /data/tmp2

mount -t nfs 192.168.1.2:/data/tmp /data/tmp2

查看挂载

df -h

在tmp下创建文件

touch /data/tmp/a1.txt

查看tmp2下是否有文件

ls /data/tmp2

卸载挂载

umount /data/tmp2

十、NFS服务器涉及到需开放的端口

# firewall-cmd --permanent --add-port=111/tcp

# firewall-cmd --permanent --add-port=111/udp

# firewall-cmd --permanent --add-port=2049/tcp

# firewall-cmd --permanent --add-port=2049/udp

# firewall-cmd --permanent --add-port=1001/tcp

# firewall-cmd --permanent --add-port=1001/udp

# firewall-cmd --permanent --add-port=32803/tcp

# firewall-cmd --permanent --add-port=32769/udp

# firewall-cmd --permanent --add-port=892/tcp

# firewall-cmd --permanent --add-port=892/udp

防火墙操作