{"id":1523,"date":"2017-07-25T10:17:07","date_gmt":"2017-07-25T08:17:07","guid":{"rendered":"http:\/\/miroslaw.borodziuk.eu\/?p=1523"},"modified":"2017-08-20T18:22:01","modified_gmt":"2017-08-20T16:22:01","slug":"network-file-system","status":"publish","type":"post","link":"http:\/\/miro.borodziuk.eu\/index.php\/2017\/07\/25\/network-file-system\/","title":{"rendered":"Network File System"},"content":{"rendered":"

NFS (Network File System) to protok\u00f3\u0142 sieciowy, kt\u00f3ry umo\u017cliwia wsp\u00f3\u0142dzielenie plik\u00f3w pomi\u0119dzy maszynami Linux i Unix przez sie\u0107. To us\u0142uga oparta na architekturze klient\/serwer, dzi\u0119ki kt\u00f3rej klient ma dost\u0119p do plik\u00f3w, katalog\u00f3w i ca\u0142ego systemu plik\u00f3w na zdalnej maszynie tak jakby by\u0142y zamontowane na lokalnie. Proces udost\u0119pniania zasob\u00f3w na serwerze NFS klientowi nazywany jest eksportowaniem<\/em>.\"\"<\/p>\n

Komendy zwi\u0105zane z us\u0142ug\u0105 NFS przedstawia tabela poni\u017cej.<\/p>\n\n\n\n\n\n\n\n\n\n
Komenda<\/span><\/td>\nOpis<\/span><\/td>\n<\/tr>\n
exportfs<\/code><\/span><\/td>\nEksportuje zasoby wylistowane w pliku \/etc\/exports<\/code> i katalogu \/etc\/exports.d<\/code>. Wy\u015bwietla tak\u017ce wyeksportowane zasoby wylistowane w plikach \/var\/lib\/nfs\/etab<\/code> i \/proc\/fs\/nfs\/exports.<\/code><\/td>\n<\/tr>\n
nfsiostat<\/code><\/span><\/td>\nStatystyki\u00a0 I\/O z pliku \/proc\/self\/mountstats<\/code> zamontowanych zasob\u00f3w NFS.<\/td>\n<\/tr>\n
nfsstat<\/code><\/span><\/td>\nStatystyki NFS i RPC z plik\u00f3w: \/proc\/net\/rpc\/nfsd<\/code> (serwer) i \/proc\/net\/rpc\/nfs<\/code> (klient).<\/td>\n<\/tr>\n
mountstats<\/code><\/span><\/td>\nKomenda klienta wy\u015bwietlaj\u0105c\u0105 statystyki z pliku \/proc\/self\/mountstats<\/code>.<\/td>\n<\/tr>\n
showmount<\/code><\/span><\/td>\nWraz z opcj\u0105 -e server_nfs<\/em> wy\u015bwietla zasoby NFS wyeksportowane przez serwer.<\/td>\n<\/tr>\n
mount<\/code><\/span><\/td>\nMontowanie zdalnych zasob\u00f3w NFS i nie tylko.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

 <\/p>\n

NFS czyta dane konfiguracyjne z wielu plik\u00f3w, pliki te opisane s\u0105 w tabeli poni\u017cej.<\/p>\n\n\n\n\n\n\n\n\n\n
Plik<\/span><\/td>\nOpis<\/span><\/td>\n<\/tr>\n
\/etc\/sysconfig\/nfs<\/code><\/span><\/td>\nStartowy plik konfiguracyjny NFS.<\/td>\n<\/tr>\n
\/etc\/exports<\/code><\/span><\/td>\nDefinicje zasob\u00f3w do wyeksportowania.<\/td>\n<\/tr>\n
\/var\/lib\/nfs\/etab<\/code><\/span><\/td>\nWpisy dla eksportowanych zasob\u00f3w.<\/td>\n<\/tr>\n
\/etc\/nfsmount.conf<\/code><\/span><\/td>\nPlik klienta, kt\u00f3ry zawiera opcje u\u017cywane podczas montowania zasob\u00f3w.<\/td>\n<\/tr>\n
\/etc\/fstab<\/code><\/span><\/td>\nPlik klienta, kt\u00f3ry zawiera zasoby dyskowe do podmontowania manualnie lub automatycznie po restarcie systemu.<\/td>\n<\/tr>\n
\/etc\/mtab<\/code><\/span><\/td>\nPlik klienta, kt\u00f3ry zawiera list\u0119 podmontowanych zasob\u00f3w dyskowych.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Wi\u0119cej informacji o NFS mo\u017cna znale\u017a\u0107 w dokumentacji systemowej, jest tego naprawd\u0119 du\u017co:<\/p>\n

