LPI-2 202-450 Topico 209.2
Configuração do servidor NFS (Network File System)

Hoje há três versões do NFS. O NFS versão 2 (NFSv2) é o mais antigo e amplamente suportado. O NFS versão 3 (NFSv3) tem mais recursos, mas tem problemas de segurança. E o NFS versão 4 (NFSv4), que é a última versão é a mais completa e segura de todas as versões.

Datas de lançamento das versões do NFS:

• NFSv2 - Março de 1989;
• NFSv3 - Junho de 1995;
• NFSv4 - Dezembro de 2000;
• NFSv4.1 - Janeiro de 2010.

Para o exame LPIC 2, precisamos trabalhar com o NFS versão 3, mas também precisamos saber um pouco sobre o NFS versão 4 e suas diferenças.

O servidor NFS versão 3 inclui 3 componentes:

• nfs transmite as requisições de compartilhamento remotas em requisições para o file system local;
• portmap mapeia chamadas feitas de outras máquinas para o serviço RPC correto. Ele usa o rpcbind (não necessário no NFSv4);
• rpcbind redireciona o client para o número de porta apropriado para que ele possa se comunicar com o serviço solicitado (não necessário com o NFSv4).

A grande desvantagem é a segurança. Como o NFSv3 é baseado em Remote Procedure Calls (RPC) ou chamadas de procedimento remoto, ele é inerentemente inseguro e só deve ser usado em uma rede confiável atrás de um firewall. Isso não quer dizer que não seja possível tomar medidas para proteger o NFS, mas ele ainda não estará pronto para a Internet aberta.

• No NFSv4 não há mais rpcbind e portmapper;
• No NFSv3 existe um serviço nfslock que inicia os processos RPC apropriados para permitir que os clientes NFS bloqueiem arquivos no servidor, mas o NFSv4 tem mecanismo de bloqueio de arquivo nativo;
• No NFSv3 o serviço rpc.mountd é responsável pela montagem e desmontagem dos sistemas de arquivos, no NFSv4 não há rpc.mound;
• Enquanto o NFSv3 funciona com portas TCP/UDP, o NFSv4 funciona apenas com TCP.

Por ser um serviço tradicional de servidores Unix like os pacotes do NFS server estão disponíveis nos repositórios de todas as distribuições e pelo fato de que a última atualização dele foi em 2010 todas contam com a mesma versão portanto a instalação pelo gerenciador de pacotes é o mais viável.

Em um sistema RedHat like instala-se os pacotes nfs-utils e rpcbind.

Arquivos de configuração importantes:

/etc/exports

é o arquivo de configuração principal do NFS, aqui onde são configurados todos os compartilhamentos e difinidas as limitações macro;

/etc/fstab

é onde configuramos os pontos de montagem nos clientes;

/etc/sysconfig/nfs

Local onde controla-se a porta onde o rpc e outros serviços escutam.

Para definir um compartilhamento primeiramente qual diretório iremos compartilhar, aqui seguiremos a mesma lógica proposta para o compartilhamento Samba:

$ mkdir /srv/nfs/compartilhamento1
$ chmod 777 /srv/nfs/compartilhamento1

Discutiremos a parte de segurança posteriormente, portanto para fins de teste estamos criando o diretório sem restrições.

Agora precisamos inserir a seguinte linha no arquivo /etc/exports:

/srv/nfs/compartilhamento1 192.168.1.0(ro) 192.168.1.15(rw,no_root_squash)

Segundo o exemplo acima estamos dando permissão de "apenas leitura" para todos os computadores da rede 192.168.1.0, porém para o host de IP 192.168.1.15 estamos dando permissão de escrita, note uma opção importante no_root_squash permite que o usuário remoto de ID 0 (root) monte o compartilhamento. Essa opção é útil quando o diretório local compartilhado é o diretório raiz no cliente remoto.

Explicando melhor a sintaxe das entradas em /etc/exports segue o seguinte padrão:

<export> <host1>(<opções>) <host2> (<opções>) <hostN> (<options>) ...

Além de endereços de rede e ou endereços de IP é possível usar hostnames e curingas. Os seguintes métodos podem ser usados para especificar nomes de host:

Host simples

Onde um determinado host é especificado com um FQDN, nome de host ou endereço de IP;

wildcards

Onde um * ou ? O caractere é usado para levar em consideração um agrupamento de nomes de domínio totalmente qualificados que correspondem a uma determinada sequência de letras. Curingas não devem ser usados com endereços IP; no entanto, é possível que funcionem acidentalmente se as pesquisas reversas de DNS falharem.

Redes IP

Permite a declaração de endereços de rede no formato x.x.x.x/x. Considere que a rede aqui especificada não precisa ser um endereço de rede real, enxerge isso como um range de IPs;

netgroups

Esta opção é muito antiga, mas é interessante saber. Ele permite que um nome de grupo de rede NIS, escrito como @<group-name>, seja usado. Isso efetivamente coloca o servidor NIS a cargo do controle de acesso para este sistema de arquivos exportado, onde os usuários podem ser adicionados e removidos de um grupo NIS sem afetar /etc/exports.

