Введение

Исходные данные

• Сервер NFS с IP-адресом 192.168.1.10;
• Клиент NFS с IP-адресом 192.168.1.20.

Установка

Пакеты nfs-kernel-server (сервер) и nfs-common (клиент) входят в стандартный дистрибутив ОС СН СмоленскAstra Linux Special Edition, и доступны в сетевом репозитории ОС ОН Орёл.
Поддержка nfs Astra Linux Common Edition. Поддержка файловой системы NFS интегрирована в ядро как ОС СН, так и ОС ОНвсех ОС Astra Linux.

По умолчанию пакет nfs-kernel-server не устанавливается. Установить сервер nfs и клиент nfs-common можно из графического  менеджера пакетов (см. Графический менеджер пакетов synaptic), или из командной строки..

Установка сервера из командной строкиСервер:

КлиентУстановка клиента из командной строки:

Дополнительно, можно установить пакет "монтирования ресурсов NFS по запросу", позволяющий монтировать ресурсы только при обращениях к ним:

, см. Autofs монтирование по запросу.

Настройка сервера

Подготовка

Для развёртывания сервера NFS, как и любого другого сервера, желательно назначить ему :

• рекомендуется назначить серверу постоянный IP-адрес

• ;
• настроить разрешение имён клиентских компьютеров, или назначить им

• статические IP-адреса

• ;

• выделить ресурс (каталог), который в дальнейшем станет разделяемым.

• Пример: создание каталога /srv/nfsshare и

• задание для него

• полного доступа на чтение и запись:

Исправляем ошибки в пакете

Корректировка настроек пакета

После чего перезапустить сервисУказанные исправления обеспечат запуск службы nfs-server после службы rpcbind. После внесения изменений перезапустить службу:

Конфигурация

Основная конфигурация сервиса nfs хранится в файле /etc/exports.  Кроме этого , файла сервис использует файлы файлы:

• /etc/fstab - записи обо всех файловых системах, включая nfs, автоматически монтируемых при загрузке системы.
• /etc/hosts.allow,  /etc/hosts.deny - используется, чтобы решить, принять или отклонить подключения, приходящие с внешних IP-адресов

Экспорт разделяемого ресурса

Для экспорта созданного ранее разделяемого ресурса (каталога) /srv/nfsshare
просто добавим добавить в конфигурационный файл /etc/exports строку  информацию по разрешению доступа. Например:

• для одного клиента:

  Информация
  /srv/nfsshare <IP-адрес_клиента>(rw,nohide,all_squash,anonuid=1000,anongid=1000,no_subtree_check)

• для сети:

  Информация
  /srv/nfsshare

• <сеть/маска>(rw,nohide,all_squash,anonuid=1000,anongid=1000,no_subtree_check)

• для всех:

  Информация
  /srv/nfsshare <*>(rw,nohide,all_squash,anonuid=1000,anongid=1000,no_subtree_check)

  
  

Где::

• указание субъекта доступа:
  • <IP-адрес_клиента> — постоянный IP-адрес компьютера
  192.168.1.20 - статический адрес компьтера
  • -клиента (может быть использовано имя компьютера);
  • <сеть/маска> — сетевой адрес для указания группы компьютеров;
  • <*> — подстановочный знак "*", т. е. "все" (подробнее см. справку man exports);
    

• (rw,no_root_squash,sync) –набор опций, опции могут быть— набор параметров доступа:
  • rw –чтение — чтение запись (может принимать значение ro – только – только чтение);
  • no_root_squash – — по умолчанию в общих ресурсах NFS пользователь root становится обычным пользователем nfsnobody.
    Таким образом, владельцем всех файлов, созданных root, становится nfsnobody, что предотвращает загрузку на сервер программ с установленным битом setuid.
    Если указан параметр Использование параметра no_root_squash , удалённые пользователи root могут изменить любой файл в разделяемой файловой системе, и оставить для других пользователей троянские приложения.
    В целях безопасности этот параметр лучше не использовать
    не рекомендуется, так как потенциально создает угрозы безопасности, связанные с возможностью удаленного внедрения в файловую систему вредоносного ПО.
    
  • nohide — nohide - NFS автоматически не показывает нелокальные ресурсы (например, примонтированые примонтированные с помощью mount –bind), эта опция включает отображение таких ресурсов;
  • sync – — синхронный режим доступа (может принимать обратное значение- async).
    Значение sync указывает, что сервер должен отвечать на запросы только после записи на диск изменений, выполненных этими запросами.
    Параметр async указывает серверу не ждать записи информации на диск, что повышает производительность, но понижает надежность, т.к. в случае обрыва соединения или отказа оборудования возможна потеря данных;.
  • noaccess – — запрещает доступ к указанной директории.
    Применяется, если доступ к определенной директории выдан всем пользователям сети , и необходимо ограничить доступ для некоторых пользователей;.
  • all_squash– squash — подразумевает, что все подключения будут выполнятся от анонимного пользователя;
  • subtree_check (no_subtree_check)- в некоторых случаях приходится экспортировать не весь раздел, а лишь его часть.
    При этом сервер NFS должен выполнять дополнительную проверку обращений клиентов, чтобы убедиться в том, что они предпринимают попытку доступа лишь к файлам, находящимся в соответствующих подкаталогах.
    Такой контроль поддерева (subtree checks) несколько замедляет взаимодействие с клиентами, но если отказаться от него, могут возникнуть проблемы с безопасностью системы.
    Отменить контроль поддерева можно с помощью опции no_subtree_check. Опция subtree_check, включающая такой контроль, предполагается по умолчанию.
    Контроль поддерева можно не выполнять в том случае, если экспортируемый каталог совпадает с разделом диска;.
  • anonuid=1000– 1000 — привязывает анонимного пользователя к «местному» пользователю;
  • anongid=1000– 1000 — привязывает анонимного пользователя к группе «местного» пользователя.
    