# man -k nfs\r\nconfstr (3) - get configuration dependent string variables\r\nblkmapd (8) - pNFS block layout mapping daemon\r\nconfstr (3p) - get configurable variables\r\nexportfs (8) - maintain table of exported NFS file systems\r\nexports (5) - NFS server export table\r\nfilesystems (5) - Linux file-system types: minix, ext, ext2, ext3, ext4, Reiserfs, XFS, JFS, xia, msdos, umsdos, vfat, ntf...\r\nfs (5) - Linux file-system types: minix, ext, ext2, ext3, ext4, Reiserfs, XFS, JFS, xia, msdos, umsdos, vfat, ntf...\r\nidmapd (8) - NFSv4 ID <-> Name Mapper\r\nidmapd.conf (5) - configuration file for libnfsidmap\r\nipa-client-automount (1) - Configure automount and NFS for IPA\r\nmount.nfs (8) - mount a Network File System\r\nmountd (8) - NFS mount daemon\r\nmountstats (8) - Displays various NFS client per-mount statistics\r\nnfs (5) - fstab format and options for the nfs file systems\r\nnfs4_acl (5) - NFSv4 Access Control Lists\r\nnfs4_editfacl (1) - manipulate NFSv4 file\/directory access control lists\r\nnfs4_uid_to_name (3) - ID mapping routines used for NFSv4\r\nnfs4_getfacl (1) - get NFSv4 file\/directory access control lists\r\nnfs4_setfacl (1) - manipulate NFSv4 file\/directory access control lists\r\nnfsd (7) - special filesystem for controlling Linux NFS server\r\nnfsd (8) - NFS server process\r\nnfsdcltrack (8) - NFSv4 Client Tracking Callout Program\r\nnfsidmap (8) - The NFS idmapper upcall program\r\nnfsiostat (8) - Emulate iostat for NFS mount points using \/proc\/self\/mountstats\r\nnfsiostat-sysstat (1) - (temat nieznany)\r\nnfsmount.conf (5) - Configuration file for NFS mounts\r\nnfsservctl (2) - syscall interface to kernel nfs daemon\r\nnfsstat (8) - list NFS statistics\r\nrpc.idmapd (8) - NFSv4 ID <-> Name Mapper\r\nrpc.mountd (8) - NFS mount daemon\r\nrpc.nfsd (8) - NFS server process\r\nrpc.sm-notify (8) - send reboot notifications to NFS peers\r\nrpcdebug (8) - set and clear NFS and RPC kernel debug flags\r\nshowmount (8) - show mount information for an NFS server\r\nsm-notify (8) - send reboot notifications to NFS peers\r\numount.nfs (8) - unmount a Network File System<\/pre>\n
 <\/p>\n
SELinux a NFS.<\/span><\/p>\n
Jakikolwiek katalog lub system plik\u00f3w, kt\u00f3ry ma by\u0107 udost\u0119pniony przez NFS musi mie\u0107 ustawiony kontekst public_content_ro<\/code> (odczyt) lub public_content_rw<\/code> (zapis). Wymagane jest to tylko wtedy gdy dany zas\u00f3b udost\u0119pniony jest nie tylko przez NFS ale r\u00f3wnie\u017c przez inn\u0105 us\u0142ug\u0119, np. FTP czy CIFS (Samba). Polityka SELinux zawiera tak\u017ce wiele zmiennych boolean zwi\u0105zanych z NFS:<\/p>\n
# getsebool \u2013a | egrep \u2018^nfs|^use_nfs\u2019\r\nnfs_export_all_ro --> on\r\nnfs_export_all_rw --> on\r\nnfsd_anon_write --> off\r\nuse_nfs_home_dirs --> off<\/pre>\n\n\n\n\n\n\n\n
Zmienna boolean<\/span><\/td>\nPrzeznaczenie<\/span><\/td>\n<\/tr>\n
nfs_export_all_ro<\/code><\/span><\/td>\nEksportowanie zasobu tylko w trybie do odczytu.<\/td>\n<\/tr>\n
nfs_export_all_rw<\/code><\/span><\/td>\nEksportowanie zasobu w trybie do zapisu.<\/td>\n<\/tr>\n
nfsd_anon_write<\/code><\/span><\/td>\nZezwala\/zabrania na anonimowy zapis do zasobu NFS.<\/td>\n<\/tr>\n
use_nfs_home_dirs<\/code><\/span><\/td>\nZezwala\/zabrania klientom NFS na montowanie katalog\u00f3w domowych u\u017cytkownik\u00f3w.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
 <\/p>\n
 <\/p>\n
\u0106wiczenie 1. Udost\u0119pnianie zasob\u00f3w NFS i podmontowanie na kliencie.<\/p>\n
Strona serwera.<\/p>\n
1. Instalacja pakietu nfs.<\/p>\n
