50、Linux NFS 文件服务器配置与使用指南

Linux NFS 文件服务器配置与使用指南

1. 导出共享文件系统

在向 /etc/exports 文件添加条目后，需运行 exportfs 命令来导出这些目录，使其能被网络中的其他计算机使用。当重启计算机或重新启动 NFS 服务时， exportfs 命令会自动运行以导出目录。

示例命令：

# /usr/sbin/exportfs -a -r -v
exporting maple:/pub
exporting spruce:/pub
exporting maple:/home
exporting spruce:/home
exporting *:/mnt/win

各选项说明：
- -a ：表示导出 /etc/exports 文件中列出的所有目录。
- -r ：将所有导出项与当前的 /etc/exports 文件重新同步，禁用文件中不再列出的导出项。
- -v ：打印详细输出。

2. 保障 NFS 服务器安全

NFS 设施创建时，加密和其他安全措施尚未常规集成到网络服务中，因此 NFS（甚至到版本 3）存在一些明显的安全问题：
- 远程根用户问题 ：即使有默认的 root_squash 防止根用户对远程共享拥有根访问权限，但共享 NFS 目录的任何机器上的根用户仍可访问其他用户账户。
- 未加密通信 ：NFS 流量未加密，网络嗅探者可看到传输的数据。
- 用户映射 ：NFS 共享的默认权限按用户 ID 映射，与用户名无关。
- 文件系统结构暴露 ：直到 NFSv3，共享目录会暴露其在服务器文件系统上的位置。

不过，NFSv4 解决了大部分这些问题，但需要额外配置。通过集成 Kerberos 支持，NFSv4 可根据用户获取的 Kerberos 票据配置用户访问权限。对于暴露 NFS 共享位置的问题，NFSv4 可将共享目录绑定到 /exports 目录，避免暴露其确切位置。

在标准 Linux 安全特性方面， iptables 防火墙和 TCP 包装器可保障 NFS 服务器安全并提供远程客户端访问。对于 NFSv3 及更早版本，在 /etc/hosts.deny 文件中添加 rpcbind: ALL 会拒绝 rpcbind 服务访问，也会拒绝 NFS 服务访问；对于默认运行 NFSv4 的服务器，此设置会阻止外部主机使用 showmount 等命令获取 RPC 服务信息，但不阻止挂载 NFS 共享目录。

3. 使用 NFS 文件系统

服务器通过 NFS 在网络上导出目录后，客户端计算机使用 mount 命令将该目录连接到自己的文件系统。该命令与挂载本地硬盘、DVD 和 USB 驱动器的文件系统类似，但选项略有不同。

3.1 查看 NFS 共享

在客户端 Linux 系统上，可使用 showmount 命令查看所选计算机的可用共享目录。
示例：

$ showmount -e server.example.com
/export/myshare client.example.com
/mnt/public     *

输出表明 /export/myshare 共享目录仅对 client.example.com 主机可用， /mnt/public 共享目录对所有主机可用。

3.2 手动挂载 NFS 文件系统

确认网络中计算机的目录已导出后，可使用 mount 命令手动挂载该目录。
示例：

# mkdir /mnt/maple
# mount maple:/stuff /mnt/maple

若挂载失败，需确保服务器上的 NFS 服务正在运行，且服务器防火墙规则允许访问。可使用 ps ax | grep nfsd 查看 nfsd 服务器进程，默认情况下， nfsd 守护进程在端口 2049 监听 NFS 请求，防火墙需接受端口 2049（nfs）和 111（rpc）的 UDP 请求。

使用 mount -t nfs4 命令可列出所有已挂载的 NFS 文件系统。
示例：

# mount -t nfs4
192.168.1.15:/nfsshare on /home/nfs type nfs4 (rw,relatime,vers=4.2, 
rsize=131072,wsize=131072,namlen=255,hard,proto=tcp,timeo=600,retrans
=2,sec=sys,clientaddr=192.168.1.11,local_lock=none,addr=192.168.1.15)

3.3 开机时挂载 NFS 文件系统

要使 NFS 文件系统在每次启动 Linux 系统时自动挂载到指定挂载点，需在 /etc/fstab 文件中添加相关条目。格式如下：

host:directory    mountpoint    nfs    options    0    0

示例：

maple:/stuff   /mnt/maple nfs   bg,rsize=8192,wsize=8192  0 0
oak:/apps      /oak/apps  nfs   noauto,ro                 0 0

