06-28-2005, 18:20
|
#1 |
|
蝌蚪-小毛驴
注册日期: Nov 2000
来自: 上海
帖子: 8,285
精华: 6
|
NFS
超全的NFS文档(FOR LINUX)
http://www.chinaunix.net 作者:wheel 发表于：2003-10-15 13:35:28 NFS server可以看作是一个FILE SERVER,它可以让你的PC通过网络将远端得NFS SERVER共享出来的档案MOUNT到自己的系统中，在CLIENT看来使用NFS的远端文件就象是在使用本地文件一样。 NFS协议从诞生到现在为止，已经有多个版本，如NFS V2（rfc1094）,NFS V3（rfc1813）（最新的版本是V4（rfc3010）。 二、各NFS协议版本的主要区别 V3相对V2的主要区别： 1、文件尺寸 V2最大只支持32BIT的文件大小(4G),而NFS V3新增加了支持64BIT文件大小的技术。 2、文件传输尺寸 V3没有限定传输尺寸，V2最多只能设定为8k，可以使用-rsize and -wsize 来进行设定。 3、完整的信息返回 V3增加和完善了许多错误和成功信息的返回，对于服务器的设置和管理能带来很大好处。 4、增加了对TCP传输协议的支持 V2只提供了对UDP协议的支持，在一些高要求的网络环境中有很大限制，V3增加了对TCP协议的支持 *5、异步写入特性 6、改进了SERVER的mount性能 7、有更好的I/O WRITES 性能。 9、更强网络运行效能，使得网络运作更为有效。 10、更强的灾难恢复功能。 异步写入特性（v3新增加）介绍： NFS V3 能否使用异步写入，这是可选择的一种特性。NFS V3客户端发发送一个异步写入请求到服务器，在给客户端答复之前服务器并不是必须要将数据写入到存储器中（稳定的）。服务器能确定何时去写入数据或者将多个写入请求聚合到一起并加以处理，然后写入。客户端能保持一个数据的copy以防万一服务器不能完整的将数据写入。当客户端希望释放这个copy的时候，它会向服务器通过这个操作过程，以确保每个操作步骤的完整。异步写入能够使服务器去确定最好的同步数据的策略。使数据能尽可能的同步的提交何到达。与V2比较来看，这样的机制能更好的实现数据缓冲和更多的平行（平衡）。而NFS V2的SERVER在将数据写入存储器之前不能再相应任何的写入请求。 V4相对V3的改进： 1：改进了INTERNET上的存取和执行效能 2：在协议中增强了安全方面的特性 3：增强的跨平台特性 三、CLIENT和SERVER的具体操作和设置 在讲NFS SERVER的运作之前先来看一些与NFS SERVER有关的东西： RPC（Remote Procedure Call） NFS本身是没有提供信息传输的协议和功能的，但NFS却能让我们通过网络进行资料的分享，这是因为NFS使用了一些其它的传输协议。而这些传输协议勇士用到这个RPC功能的。可以说NFS本身就是使用RPC的一个程序。或者说NFS也是一个RPC SERVER.所以只要用到NFS的地方都要启动RPC服务，不论是NFS SERVER或者NFS CLIENT。这样SERVER和CLIENT才能通过RPC来实现PROGRAM PORT的对应。可以这么理解RPC和NFS的关系：NFS是一个文件系统，而RPC是负责负责信息的传输。 NFS需要启动的DAEMONS pc.nfsd:主要复杂登陆权限检测等。 rpc.mountd：负责NFS的档案系统，当CLIENT端通过rpc.nfsd登陆SERVER后，对clinet存取server的文件进行一系列的管理 NFS SERVER在REDHAT LINUX平台下一共需要两个套件：nfs-utils和PORTMAP nfs-utils：提供rpc.nfsd 及 rpc.mountd这两个NFS DAEMONS的套件 portmap:NFS其实可以被看作是一个RPC SERVER PROGRAM,而要启动一个RPC SERVER PROGRAM，都要做好PORT的对应工作，而且这样的任务就是由PORTMAP来完成的。通俗的说PortMap就是用来做PORT的mapping的。 一：服务器端的设定（以LINUX为例） 服务器端的设定都是在/etc/exports这个文件中进行设定的，设定格式如下： 欲分享出去的目录 主机名称1或者IP1(参数1，参数2） 主机名称2或者IP2（参数3，参数4） 上面这个格式表示，同一个目录分享给两个不同的主机，但提供给这两台主机的权限和参数是不同的，所以分别设定两个主机得到的权限。 可以设定的参数主要有以下这些： rw：可读写的权限； ro：只读的权限； no_root_squash：登入到NFS主机的用户如果是ROOT用户，他就拥有ROOT的权限，此参数很不安全，建议不要使用。 root_squash：在登入 NFS 主?C使用分享之目?的使用者如果是 root ?r，那????使用者的?嘞?⒈?嚎s成?槟涿褂谜撸ǔＫ?UID ? GID 都??成 nobody 那??身份； all_squash：不管登陆NFS主机的用户是什么都会被重新设定为nobody。 