# yum \u2013y install nfs-utils\r\nPackage 1:nfs-utils-1.3.0-0.el7.x86_64 already installed and latest version\r\nNothing to do<\/pre>\n
2. Utworzenie katalog\u00f3w \/common<\/code> i \/nfsrhcsa<\/code>:<\/p>\n
# mkdir \/common \/nfsrhcsa<\/pre>\n
3. Aktywacja zmiennych SELinux booleans aby zezwoli\u0107 na export zasob\u00f3w NFS w trybie tylko do odczytu i do zapisu.<\/p>\n
# setsebool \u2013P nfs_export_all_ro=1 nfs_export_all_rw=1\r\n# getsebool \u2013a | grep nfs_export\r\nnfs_export_all_ro --> on\r\nnfs_export_all_rw --> on<\/pre>\n
4. Odblokowanie us\u0142ugi NFS na firewallu:<\/p>\n
# firewall-cmd --permanent --add-service nfs; firewall-cmd --reload\r\nsuccess\r\nsuccess<\/pre>\n
5. Autostart, start i status us\u0142ug rpcbind i NFS:<\/p>\n
# systemctl enable rpcbind nfs-server\r\n# systemctl start rpcbind nfs-server\r\n# systemctl status rpcbind nfs-server<\/pre>\n
6. Edycj pliku \/etc\/exports<\/code>:<\/p>\n
# vim \/etc\/exports\r\n\/common server2.example.com(rw)\r\n\/nfsrhcsa server2.example.com(sync)<\/pre>\n
Najlepiej aby by\u0142a co najmniej jedna opcja przy ka\u017cdym wpisie.<\/p>\n
7. Wyeksportowanie zasob\u00f3w:<\/p>\n
# exportfs \u2013avr\r\nexporting server2.example.com:\/common\r\nexporting server2.example.com:\/nfsrhcsa<\/pre>\n
8. Wy\u015bwietlenie zawarto\u015bci pliku \/var\/lib\/nfs\/etab:<\/p>\n
# cat \/var\/lib\/nfs\/etab\r\n\/common\r\nserver2.example.com(rw,sync,wdelay,hide,nocrossmnt,secure,no_root_squash,no_all_squash,no_subtree_check,secure_locks,acl,anonuid=65534,anongid=65534,sec=sys)\r\n\/nfsrhcsa\r\nserver2.example.com(ro,sync,wdelay,hide,nocrossmnt,secure,no_root_squash,no_all_squash,no_subtree_check,secure_locks,acl,anonuid=65534,anongid=65534,sec=sys)<\/pre>\n
Oba powy\u017csze zasoby s\u0105 teraz wyeksportowane. Istnieje jednak mo\u017cliwo\u015b\u0107 cofni\u0119cia eksportu opcj\u0105 -u:<\/p>\n
# exportfs \u2013u server2.example.com:\/common<\/pre>\n
Potwierdzamy cofni\u0119cie exportu:<\/p>\n
# exportfs \u2013v | grep common<\/pre>\n
Ponowny eksport zasobu mo\u017cna wykona\u0107 w spos\u00f3b nast\u0119puj\u0105cy:<\/p>\n
# exportfs \u2013avr<\/pre>\n
 <\/p>\n
Strona klienta.<\/p>\n
1. Instalacja nfs-utils:<\/p>\n
# yum \u2013y install nfs-utils\r\nPackage 1:nfs-utils-1.3.0-0.el7.x86_64 already installed and latest version\r\nNothing to do<\/pre>\n
2. Utworzenie punktu montowania \/nfsrhcemnt:<\/p>\n
# mkdir \/nfsrhcemnt<\/pre>\n
3. Start, autostart i status rpcbind:<\/p>\n
# systemctl enable rpcbind\r\n# systemctl start rpcbind\r\n# systemctl status rpcbind<\/pre>\n
4. Edycja pliku \/etc\/fstab:<\/p>\n
# vim \/etc\/fstab\r\nserver1.example.com:\/common \/nfsrhcemnt nfs _netdev,rw 0 0<\/pre>\n
5. Podmontowanie zasobu NFS:<\/p>\n
# mount \/nfsrhcemnt\r\n# mount \u2013t nfs \u2013o rw server1:\/common \/nfsrhcemnt<\/pre>\n
lub<\/p>\n
# mount -a<\/pre>\n
6. Weryfikacja:<\/p>\n
# mount | grep nfsrhcemnt\r\n# df -h<\/pre>\n
7. Utworzenie pliku nfsrhcetest<\/code> w katalogu \/nfsrhcemnt<\/code> na kliencie i weryfikacja po stronie serwera:<\/p>\n
[server]# touch \/nfsrhcemnt\/nfsrhcetest\r\n[client]# ll \/common<\/pre>\n
 <\/p>\n
\u0106wiczenie 2. Udost\u0119pnienie zasobu NFS do pracy grupowej.<\/p>\n
Strona serwera NFS.<\/span><\/p>\n
1. Utworzenie grupy z GID 7777:<\/p>\n
# groupadd \u2013g 7777 nfssdatagrp<\/pre>\n
2. Dodanie u\u017cytkownik\u00f3w do tej grupy:<\/p>\n
# usermod \u2013G nfssdatagrp user3\r\n# usermod \u2013G nfssdatagrp user4<\/pre>\n
3. Utworzenie katalogu \/nfssdata:<\/p>\n