3.4 挂载非自动挂载的文件系统

/etc/fstab 文件中可能包含非自动挂载的文件系统设备，可手动挂载。例如：

# mount /oak/apps

使用此命令时， mount 会检查 /etc/fstab 文件获取要挂载的文件系统、文件系统类型和挂载选项。

3.5 使用挂载选项

可在 /etc/fstab 文件或 mount 命令行中添加挂载选项，影响文件系统的挂载方式。常用选项如下：
| 选项 | 说明 |
| ---- | ---- |
| hard | 若 NFS 服务器断开连接或关闭，访问进程会挂起直到服务器恢复，有助于确保数据与访问程序同步，是默认行为。 |
| soft | 若 NFS 服务器断开连接或关闭，访问进程在设定时间后超时，并收到输入/输出错误。 |
| rsize | NFS 客户端从 NFS 服务器读取数据时请求使用的数据块大小（字节），默认 1024，在快速且错误少的网络中使用较大值可提高性能。 |
| wsize | NFS 客户端向 NFS 服务器写入数据时请求使用的数据块大小（字节），默认 1024，性能问题与 rsize 选项相同。 |
| timeo=# | 设置 RPC 超时后进行第二次传输的时间， # 表示十分之一秒，默认值为 0.7 秒，每次超时后超时值翻倍，最大 60 秒。 |
| retrans=# | 设置发生主超时前的次要超时和重传次数。 |
| retry=# | 设置继续重试失败挂载请求的分钟数，默认 10000 分钟（约一周）。 |
| bg | 若首次挂载尝试超时，后续挂载尝试在后台进行，适用于挂载缓慢或间歇性可用的 NFS 文件系统。 |
| fg | 若首次挂载尝试超时，后续挂载尝试在前台进行，是默认行为。 |

除 /etc/fstab 文件外，还可使用 /etc/nfsmount.conf 文件设置挂载选项。
示例：

[ Server "thunder.example.com" ]
  rsize=32k
  wsize=32k

4. 使用 autofs 按需挂载 NFS 文件系统

为使远程 NFS 文件系统的检测和挂载过程更自动化，可使用 autofs 工具。使用前需安装 autofs 包：

apt install autofs

4.1 自动挂载到 /net 目录

启用 autofs 后，需在 /etc/auto.master 文件中设置默认挂载目录。可取消注释以下行将 /net 定义为默认主机：

#/net   -hosts

然后切换到 autofs 挂载目录（如 /net ），共享资源将自动挂载并可访问。最后使用 systemctl restart autofs 重启服务。

以下是手动挂载 NFS 文件系统的流程图：

graph TD;
    A[确认目录已导出] --> B[创建挂载点目录];
    B --> C[使用 mount 命令挂载目录];
    C --> D{挂载是否成功};
    D -- 是 --> E[使用 mount -t nfs4 确认挂载];
    D -- 否 --> F[检查 NFS 服务和防火墙设置];
    F --> C;

通过以上步骤，你可以完成 Linux NFS 文件服务器的配置与使用，实现文件的共享和挂载。在实际操作中，可根据具体需求选择合适的挂载选项和方法。

Linux NFS 文件服务器配置与使用指南

5. 挂载选项的深入分析

在前面提到了一些挂载选项，下面对它们进行更深入的分析，帮助你更好地理解和运用这些选项来优化 NFS 文件系统的挂载。

5.1 hard 与 soft 选项

• hard 选项 ：当使用 hard 选项时，如果 NFS 服务器在某个进程访问期间断开连接或出现故障，该进程会一直挂起，直到服务器恢复正常。这种方式确保了数据的一致性，因为进程会等待服务器恢复后再继续操作，避免了数据不一致的问题。例如，在处理关键数据的应用程序中，使用 hard 选项可以保证数据的完整性。
• soft 选项 ：与 hard 选项相反， soft 选项会让进程在服务器断开连接或故障时，在设定的时间后超时并返回输入/输出错误。这种方式适用于对数据实时性要求不高的场景，例如日志记录等。当服务器出现问题时，进程不会一直挂起，而是可以继续执行其他任务。

5.2 rsize 和 wsize 选项

• rsize 选项 ：该选项决定了 NFS 客户端从服务器读取数据时请求的数据块大小。默认值为 1024 字节，在高速且稳定的网络环境中，增大 rsize 值可以显著提高数据读取性能。例如，在局域网中，将 rsize 设置为 32768 字节（32KB）可以减少数据传输的次数，从而提高读取速度。
• wsize 选项 ： wsize 选项则是用于设置 NFS 客户端向服务器写入数据时请求的数据块大小。同样，在高速网络中，增大 wsize 值可以提高数据写入性能。

