NFS初学者概念的模糊认识

jakee_2000

我刚刚接触NFS，有个概念比较模糊，希望大家帮助我拨云见日。
1、我对NFS的理解，通俗来说它是一个可以路由且可以在远端服务器上使用的网络邻居，可以让自己办公室的本地计算机映射远端服务器指定的共享目录。
2、我有个很关键的疑惑。假如我把我的服务器NFS设定为任何IP都能访问，那么全世界各地的计算机只要知道了我服务器的IP地址是否是说他们都可以用showmount来观察我的NFS列表？
3、假如任意一地区的Linux机器上有一个账号与我服务器上的账号完全一致，比如root用户，那么该计算机就能够用mount命令直接映射我的服务器，虽然是只读，但是他未经过我允许依然可以自由的下载我的数据，这样一来NFS还有安全可言吗？我也期望NFS如同Windows系统那样，映射驱动器的时候，虽然客户机和服务器上有相同的用户名，但是必须经过用户名加上口令共同认证之后才能允许映射。可是目前看，NFS似乎不是这样，只要你的机器上存在 一个NFS服务器上共同的用户名，口令正确与否不要紧都能映射上，虽然不能修改服务器内容，但是你依然能拷贝数据文件。显然这并不是我们所需要的。
4、我的无奈解决方案是，我每天确认我拨号上网分配到的动态IP，然后修改NFS服务器，只允许我当前动态IP机器可以映射，这样只有我的机器能映射了，缺点是不能做到世界各地通过合法认证之后自由映射。
综上所述，我的问题重点就在第3条。我期望的是，只要有合法的用户验证，应该在各地每个角落都能映射，如同Windows的网络邻居一般。希望大家给我指点。

qidunhu

好长的问题~~~~
Windows的网络邻居可以看到全球的电脑吗？
另外NFS可以配置允许哪些IP段或者哪些IP地址可以访问到。

jakee_2000

回复 2# qidunhu
谢谢！
1、Windows网络邻居我只是个比喻。配置不同的地址段这个我也想到了，比如我公司在辽宁、黑龙江、吉林、云南等地有办事处，也希望他们映射，可是这个地址段如何获取？
2、通过您的回答是否我也可以认为您也和我一致的认为只要允许任何IP可以访问，那么只要客户机存在和NFS服务器上相同用户名的用户不需要口令验证就能够只读方式映射，对吧？

再次感谢您的及时解答。


   

humjb_1983

man nfs
SECURITY CONSIDERATIONS
       NFS servers control access to file data, but they depend on their RPC implementation to provide authentication of NFS requests.  Traditional NFS access control mim-
       ics  the  standard  mode bit access control provided in local file systems.  Traditional RPC authentication uses a number to represent each user (usually the user's
       own uid), a number to represent the user's group (the user's gid), and a set of up to 16 auxiliary group numbers to represent other groups of which the user may  be
       a member.

       Typically, file data and user ID values appear unencrypted (i.e. "in the clear" on the network.  Moreover, NFS versions 2 and 3 use separate sideband protocols for
       mounting, locking and unlocking files, and reporting system status of clients and servers.  These auxiliary protocols use no authentication.

       In addition to combining these sideband protocols with the main NFS protocol, NFS version 4 introduces more advanced forms of access  control,  authentication,  and
       in-transit  data protection.  The NFS version 4 specification mandates NFSv4 ACLs, RPCGSS authentication, and RPCGSS security flavors that provide per-RPC integrity
       checking and encryption.  Because NFS version 4 combines the function of the sideband protocols into the main NFS protocol, the new security features apply  to  all
       NFS  version 4 operations including mounting, file locking, and so on.  RPCGSS authentication can also be used with NFS versions 2 and 3, but does not protect their
       sideband protocols.

       The sec mount option specifies the RPCGSS security mode that is in effect on a given NFS mount point.  Specifying sec=krb5 provides cryptographic proof of a  user's
       identity  in each RPC request.  This provides strong verification of the identity of users accessing data on the server.  Note that additional configuration besides
       adding this mount option is required in order to enable Kerberos security.  Refer to the rpc.gssd( man page for details.

       Two additional flavors of Kerberos security are supported: krb5i and krb5p.  The krb5i security flavor provides a cryptographically strong guarantee that  the  data
       in  each  RPC  request  has  not been tampered with.  The krb5p security flavor encrypts every RPC request to prevent data exposure during network transit; however,
       expect some performance impact when using integrity checking or encryption.  Similar support for other forms of cryptographic security (such as lipkey and SPKM3) is
       also available.

       The  NFS  version 4 protocol allows clients and servers to negotiate among multiple security flavors during mount processing.  However, Linux does not yet implement
       such negotiation.  The Linux client specifies a single security flavor at mount time which remains in effect for the lifetime of the mount.  If the server does  not
       support this flavor, the initial mount request is rejected by the server.

jakee_2000

回复 4# humjb_1983
谢谢，你引用的这些内容只是说明了在传输时候如何如何安全。我需要解惑的是，如何用系统用户身份认证机制来解决指定用户才能访问NFS输出。没有指定的用户就是连只读也不能访问。现在我的NFS已经测试运行成功了。问题是，比如，我公司有三个服务器内部账号，A，B，C，假定NFS服务器操作系统也有这三个账号，现在我要做的是我只希望用户A能够访问NFS服务输出，其余两个用户根本就是无任何权限，包括浏览权限，请问，NFS能做到吗？


   

humjb_1983

jakee_2000 发表于 2014-06-24 09:51
回复 4# humjb_1983
谢谢，你引用的这些内容只是说明了在传输时候如何如何安全。我需要解惑的是，如何用系 ...

根据man中的描述，nfs v3和v2估计无能为力，但nfs v4的acl估计可行，具体没有研究过，你可以继续google一下。。。

jakee_2000

回复 6# humjb_1983
等世界杯结束的吧，谷歌才能解封。


   

humjb_1983

jakee_2000 发表于 2014-06-24 10:43
回复 6# humjb_1983
等世界杯结束的吧，谷歌才能解封。

呵呵，bing也行~，天朝的程序猿真悲催，google还不能用~