# mkdir \/nfssdata<\/pre>\n
4. Ustawienie w\u0142asno\u015bci dla katalogu:<\/p>\n
# chown nfsnobody:nfssdatagrp \/nfssdata<\/pre>\n
5. Ustawienie bitu setgid dla \/nfssdata:<\/p>\n
# chmod 2770 \/nfssdata<\/pre>\n
6. Weryfikacja nowych uprawnie\u0144 do katalogu \/nfssdata:<\/p>\n
# ll \u2013d \/nfssdata\r\ndrwxrws---. 2 nfsnobody nfssdatagrp 6 Jan 27 14:54 \/nfssdata<\/pre>\n
7. Instalacja pakietu nfs.<\/p>\n
# yum \u2013y install nfs-utils\r\nPackage 1:nfs-utils-1.3.0-0.el7.x86_64 already installed and latest version\r\nNothing to do<\/pre>\n
8. Aktywacja zmiennych SELinux booleans aby zezwoli\u0107 na export zasob\u00f3w NFS w trybie tylko do odczytu i do zapisu.<\/p>\n
# setsebool \u2013P nfs_export_all_ro=1 nfs_export_all_rw=1\r\n# getsebool \u2013a | grep nfs_export\r\nnfs_export_all_ro --> on\r\nnfs_export_all_rw --> on<\/pre>\n
9. Odblokowanie us\u0142ugi NFS na firewallu:<\/p>\n
# firewall-cmd --permanent --add-service nfs; firewall-cmd --reload\r\nsuccess\r\nsuccess<\/pre>\n
10. Autostart, start i status us\u0142ug rpcbind i NFS:<\/p>\n
# systemctl enable rpcbind nfs-server\r\n# systemctl start rpcbind nfs-server\r\n# systemctl status rpcbind nfs-server<\/pre>\n
11. Edycja pliku \/etc\/exports:<\/p>\n
# vim \/etc\/exports\r\n\/nfssdata server2.example.com(rw,no_root_squash)<\/pre>\n
Opcja no_root_squash<\/code> zabezpiecza udost\u0119pniany na serwerze NFS zas\u00f3b przed uzyskaniem na komputerze klienta uprawnie\u0144 superu\u017cytkownika do zasobu. Root na kliencie mapowany jest na konto nfsnobody z UID 65534.<\/span><\/p>\n
12. Wyeksportowanie zasob\u00f3w:<\/p>\n
# exportfs \u2013avr\r\nexporting server2.example.com:\/nfssdata<\/pre>\n
13. Wy\u015bwietlenie zawarto\u015bci pliku \/var\/lib\/nfs\/etab:<\/p>\n
# cat \/var\/lib\/nfs\/etab | grep nfssdata\r\n\/nfssdata\r\nserver2.example.com(rw,sync,wdelay,hide,nocrossmnt,secure,no_root_squash,no_all_squash,no_subtree_check,secure_locks,acl,anonuid=65534,anongid=65534,sec=sys,rw,secure,no_root_squash,no_all_squash)<\/pre>\n
 <\/p>\n
Strona klienta NFS.<\/span><\/p>\n
14. Utworzenie grupy nfssdatagrp<\/em> z GID 7777:<\/p>\n
# groupadd \u2013g 7777 nfssdatagrp<\/pre>\n
15. Utworzenie kont user3 i user4, nale\u017cy zwr\u00f3ci\u0107 uwag\u0119 na to aby UID by\u0142 ten sam jak na serwerze NFS:<\/p>\n
# useradd user3 ; useradd user4\r\n# passwd user3l passwd user4<\/pre>\n
16. Dodanie u\u017cytkownik\u00f3w user3 and user4 do grupy nfssdatagrp:<\/p>\n
# usermod \u2013G nfssdatagrp user3\r\n# usermod \u2013G nfssdatagrp user4<\/pre>\n
17. Dodanie zasobu do pliku \/etc\/fstab:<\/p>\n
server1.example.com:\/nfsdata \/nfsdatamnt nfs _netdev,rw 0 0<\/pre>\n
18. Utworzenie punktu montowania \/nfssdatamnt:<\/p>\n
# mkdir \/nfssdatamnt<\/pre>\n
19. Podmontowanie zasob\u00f3w NFS:<\/p>\n
# mount \/nfssdatamnt\r\n# mount \u2013t nfs \u2013o rw server1:\/nfssdata \/nfssdatamnt<\/pre>\n
20. Weryfikacja:<\/p>\n
# mount | grep nfssdata\r\nserver1.example.com:\/nfssdata on \/nfssdatamnt type nfs4\r\n(rw,relatime,vers=4.0,rsize=131072,wsize=131072,namlen=255,hard,proto=tcp,port=0,timeo=600,retrans=2,sec=sys,clientaddr=192.168.0.120,local_lock=none,addr=192.168.0.110)\r\n# df \u2013h | grep nfssdata\r\nserver1.example.com:\/nfssdata 8.8G 3.4G 5.4G 39% \/nfssdatamnt<\/pre>\n
21. Weryfikacja uprawnie\u0144 katalogu \/nfssdatamnt:<\/p>\n