    

Строк с записями о разделяемых ресурсах может быть добавлено несколько.
После внесения изменений для того, чтобы они вступили в силу, нужно выполнить команду 

(подробности по возможностям команды см. man exportfs)

Безопасный экспорт разделяемых ресурсов

• Современная версия протокола NFSv4 способна защищать всю передаваемую по сети информацию, применяя

  Протокол передачи данных NFS поддерживает защитное преобразование данных

  с помощью Kerberos.
  Поэтому важно, чтобы эта служба была правильно настроена, если она находится за брандмауэром или в сегментированной сети.

  начиная с версии 4 (NFSv4). 

  Предупреждение
  Версии NFSv2 и NFSv3

  по-прежнему

  защитное преобразование данных не поддерживают, и передают незащищённые данные.

  
  

• Сервер NFS определяет, какие файловые системы экспортировать и какие узлы получат к ним доступ с помощью файла /etc/exports.
  Будьте внимательны и не добавляйте лишних пробелов, редактируя этот файл.
  Например, следующая строка в файле /etc/exports предоставляет каталог /tmp/nfs/ для чтения/записи с компьютера master.astralinux.ru

.

• :

  Информация
  /tmp/nfs/ master.astralinux.ru(rw)

  А

• следующая строка файла/etc/exports, напротив, определяет для того же каталога компьютеру master.astralinux.

• ru разрешение только на чтение, а всем остальным разрешает не только чтение, но и запись
  Отличие конфигураций состоит всего в одном пробеле после имени компьютера:

  Предупреждение
  /tmp/nfs/ master.astralinux.ru (rw)

  
  

Чтобы избежать подобных ошибок,

• Не

  используйте параметр

  рекомендуется использование параметра no_root_squash, так как потенциально создает угрозы безопасности, связанные с возможностью удаленного внедрения в файловую систему вредоносного ПО. По умолчанию, в общих ресурсах NFS пользователь root становится обычным пользователем nfsnobody.

  
  

  Таким образом, владельцем всех файлов, созданных root, становится пользователь nfsnobody, что предотвращает загрузку на сервер программ с установленным битом setuid

  .
  Если указан параметр no_root_squash, удалённые пользователи root могут изменить любой файл в разделяемой файловой системе и оставить для других пользователей троянские приложения

  .

Настройка клиента

После установки клиентского пакета nfs-common, на компьютере - клиенте следует примонтировать разделяемые ресурсы. Список доступных ресурсов можно проверить, выполнив команду:

Монтируем ресурс

Чтобы примонтировать разделяемый ресурс , создадим на клиентской машине:

1. Создать на клиентской машине точку монтирования, например, каталог /mnt/share:

   Command
   sudo mkdir /mnt/share

1. 
   

2. Командой mount примонтировать разделяемый каталог /nfsshare

1. сервера NFS (192.168.1.10) в каталог /mnt/share на клиентском компьютере:

   Command
   sudo mount 192.168.1.10:/srv/nfsshare /mnt/share

   
   

2. Для проверки успешности монтирования можно использовать

1. команду:

   Command
   mount | grep nfs

1. Команда выдаст строку (строки) с информацией о примонтированном ресурсе (ресурсах).

1. Кроме того, можно использовать команду проверки свободного места на всех примонтированных ресурсах:

   Command
   df

Автоматическое монтирование ресурса при загрузке

Чтобы ресурс NFS монтировался автоматически после каждой при перезагрузки ОС, его нужно зарегистрировать в файле /etc/fstab
добавив строчку вида

Автоматическое монтирование ресурса по запросу

Автоматическое монтирование ресурсов NFS можно выполнить с помощью пакета autofs.

Решение проблемы зависания графических приложений

При работе в сессии с ненулевой классификационной меткой с одновременным использованием файловых систем NFS и Samba возможна нештатная работа графических приложений. Нарушение работы приложения может проявляться, например, "в зависаниях" текстового редактора kate, и вызвано несовместимостью службы rpcbind с работой КСЗ Astra Linux Special Edition. Для устранения нарушений работы следует остановить и запретить службу rpcbind:

Для находящихся в эксплуатации систем Astra Linux следует использовать рекомендованную для работы с информацией ограниченного доступа сетевую файловую систему Samba SMB/CIFS.