anonuid：将登入NFS主机的用户都设定成指定的user id,此ID必须存在于/etc/passwd中。 anongid：同 anonuid ，但是?成 group ID 就是了！ sync：资料同步写入存储器中。 async：资料会先暂时存放在内存中，不会直接写入硬盘。 insecure 允许从这台机器过来的非授权访问。 例如可以编辑/etc/exports为： /tmp *(rw,no_root_squash) /home/public 192.168.0.*(rw) *(ro) /home/test 192.168.0.100(rw) /home/linux *.the9.com(rw,all_squash,anonuid=40,anongid=40) 设定好后可以使用以下命令启动NFS: /etc/rc.d/init.d/portmap start (在REDHAT中PORTMAP是默认启动的） /etc/rc.d/init.d/nfs start exportfs命令： 如果我们在启动了NFS之后又修改了/etc/exports，是不是还要重新启动nfs呢？这个时候我们就可以用exportfs命令来使改动立刻生效，该命令格式如下： exportfs [-aruv] -a ：全部mount或者unmount /etc/exports中的内容 -r ：重新mount /etc/exports中分享出来的目录 -u ：umount 目录 -v ：在 export 的?r候，将详细的信息输出到屏幕上。 具体例子： [root @test root]# exportfs -rv <==全部重新 export 一次！ exporting 192.168.0.100:/home/test exporting 192.168.0.*:/home/public exporting *.the9.com:/home/linux exporting *:/home/public exporting *:/tmp reexporting 192.168.0.100:/home/test to kernel exportfs -au <==全部都卸载了。 客户段的操作： 1、showmout命令对于NFS的操作和查错有很大的帮助，所以我们先来看一下showmount的用法 showmout -a ：这个参数是一般在NFS SERVER上使用，是用来显示已经mount上本机nfs目录的cline机器。 -e ：显示指定的NFS SERVER上export出来的目录。 例如： showmount -e 192.168.0.30 Export list for localhost: /tmp * /home/linux *.linux.org /home/public (everyone) /home/test 192.168.0.100 2、mount nfs目录的方法： mount -t nfs hostname(orIP):/directory /mount/point 具体例子： Linux: mount -t nfs 192.168.0.1:/tmp /mnt/nfs Solaris:mount -F nfs 192.168.0.1:/tmp /mnt/nfs BSD: mount 192.168.0.1:/tmp /mnt/nfs 3、mount nfs的其它可选参数： HARD mount和SOFT MOUNT： HARD: NFS CLIENT会不断的尝试与SERVER的连接（在后台，不会给出任何提示信息,在LINUX下有的版本仍然会给出一些提示），直到MOUNT上。 SOFT:会在前台尝试与SERVER的连接，是默认的连接方式。当收到错误信息后终止mount尝试，并给出相关信息。 例如：mount -F nfs -o hard 192.168.0.10:/nfs /nfs 对于到底是使用hard还是soft的问题，这主要取决于你访问什么信息有关。例如你是想通过NFS来运行X PROGRAM的话，你绝对不会希望由于一些意外的情况（如网络速度一下子变的很慢，插拔了一下网卡插头等）而使系统输出大量的错误信息，如果此时你用的是HARD方式的话，系统就会等待，直到能够重新与NFS SERVER建立连接传输信息。另外如果是非关键数据的话也可以使用SOFT方式，如FTP数据等，这样在远程机器暂时连接不上或关闭时就不会挂起你的会话过程。 rsize和wsize： 文件传输尺寸设定：V3没有限定传输尺寸，V2最多只能设定为8k，可以使用-rsize and -wsize 来进行设定。这两个参数的设定对于NFS的执行效能有较大的影响 bg：在执行mount时如果无法顺利mount上时，系统会将mount的操作转移到后台并继续尝试mount，直到mount成功为止。