# ll \u2013d \/nfssdatamnt\r\ndrwxrws---. 2 nfsnobody nfssdatagrp 6 Jan 28 06:54 \/nfssdatamnt<\/pre>\n
22. Weryfikacja mo\u017cliwo\u015bci zapisu:<\/p>\n
# su \u2013 user3\r\n$ touch \/nfssdatamnt\/nfssdatatest3 ; exit\r\n# su \u2013 user4\r\n$ touch \/nfssdatamnt\/nfssdatatest4 ; exit\r\n\r\n# ll \/nfssdatamnt\r\n-rw-rw-r--. 1 user3 nfssdatagrp 0 Jan 28 08:38 nfssdatatest3\r\n-rw-rw-r--. 1 user4 nfssdatagrp 0 Jan 28 08:38 nfssdatatest4<\/pre>\n
 <\/p>\n
\u0106wiczenie 5. Bezpieczne udost\u0119pnianie zasob\u00f3w NFS przy wykorzystaniu Kerberos. Wymaga skonfigurowanego serwera kerberos KDC wg opisu:<\/p>\n
http:\/\/miroslaw.borodziuk.eu\/index.php\/2017\/07\/15\/kerberos\/<\/a><\/p>\n
 <\/p>\n
Strona serwera NFS – server.example.com.<\/span><\/p>\n
# yum install -y nfs-utils sssd authconfig krb5-workstation\r\n# mkdir \/nfskrb\r\n<\/pre>\n
U\u017cytkownik user01<\/em> musi mie\u0107 takie samo uid na maszynach kdc, server i client.<\/p>\n
# useradd -u 3001 user01\r\n# passwd user01\r\n# chown user01 \/nfskrb<\/pre>\n
Zawarto\u015b\u0107 pliku \/etc\/hosts<\/code>:<\/p>\n
192.168.1.1 kdc.example.com     kdc\r\n192.168.1.2 server.example.com  server\r\n192.168.1.3 client.example.com  client<\/pre>\n
SElinux:<\/p>\n
# semanage fcontext -a -t public_content_rw_t \"\/nfskrb(\/.*)?\"\r\n# restorecon -R \/nfskrb<\/pre>\n
Odblokowanie odpowiednich port\u00f3w na firewallu:<\/p>\n
# firewall-cmd --permanent --add-service={nfs,mountd,rpc-bind}\r\n# firewall-cmd --reload<\/pre>\n
Edycia pliku \/etc\/exports<\/p>\n
# vim \/etc\/exports\r\n\/nfskrb client.example.com(rw,sec=krb5p)<\/pre>\n
 <\/p>\n
Opcja sec<\/em> akceptuje cztery r\u00f3\u017cne warto\u015bci:<\/p>\n
    \n
  • sec=sys (bez u\u017cywania Kerberosa), wymaga uruchomienia:\u00a0 # setsebool -P nfsd_anon_write 1<\/code><\/li>\n
  • sec=krb5 (Kerberos user authentication only),<\/li>\n
  • sec=krb5i (Kerberos user authentication and integrity checking),<\/li>\n
  • sec=krb5p (Kerberos user authentication, integrity checking and NFS traffic encryption).<\/li>\n<\/ul>\n
    Im wy\u017cszy poziom tym wi\u0119ksze zu\u017cycie mocy obliczeniowej serwera NFS.<\/p>\n
    Eksport zasob\u00f3w NFS:<\/p>\n
    # exportfs -avr\r\nexporting client.example.com:\/nfskrb<\/pre>\n
    Aktywacja nfs-secure<\/p>\n
    # systemctl start nfs-secure; systemctl enable nfs-secure; systemctl status nfs-secure<\/pre>\n
    Aktywacja nfs-secure-server (tylko na RHEL 7.0):<\/p>\n
    # systemctl start nfs-secure-server; systemctl enable nfs-secure-server; systemctl status nfs-secure-server<\/pre>\n
    Us\u0142uga nfs-secure-server<\/em> wymagana jest tylko w RHEL7.0 i CentOS7.0. W RHEL7.2 i CentOS7.2 wystarczy tylko nfs-secure. Dlatego w RHEL 7.2 us\u0142uga nfs-secure-server w statusie zg\u0142asza \u017ce nie dzia\u0142a, ale wszystko jest w porz\u0105dku.<\/p>\n
    # systemctl status nfs-secure-server.service\r\n? rpc-svcgssd.service - RPC security service for NFS server\r\nLoaded: loaded (\/usr\/lib\/systemd\/system\/rpc-svcgssd.service; static; vendor preset: disabled)\r\nActive: inactive (dead)\r\nCondition: start condition failed at Sat 2017-02-18 13:22:05 CET; 2min 12s ago\r\nnone of the trigger conditions were met<\/pre>\n
    Edycja pliku \/etc\/krb5.conf:<\/code><\/p>\n