5.3 timeo 、 retrans 和 retry 选项

• timeo 选项 ： timeo 选项用于设置 RPC 超时后进行第二次传输的时间。默认值为 0.7 秒，每次超时后超时值会翻倍，最大为 60 秒。如果服务器响应较慢或网络延迟较大，可以适当增大 timeo 值，以减少因超时导致的重传次数。
• retrans 选项 ：该选项设置发生主超时前的次要超时和重传次数。通过调整 retrans 值，可以控制在出现小故障时的重试次数，避免在短暂故障时过早放弃连接。
• retry 选项 ： retry 选项设置继续重试失败挂载请求的分钟数。默认值为 10000 分钟（约一周），在某些情况下，可以根据实际需求调整该值，例如在临时网络故障时，适当减少重试时间可以提高系统的响应速度。

5.4 bg 和 fg 选项

• bg 选项 ：当使用 bg 选项时，如果首次挂载尝试超时，后续的挂载尝试将在后台进行。这对于挂载缓慢或间歇性可用的 NFS 文件系统非常有用，因为系统可以继续执行其他任务，而不必等待挂载操作完成。
• fg 选项 ： fg 选项则是让后续的挂载尝试在前台进行，这是默认行为。在某些情况下，例如挂载 /usr 目录时，确保挂载成功后再继续执行其他操作是非常重要的，此时可以使用 fg 选项。

6. NFS 安全配置的进一步探讨

除了前面提到的使用 iptables 防火墙和 TCP 包装器来保障 NFS 服务器安全外，还可以采取其他措施来增强安全性。

6.1 使用 Kerberos 进行身份验证

NFSv4 通过集成 Kerberos 支持，允许根据用户获取的 Kerberos 票据来配置用户访问权限。要使用 Kerberos 进行身份验证，需要进行以下步骤：
1. 安装和配置 Kerberos 服务器 ：首先，需要安装 Kerberos 服务器软件，并进行相应的配置，包括创建 Realm、主体等。
2. 在 NFS 服务器和客户端配置 Kerberos 支持 ：在 NFS 服务器和客户端上安装 Kerberos 客户端软件，并配置相关的 Kerberos 选项，例如指定 Kerberos Realm、KDC 地址等。
3. 启用 NFSv4 的 Kerberos 支持 ：在 NFS 服务器和客户端上启用 NFSv4 的 Kerberos 支持，通常需要修改 /etc/idmapd.conf 和 /etc/nfs.conf 文件。

6.2 限制 NFS 服务的访问范围

可以通过 iptables 防火墙规则来限制 NFS 服务的访问范围，只允许特定的 IP 地址或子网访问 NFS 服务器。例如，以下 iptables 规则允许来自 192.168.1.0/24 子网的主机访问 NFS 服务：

iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 2049 -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -p udp --dport 2049 -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 111 -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -p udp --dport 111 -j ACCEPT

7. 常见问题及解决方法

在使用 NFS 文件系统时，可能会遇到一些常见问题，下面介绍一些常见问题及解决方法。

问题	可能原因	解决方法
挂载失败	NFS 服务未运行、防火墙阻止访问、导出文件配置错误	使用 ps ax | grep nfsd 检查 NFS 服务是否运行，检查防火墙规则，检查 /etc/exports 文件是否有错误
无法写入文件	导出文件权限设置为只读、用户权限不足	检查 /etc/exports 文件中共享目录的权限设置，确保用户有写入权限
挂载缓慢	网络延迟、服务器负载过高、挂载选项设置不合理	检查网络连接，查看服务器负载情况，调整挂载选项，如增大 rsize 和 wsize 值

8. NFS 文件系统的监控与维护

为了确保 NFS 文件系统的稳定运行，需要进行定期的监控和维护。

8.1 监控 NFS 服务状态

可以使用 systemctl status nfs-server 命令来查看 NFS 服务的运行状态。如果服务出现异常，可以使用 systemctl restart nfs-server 命令来重启服务。

8.2 检查 NFS 挂载情况

使用 mount -t nfs4 命令可以列出所有已挂载的 NFS 文件系统。定期检查挂载情况，确保所有需要挂载的 NFS 文件系统都已成功挂载。

8.3 清理无用的 NFS 挂载

如果某些 NFS 挂载不再使用，可以使用 umount 命令来卸载挂载点。例如：

umount /mnt/maple

以下是 NFS 安全配置的流程图：

graph TD;
    A[配置基本安全措施] --> B[使用 iptables 防火墙];
    A --> C[使用 TCP 包装器];
    B --> D[限制访问范围];
    C --> E[配置 hosts.allow 和 hosts.deny];
    A --> F[使用 Kerberos 进行身份验证];
    F --> G[安装和配置 Kerberos 服务器];
    F --> H[在 NFS 服务器和客户端配置 Kerberos 支持];
    F --> I[启用 NFSv4 的 Kerberos 支持];

通过以上的配置、安全措施、问题解决方法和监控维护，你可以更好地使用和管理 Linux NFS 文件服务器，确保文件系统的稳定和安全。在实际应用中，根据具体的需求和环境进行适当的调整和优化。