（通常在设定/etc/fstab文件时都应该使用bg，以避免可能的mount不上而影响启动速度） fg：和bg正好相反，是默认的参数 nfsvers＝n:设定要使用的NFS版本，默认是使用2，这个选项的设定还要取决于server端是否支持NFS VER 3 mountport：设定mount的端口 port：根据server端export出的端口设定，例如如果server使用5555端口输出NFS,那客户端就需要使用这个参数进行同样的设定 timeo=n:设置超时时间，当数据传输遇到问题时，会根据这个参数尝试进行重新传输。默认值是7/10妙（0.7秒）。如果网络连接不是很稳定的话就要加大这个数值，并且推荐使用HARD MOUNT方式，同时最好也加上INTR参数，这样你就可以终止任何挂起的文件访问。 intr 允许通知中断一个NFS调用。当服务器没有应答需要放弃的时候有用处。 udp：使用udp作为nfs的传输协议（NFS V2只支持UDP) tcp：使用tcp作为nfs的传输协议 namlen=n：设定远程服务器所允许的最长文件名。这个值的默认是255 acregmin=n：设定最小的在文件更新之前cache时间，默认是3 acregmax=n：设定最大的在文件更新之前cache时间，默认是60 acdirmin=n：设定最小的在目录更新之前cache时间，默认是30 acdirmax=n：设定最大的在目录更新之前cache时间，默认是60 actimeo=n：将acregmin、acregmax、acdirmin、acdirmax设定为同一个数值，默认是没有启用。 retry=n：设定当网络传输出现故障的时候，尝试重新连接多少时间后不再尝试。默认的数值是10000 minutes noac:关闭cache机制。 同时使用多个参数的方法：mount -t nfs -o timeo=3,udp,hard 192.168.0.30:/tmp /nfs 请注意，NFS客户机和服务器的选项并不一定完全相同，而且有的时候会有冲突。比如说服务器以只读的方式导出，客户端却以可写的方式mount,虽然可以成功mount上，但尝试写入的时候就会发生错误。一般服务器和客户端配置冲突的时候，会以服务器的配置为准。 4、/etc/fstab的设定方法 /etc/fstab的格式如下： fs_spec fs_file fs_type fs_options fs_dump fs_pass fs_spec:该字段定义希望加载的文件系统所在的设备或远程文件系统,对于nfs这个参数一般设置为这样：192.168.0.1:/NFS fs_file:本地的挂载点 fs_type：对于NFS来说这个字段只要设置成nfs就可以了 fs_options:挂载的参数，可以使用的参数可以参考上面的mount参数。 fs_dump - 该选项被"dump"命令使用来检查一个文件系统应该以多快频率进行转储，若不需要转储就设置该字段为0 fs_pass - 该字段被fsck命令用来决定在启动时需要被扫描的文件系统的顺序，根文件系统"/"对应该字段的值应该为1，其他文件系统应该为2。若该文件系统无需在启动时扫描则设置该字段为0 。 5、与NFS有关的一些命令介绍 nfsstat: 查看NFS的运行状态，对于调整NFS的运行有很大帮助 rpcinfo： 查看rpc执行信息，可以用于检测rpc运行情况的工具。 四、NFS调优 调优的步骤： 1、测量当前网络、服务器和每个客户端的执行效率。 2、分析收集来的数据并画出图表。查找出特殊情况，例如很高的磁盘和CPU占用、已经高的磁盘使用时间 3、调整服务器 4、重复第一到第三步直到达到你渴望的性能 与NFS性能有关的问题有很多，通常可以要考虑的有以下这些选择： WSIZE,RSIZE参数来优化NFS的执行效能 WSIZE、RSIZE对于NFS的效能有很大的影响。 wsize和rsize设定了SERVER和CLIENT之间往来数据块的大小，这两个参数的合理设定与很多方面有关，不仅是软件方面也有硬件方面的因素会影响这两个参数的设定（例如LINUX KERNEL、网卡，交换机等等）。 下面这个命令可以测试NFS的执行效能，读和写的效能可以分别测试，分别找到合适的参数。对于要测试分散的大量的数据的读写可以通过编写脚本来进行测试。在每次测试的时候最好能重复的执行一次MOUNT和unmount。 time dd if=/dev/zero of=/mnt/home/testfile bs=16k count=16384 用于测试的WSIZE,RSIZE最好是1024的倍数，对于NFS V2来说8192是RSIZE和WSIZE的最大数值，如果使用的是NFS V3则可以尝试的最大数值是32768。 如果设置的值比较大的时候，应该最好在CLIENT上进入mount上的目录中，进行一些常规操作（LS,VI等等），看看有没有错误信息出现。有可能出现的典型问题有LS的时候文件不能完整的列出或者是出现错误信息，不同的操作系统有不同的最佳数值，所以对于不同的操作系统都要进行测试。 设定最佳的NFSD的COPY数目。 linux中的NFSD的COPY数目是在/etc/rc.d/init.d/nfs这个启动文件中设置的，默认是8个NFSD,对于这个参数的设置一般是要根据可能的CLIENT数目来进行设定的，和WSIZE、RSIZE一样也是要通过测试来找到最近的数值。 