    # vim krb5.conf\r\n\r\nConfiguration snippets may be placed in this directory as well\r\nincludedir \/etc\/krb5.conf.d\/\r\n\r\n[logging]\r\ndefault = FILE:\/var\/log\/krb5libs.log\r\nkdc = FILE:\/var\/log\/krb5kdc.log\r\nadmin_server = FILE:\/var\/log\/kadmind.log\r\n\r\n[libdefaults]\r\ndns_lookup_realm = false\r\nticket_lifetime = 24h\r\nrenew_lifetime = 7d\r\nforwardable = true\r\nrdns = false\r\ndefault_realm = EXAMPLE.COM\r\ndefault_ccache_name = KEYRING:persistent:%{uid}\r\n\r\n[realms]\r\nEXAMPLE.COM = {\r\nkdc = kdc.example.com\r\nadmin_server = kdc.example.com\r\n}\r\n\r\n[domain_realm]\r\n.example.com = EXAMPLE.COM\r\nexample.com = EXAMPLE.COM<\/pre>\n
    Powy\u017cszy plik mo\u017cna te\u017c skopiowa\u0107 z serwera KDC kerberos bo jego zawarto\u015b\u0107 jest identyczna:<\/p>\n
    # scp kdc.example.com:\/etc\/krb5.conf  \/etc\/krb5.conf<\/pre>\n
    Edycja pliku \/etc\/ssh\/ssh_config<\/code> i dodanie\/odkomentowanie linii:<\/p>\n
    GSSAPIAuthentication yes\r\nGSSAPIDelegateCredentials yes<\/pre>\n
    Prze\u0142adowanie demona ssh<\/em>:<\/p>\n
    # systemctl reload sshd<\/pre>\n
    Konfiguracja komponentu PAM z linii komend:<\/p>\n
    # authconfig --enablekrb5 --update<\/pre>\n
     <\/p>\n
    Je\u017celi mamy sk\u0105d pobra\u0107 plik \/etc\/krb5.keytab<\/code>to go pobieramy.\u00a0 Zdarza si\u0119 jednak, \u017ce pobranie pliku nie pomaga i nale\u017cy i tak go wygenerowa\u0107.<\/p>\n
    Je\u017celi nie mamy sk\u0105d pobra\u0107 \/etc\/krb5.keytab<\/code> to musimy go wygenerowa\u0107. W tym celu logujemy si\u0119 do Kerberosa:<\/p>\n
    # kadmin\r\nAuthenticating as principal root\/admin@EXAMPLE.COM with password.\r\nPassword for root\/admin@EXAMPLE.COM: kerberos\r\n<\/pre>\n
    Dodanie principal o ile jej jeszcze nie ma w bazie kerberosa:<\/p>\n
    kadmin: addprinc -randkey nfs\/server.example.com\r\nWARNING: no policy specified for host\/server.example.com@EXAMPLE.COM; defaulting to no policy\r\nPrincipal \"host\/server.example.com@EXAMPLE.COM\" created.<\/pre>\n
    Utworzenie lokalnej kopii bazy w pliku \/etc\/krb5.keytab<\/code>:<\/p>\n
    kadmin: ktadd nfs\/server.example.com\r\nEntry for principal host\/server.example.com with kvno 2, encryption type aes256-cts-hmac-sha1-96 added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/server.example.com with kvno 2, encryption type aes128-cts-hmac-sha1-96 added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/server.example.com with kvno 2, encryption type des3-cbc-sha1 added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/server.example.com with kvno 2, encryption type arcfour-hmac added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/server.example.com with kvno 2, encryption type camellia256-cts-cmac added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/server.example.com with kvno 2, encryption type camellia128-cts-cmac added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/server.example.com with kvno 2, encryption type des-hmac-sha1 added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/server.example.com with kvno 2, encryption type des-cbc-md5 added to keytab WRFILE:\/etc\/krb5.keytab.\r\nkadmin: quit<\/pre>\n
    Wy\u015bwietlenie zawarto\u015bci \/etc\/krb5.keytab<\/code>:<\/p>\n
    #  klist -k<\/pre>\n
    lub<\/p>\n
    # strings \/etc\/krb5.keytab<\/pre>\n
     <\/p>\n
    Strona klienta NFS – client.example.com<\/span><\/p>\n
    # yum install -y nfs-utils krb5-workstation pam_krb5\r\n<\/pre>\n
