nfs

nfs

NFS的概念
网络文件系统(NFS)是Unix系统和网络附加存储文件管理器常用的网络文件系统,允许多个客户端通过网络共享文件访问。它可用于提供对共享二进制目录的访问,也可用于允许用户在同一工作组中从不同客户端访问其文件。
NFS协议有多个版本:Linux支持版本4、版本3和版本2, 而大多数系统管理员熟悉的是NFSv3。默认情况下,该协议并不安全,但是更新的版本(如NFSv4)提供了对更安全的身份验证的支持,甚至可以通过kerberos进行加密。

[root@localhost ~]# systemctl start firewalld.service

1.
安装
yum install nfs-utily
systemctl start nfs-server.service     ##开启服务
systemctl enable nfs-server.service    ##开机自动开启

2.
firewall-cmd --permanent --add-service=nfs                            ##将nfs永久的添加到火墙策略里
firewall-cmd --permanent --add-service=rpc-bind                   ##将rpc-bind永久的添加到火墙策略里
firewall-cmd --permanent --add-service=mountd                    ##将mountd永久的添加到火墙策略里

[root@localhost ~]# firewall-cmd --reload                                 ##重加载火墙
success
[root@localhost ~]# firewall-cmd --list-all                                  ##查看列表
public (default, active)
  interfaces: eth0
  sources:
  services: dhcpv6-client mountd nfs rpc-bind ssh
  ports:
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

[kiosk@foundation80 ~]$ showmount -e 172.25.254.180          ##从客户端查看并挂载NFS pseudo-root共享
Export list for 172.25.254.180:

2.
共享目录
vim /etc/exportfs                               ##用man 5 exportfs可以查看动作
要共享的系统目录    共享方式
/public        *(sync)                            ##public共享给所有人并且数据同步
/public        172.25.80.0/24(sync)     ##public共享给172.25.80.0/24网段
/public        *.example.com(sync)    ##public共享给example.com域的所有主机    
/public        172.25.80.11(ro,sync)    172.25.80.10(rw,sync)    ##public共享给11是只读，10是读写
/public        *(sync,no_root_squash)            ##public共享给所有人，当客户端使用root挂载不转换用户身份
/public        *(sync,anonuid=1001,anongid=1000)    ##public共享给所有人以1001为uid，1000为gid

3.
利用kerberos保护nfs输出

在server上

(1)安装软件
安装之前应先将yum源配置好。
[root@server1 ~]# yum install sssd krb5-workstation authconfig-gtk -y     ##安装kerberos服务所需的keytab

(2)认证设置
[root@server1 ~]# authconfig-gtk

(3)验证是否得到ldap用户
[root@server1 ~]# su - student
[student@server1 ~]$ su - ldapuser1                                       ##密码是kerberos
Password:
su: warning: cannot change directory to /home/guests/ldapuser1: No such file or directory
mkdir: cannot create directory '/home/guests': Permission denied
-bash-4.2$

(4)
wget http://172.25.254.254/pub/keytabs/server1.keytab -O /etc/krb5.keytab                    ##(-大O)
[root@server1 ~]# ktutil                                            ##检测所下载的keytab是否正确
ktutil:  rkt /etc/krb5.keytab
ktutil:  list
slot KVNO Principal
---- ---- ---------------------------------------------------------------------
   1    3     host/server1.example.com@EXAMPLE.COM

systemctl start nfs-secure-server                                 ##开启nfs服务
systemctl enable nfs-secure-server    ##让该服务开机自动开启    

vim /etc/exports            ##编辑配置文件，并写下以下内容
/public         *(rw,sec=krb5p)

exportfs -rv                ##使其生效

在desktop上
还是先reset一下。
(1)安装软件
同样的，在安装之前应先将yum配置好。
[root@desktop1 ~]# yum install sssd krb5-workstation authconfig-gtk -y

(2)认证设置
[root@desktop1 ~]# authconfig-gtk

(3)验证是否得到ldap用户
[root@desktop1 ~]# su - student
[student@desktop1 ~]$ ls
[student@desktop1 ~]$ cd /mnt
-bash: cd: /mnt: Permission denied
[student@desktop1 ~]$ su - ldapuser1    ##密码是kerberos
Password:
Last login: Sun Jun  4 00:43:29 EDT 2017 on pts/0
su: warning: cannot change directory to /home/guests/ldapuser1: No such file or directory
mkdir: cannot create directory '/home/guests': Permission denied
-bash-4.2$

(4)
wget http://172.25.254.254/pub/keytabs/desktop1.keytab -O /etc/krb5.keytab ##(-大O)
[root@desktop1 ~]# ktutil        ##检测所下载的keytab是否正确
ktutil:  rkt /etc/krb5.keytab
ktutil:  list
slot KVNO Principal
---- ---- ---------------------------------------------------------------------
   1    3    host/desktop1.example.com@EXAMPLE.COM

systemctl start nfs-secure            ##开启nfs服务
systemctl enable nfs-secure        ##让该服务开机自动开启

mount 172.25.1.11:/public /mnt -o sec=krb5p    ##挂载

su - student             ##切换到普通用户
cd /mnt                    ##进入到该目录底下会出现Permission denied，因为没有证书，无法通过认证
su - ldapuser1         ##密码为：kerberos
klist
ls /mnt                     ##可以看到里面的内容