UDP and TCP 可以手动进行设置，也可以自动进行选择。 mount -t nfs -o sync,tcp,noatime,rsize=1024,wsize=1024 EXPORT_MACHINE:/EXPORTED_DIR /DIR UDP有着传输速度快，非连接传输的便捷特性，但是UDP在传输上没有TCP来的稳定，当网络不稳定或者黑客入侵的时候很容易使NFS的 Performance 大幅降低甚至使网络瘫痪。所以对于不同情况的网络要有针对的选择传输协议。nfs over tcp比较稳定，nfs over udp速度较快。在机器较少网络状况较好的情况下使用UDP协议能带来较好的性能，当机器较多，网络情况复杂时推荐使用TCP协议（V2只支持UDP协议）。在局域网中使用UDP协议较好，因为局域网有比较稳定的网络保证，使用UDP可以带来更好的性能，在广域网中推荐使用TCP协议，TCP协议能让NFS在复杂的网络环境中保持最好的传输稳定性。可以参考这篇文章：http://www.hp.com.tw/ssn/unix/0212/unix021204.asp 版本的选择 V3作为默认的选择（RED HAT 8默认使用V2,SOLARIS 8以上默认使用V3），可以通过vers= mount option来进行选择。 LINUX通过mount option的nfsvers=n进行选择。 五、NFS故障解决 1、NFSD没有启动起来 首先要确认 NFS 输出列表存在，否则 nfsd 不会启动。可用 exportfs 命令来检查，如果 exportfs 命令没有结果返回或返回不正确，则需要检查 /etc/exports 文件。 2、mountd 进程没有启动 mountd 进程是一个远程过程调用 (RPC) ，其作用是对客户端要求安装（mount）文件系统的申请作出响应。mountd进程通过查找 /etc/xtab文件来获知哪些文件系统可以被远程客户端使用。另外，通过mountd进程，用户可以知道目前有哪些文件系统已被远程文件系统装配，并得知远程客户端的列表。查看mountd是否正常启动起来可以使用命令rpcinfo进行查看，在正常情况下在输出的列表中应该象这样的行： 100005 1 udp 1039 mountd 100005 1 tcp 1113 mountd 100005 2 udp 1039 mountd 100005 2 tcp 1113 mountd 100005 3 udp 1039 mountd 100005 3 tcp 1113 mountd 如果没有起来的话可以检查是否安装了PORTMAP组件。 rpm -qa|grep portmap 3、fs type nfs no supported by kernel kernel不支持nfs文件系统，重新编译一下KERNEL就可以解决。 4、can't contact portmapper: RPC: Remote system error - Connection refused 出现这个错误信息是由于SEVER端的PORTMAP没有启动。 5、mount clntudp_create: RPC: Program not registered NFS没有启动起来，可以用showmout -e host命令来检查NFS SERVER是否正常启动起来。 6、mount: localhost:/home/test failed, reason given by server: Permission denied 这个提示是当client要mount nfs server时可能出现的提示，意思是说本机没有权限去mount nfs server上的目录。解决方法当然是去修改NFS SERVER咯。 7、被防火墙阻挡 这个原因很多人都忽视了，在有严格要求的网络环境中，我们一般会关闭linux上的所有端口，当需要使用哪个端口的时候才会去打开。而NFS默认是使用111端口，所以我们先要检测是否打开了这个端口，另外也要检查TCP_Wrappers的设定。 六、NFS安全 NFS的不安全性主要体现于以下4个方面: 1、新手对NFS的访问控制机制难于做到得心应手,控制目标的精确性难以实现 2、NFS没有真正的用户验证机制,而只有对RPC/Mount请求的过程验证机制 3、较早的NFS可以使未授权用户获得有效的文件句柄 4、在RPC远程调用中,一个SUID的程序就具有超级用户权限. 加强NFS安全的方法： 1、合理的设定/etc/exports中共享出去的目录，最好能使用anonuid，anongid以使MOUNT到NFS SERVER的CLIENT仅仅有最小的权限，最好不要使用root_squash。 