    U\u017cytkownik user01<\/em> musi mie\u0107 takie samo uid na maszynach kdc, server i client.<\/p>\n
    # useradd -u 3001 user01\r\n# passwd user01<\/pre>\n
    Zawarto\u015b\u0107 pliku \/etc\/hosts:<\/p>\n
    192.168.1.1 kdc.example.com     kdc\r\n192.168.1.2 server.example.com  server\r\n192.168.1.3 client.example.com  client<\/pre>\n
    Wy\u015bwietlenie zasob\u00f3w serwera o skr\u00f3conej nazwie (wg \/etc\/hosts) server<\/em> dost\u0119pnych do montowania:<\/p>\n
    # showmount -e server\r\n\/nfskrb client.example.com<\/pre>\n
    Teraz:<\/p>\n
    # mkdir \/mnt\/nfskrb\r\n# vim \/etc\/fstab\r\nserver.example.com:\/nfskrb \/mnt\/nfskrb nfs _netdev,sec=krb5p 0 0\r\n# mount -a<\/pre>\n
    Zapis do udost\u0119pnionego zasobu na razie nie jest mo\u017cliwy:<\/p>\n
    # echo \u201eread\u201d > \/mnt\/nfskrb\/new\r\nRead only file system<\/pre>\n
    Skopiowanie pliku \/etc\/krb5.conf<\/code> z serwera NFS (server.example.com):<\/p>\n
    scp root@server.example.com:\/etc\/krb5.conf  \/etc\/krb5.conf<\/pre>\n
    Aktywacja klienta NFS:<\/p>\n
    # systemctl enable nfs-secure && systemctl start nfs-secure\r\n# systemctl enable nfs-client && systemctl start nfs-client<\/pre>\n
    Edycja pliku \/etc\/ssh\/ssh_config file i dodanie\/odkomentowanie linii:<\/p>\n
    GSSAPIAuthentication yes\r\nGSSAPIDelegateCredentials yes<\/pre>\n
    Prze\u0142adowanie demona ssh<\/em>:<\/p>\n
    # systemctl reload sshd<\/pre>\n
    Konfiguracja komponentu PAM z linii komend:<\/p>\n
    # authconfig --enablekrb5 --update<\/pre>\n
     <\/p>\n
    Je\u017celi mamy sk\u0105d pobra\u0107 plik \/etc\/krb5.keytab<\/code>to go pobieramy.\u00a0 Zdarza si\u0119 jednak, \u017ce pobranie pliku nie pomaga i nale\u017cy i tak go wygenerowa\u0107 poniewa\u017c przy pr\u00f3bie podmontowania zasobu nfs w trybie krb5 (krb5p) b\u0119dzie pojawia\u0142 si\u0119 komunikat:<\/p>\n
    # mount server.example.com:\/nfskrb\r\nmount.nfs: access denied by server while mounting server.example.com:\/nfskrb<\/pre>\n
    Je\u017celi nie mamy sk\u0105d pobra\u0107 \/etc\/krb5.keytab<\/code> to musimy go wygenerowa\u0107. W tym celu logujemy si\u0119 do Kerberosa:<\/p>\n
    # kadmin\r\nAuthenticating as principal root\/admin@EXAMPLE.COM with password.\r\nPassword for root\/admin@EXAMPLE.COM: kerberos\r\n<\/pre>\n
    Dodanie principal dla hosta o ile jeszcze nie dodane:<\/p>\n
    kadmin: addprinc -randkey host\/client.example.com\r\nWARNING: no policy specified for host\/client.example.com@EXAMPLE.COM; defaulting to no policy\r\nPrincipal \"host\/client.example.com@EXAMPLE.COM\" created.<\/pre>\n
    Wylistowanie wszystkich principal:<\/p>\n
    kadmin: list_principals \r\nK\/M@EXAMPLE.COM \r\nhost\/server.example.com@EXAMPLE.COM \r\nhost\/client.example.com@EXAMPLE.COM \r\nkadmin\/admin@EXAMPLE.COM \r\nkadmin\/changepw@EXAMPLE.COM \r\nkadmin\/server.example.com@EXAMPLE.COM \r\nkiprop\/server.example.com@EXAMPLE.COM \r\nkrbtgt\/EXAMPLE.COM@EXAMPLE.COM \r\nnfs\/server.example.com@EXAMPLE.COM \r\nroot\/admin@EXAMPLE.COM \r\nuser01@EXAMPLE.COM \r\nuser02@EXAMPLE.COM<\/pre>\n
    Dodanie klienta nfs do bazy kerberosa:<\/p>\n