Também há opções para ser usadas em /etc/exports para os compartilhamentos:

ro

define acesso somente leitura;

rw

define acesso de leitura e escrita;

sync

Sincroniza o sistema de arquivos nfs com o disco imediatamente, para reduzir a chance de corrupção do sistema.

no_subtree_check

Esta opção evita a verificação da subárvore. Quando um diretório compartilhado é o subdiretório de um sistema de arquivos maior, o nfs realiza varreduras em todos os diretórios acima dele, a fim de verificar suas permissões e detalhes. Desativar a verificação de subárvore pode aumentar a confiabilidade do NFS, mas reduzir a segurança.

no_root_squash

Esta opção permite acesso root ao diretório compartilhado.

rpcbind fornece coordenação entre os serviços RPC e os números de porta usados para se comunicar com eles, é útil para exibir o status dos serviços RPC atuais usando o comando rpcbind ao solucionar problemas. O comando rpcbind mostra cada serviço baseado em RPC com números de porta, um número de programa RPC, um número de versão e um tipo de protocolo IP (TCP ou UDP).

O rpcinfo faz uma RPC call ao RPC server e reporta o que encontrou. O comando tem várias opções mas para nosso exemplo vamos mostrar apenas a busca de portas:

[root@srvnfs011 ~]# rpcinfo -p
   program vers proto   port  service
    100000    4   tcp    111  portmapper
    100000    3   tcp    111  portmapper
    100000    2   tcp    111  portmapper
    100000    4   udp    111  portmapper
    100000    3   udp    111  portmapper
    100000    2   udp    111  portmapper
    100024    1   udp  39073  status
    100024    1   tcp  53933  status
    100005    1   udp  20048  mountd
    100005    1   tcp  20048  mountd
    100005    2   udp  20048  mountd
    100005    2   tcp  20048  mountd
    100005    3   udp  20048  mountd
    100005    3   tcp  20048  mountd
    100003    3   tcp   2049  nfs
    100003    4   tcp   2049  nfs
    100227    3   tcp   2049  nfs_acl
    100003    3   udp   2049  nfs
    100003    4   udp   2049  nfs
    100227    3   udp   2049  nfs_acl
    100021    1   udp  58591  nlockmgr
    100021    3   udp  58591  nlockmgr
    100021    4   udp  58591  nlockmgr
    100021    1   tcp  37458  nlockmgr
    100021    3   tcp  37458  nlockmgr
    100021    4   tcp  37458  nlockmgr

Se um dos serviços NFS não iniciar corretamente, o rpcbind não conseguirá mapear as solicitações RPC dos clientes desse serviço para a porta correta. Em muitos casos, se o NFS não estiver presente na saída de informações do RPC, reiniciar o NFS faz com que o serviço seja registrado corretamente com o rpcbind e comece a funcionar. Para obter mais informações e uma lista de opções de rpcinfo, consulte a página do manual.

O serviço rpcbind usa o TCP wrappers para controle de acesso, e as regras de controle de acesso para o rpcbind afetam todos os serviços baseados em RPC. Alternativamente é possível especificar regras de controle de acesso usando os arquivos /etc/hosts.allow e /etc/hosts.deny.

Por padrão os dois arquivos estão em branco.

Lembre-se sempre que o arquivo /etc/hosts.allow tem prioridade sobre o arquivo /etc/hosts.deny portanto se um host constar no arquivo /etc/hosts.allow o arquivo /etc/hosts.deny não será avaliado.

Por exemplo vamos liberar uma rede inteira para usar o portmap:

echo "portmap: 192.168.10.0/24" >> /etc/hosts.allow && \
    echo "portmap: ALL" >> /etc/hosts.deny

Nós liberamos apenas a rede 192.168.10.0/24 para alcançar o portmap todas as demais redes estão bloqueadas.

O comando exportfs mostra quais compartilhamentos estão disponíveis:

[root@srvnfs01 ~]# exportfs 
/nfsshare         srvnfs011.exemplo.com.br
/nfsshare         <world>

Lista de opções interessantes:

-v

Exibe uma lista de arquivos compartilhados e opções em um servidor;

-a

Exporta todos os compartilhamentos listados em /etc/exports, ou o nome dado;

-u

Desesporta todos os compartilhamentos listados em /etc/exports, ou o nome dado;

-r

Recarrega a lista do servidor após uma modificação no /etc/exports.

O nfsstat nos permite ver as estatísticas do NFS no servidor.

Quando executado no cliente, pode mostrar detalhes do compartilhamento montado, com a opção -m

[root@clientnfs01 ~]# nfsstat -m
/mnt from 192.168.35.30:/nfsshare
Flags: rw,vers=2,rsize=8192,wsize=8192,hard,proto=udp,timeo=7,retrans=3,sec=sys,ad dr=192.168.35.30 

Precisamos instalar os pacotes necessários, em um servidor RedHat-like usaremos os pacotes nfs-utils, nfs-utils-lib e rpcbind.