    kadmin: ktadd host\/client.example.com \r\nEntry for principal host\/client.example.com with kvno 2, encryption type aes256-cts-hmac-sha1-96 added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/client.example.com with kvno 2, encryption type aes128-cts-hmac-sha1-96 added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/client.example.com with kvno 2, encryption type des3-cbc-sha1 added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/client.example.com with kvno 2, encryption type arcfour-hmac added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/client.example.com with kvno 2, encryption type camellia256-cts-cmac added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/client.example.com with kvno 2, encryption type camellia128-cts-cmac added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/client.example.com with kvno 2, encryption type des-hmac-sha1 added to keytab WRFILE:\/etc\/krb5.keytab.\r\nEntry for principal host\/client.example.com with kvno 2, encryption type des-cbc-md5 added to keytab WRFILE:\/etc\/krb5.keytab.<\/pre>\n
    Wy\u015bwietlenie zawarto\u015bci \/etc\/krb5.keytab<\/code>:<\/p>\n
    #  klist -k<\/pre>\n
    lub<\/p>\n
    # strings \/etc\/krb5.keytab<\/pre>\n
    Teraz zapis do katalogu \/nfskrb b\u0119dzie mo\u017cliwy:<\/p>\n
    # su user01@localhost\r\n$ echo \u201ewrite\u201d > \/mnt\/nfskrb\/new \r\nRead only file system\r\n\r\n$ klist -l\r\nPrincipal name Cache name\r\n-------------- ----------\r\n\r\n[ldapuser1@desktop1 ~]$ kinit\r\nPassword for ldapuser1@EXAMPLE.COM: user01\r\n[ldapuser1@desktop1 ~]$ klist -l\r\nPrincipal name Cache name\r\n-------------- ----------\r\nldapuser1@EXAMPLE.COM KEYRING:persistent:3001:3001\r\n\r\n$ echo \u201ewrite\u201d > \/mnt\/nfskrb\/new \r\nPlik utworzono\r\n\r\n$ kdestroy\r\n$ exit<\/pre>\n
     <\/p>\n
     <\/p>\n
     <\/p>\n","protected":false},"excerpt":{"rendered":"
    NFS (Network File System) to protok\u00f3\u0142 sieciowy, kt\u00f3ry umo\u017cliwia wsp\u00f3\u0142dzielenie plik\u00f3w pomi\u0119dzy maszynami Linux i Unix przez sie\u0107. To us\u0142uga oparta na architekturze klient\/serwer, dzi\u0119ki kt\u00f3rej klient ma dost\u0119p do plik\u00f3w, katalog\u00f3w i ca\u0142ego systemu plik\u00f3w na zdalnej maszynie tak jakby by\u0142y zamontowane na lokalnie. Proces udost\u0119pniania zasob\u00f3w na serwerze NFS klientowi nazywany jest eksportowaniem.<\/p>\n","protected":false},"author":1,"featured_media":1524,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[48],"tags":[],"_links":{"self":[{"href":"http:\/\/miro.borodziuk.eu\/index.php\/wp-json\/wp\/v2\/posts\/1523"}],"collection":[{"href":"http:\/\/miro.borodziuk.eu\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/miro.borodziuk.eu\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/miro.borodziuk.eu\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/miro.borodziuk.eu\/index.php\/wp-json\/wp\/v2\/comments?post=1523"}],"version-history":[{"count":30,"href":"http:\/\/miro.borodziuk.eu\/index.php\/wp-json\/wp\/v2\/posts\/1523\/revisions"}],"predecessor-version":[{"id":1832,"href":"http:\/\/miro.borodziuk.eu\/index.php\/wp-json\/wp\/v2\/posts\/1523\/revisions\/1832"}],"wp:featuredmedia":[{"embeddable":true,"href":"http:\/\/miro.borodziuk.eu\/index.php\/wp-json\/wp\/v2\/media\/1524"}],"wp:attachment":[{"href":"http:\/\/miro.borodziuk.eu\/index.php\/wp-json\/wp\/v2\/media?parent=1523"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/miro.borodziuk.eu\/index.php\/wp-json\/wp\/v2\/categories?post=1523"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/miro.borodziuk.eu\/index.php\/wp-json\/wp\/v2\/tags?post=1523"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}