2、使用IPTABLE防火墙限制能够连接到NFS SERVER的机器范围 iptables -A INPUT -i eth0 -p TCP -s 192.168.0.0/24 --dport 111 -j ACCEPT iptables -A INPUT -i eth0 -p UDP -s 192.168.0.0/24 --dport 111 -j ACCEPT iptables -A INPUT -i eth0 -p TCP -s 140.0.0.0/8 --dport 111 -j ACCEPT iptables -A INPUT -i eth0 -p UDP -s 140.0.0.0/8 --dport 111 -j ACCEPT 3、为了防止可能的Dos攻击，需要合理设定NFSD 的COPY数目。 4、修改/etc/hosts.allow和/etc/hosts.deny达到限制CLIENT的目的 /etc/hosts.allow portmap: 192.168.0.0/255.255.255.0 : allow portmap: 140.116.44.125 : allow /etc/hosts.deny portmap: ALL : deny 5、改变默认的NFS 端口 NFS默认使用的是111端口，但同时你也可以使用port参数来改变这个端口，这样就可以在一定程度上增强安全性。 6、使用Kerberos V5作为登陆验证系统 ---------------------------------------------------------------------------------------------------- 1.什么是NFS(Network FileSystem) NFS 就是 Network FileSystem 的缩写，最早之前是由 Sun 所发展出来的。他最大的功能就是可以透过网络，让不同的机器、不同的操作系统、可以彼此分享个别的档案 ( share file )，所以，也可以简单的将他看做是一个 file server 呢！这个 NFS Server 可以让你的 PC 来将网络远程的 NFS 主机分享的目录，挂载到本地端的机器当中，所以，在本地端的机器看起来，那个远程主机的目录就好象是自己的 partition 一般！ 虽然 NFS 有属于自己的协议与使用的 port number ，但是在资料传送或者其它相关讯息传递的时候， NFS 使用的则是一个称为远程过程调用( Remote Procedure Call, RPC )的协议来协助 NFS 本身的运作！ 2.RPC 当我们在使用某些服务来进行远程联机的时候，有些信息，例如主机的IP、服务的 port number、与对应到的服务之 PID 等等，都需要管理与对应！这些管理 port 的对应与服务相关性的工作，就是这个 Remote Procedure Call, RPC 的任务了 NFS 本身的服务并没有提供资料传递的协议，但是 NFS 却能让我们进行档案的分享，这其中的原因，就是 NFS 使用到一些其它相关的传输协议！而这些传输的协议，就是使用到这个所谓的 RPC 的功能啰！这也就是说， NFS 本身就是使用 RPC 的一个 program 就是了！说的更白话一点， NFS 也可以视作是一个 RPC server 啦！同时要注意到的是，在某些状况中，不但跑 NFS 的 Server 需要激活 RPC 的服务，连带的，要挂载 NFS partition 的 Client 机器，也需要同步激活 RPC 才行！这样 Server 端与 Client 端才能藉由 RPC 的协议来进行 program port 的对应喔！NFS 主要在管理分享出来的目录，而至于资料的传递，就直接将他丢给 RPC 的协议来运作就是了！ 3.NFS 激活的 RPC daemons o rpc.nfsd：这个 daemon 主要的功能就是在管理 Client 是否能够登入主机的权限啦，其中还包含这个登入者的 ID 的判别 o rpc.mountd：这个 daemon 主要的功能，则是在管理 NFS 的档案系统！当 Client 端顺利的通过 rpc.nfsd 而登入主机之后，在他可以使用 NFS server 提供的档案之前，还会经过档案使用权限 ( 就是那个 -rwxrwxrwx 与 owner, group 那几个权限啦 ) 的认证程序！他会去读 NFS 的设定档 /etc/exports 来比对 Client 的权限，当通过这一关之后， Client 就可以取得使用 NFS 档案的权限啦！(注：这个也是我们用来管理 NFS 分享之目录的使用权限与安全设定的地方哩) 4.NFS需要有两个套件才行，分别是: nfs-utils 就是提供 rpc.nfsd 及 rpc.mountd 这两个 NFS daemons 与其它相关 documents 与说明文件、执行档等的套件！这个就是 NFS 的主要套件 portmap 就如同刚刚提的到，我们的 NFS 其实可以被视为一个 RPC server program，而要激活任何一个 RPC server program 之前，我们都需要做好 port 的对应 ( mapping ) 的工作才行，这个工作其实就是『 portmap 』这个服务所负责的！也就是说，在激活任何一个 RPC server 之前，我们都需要激活 portmap 才行呢！那么这个 portmap 到底在干嘛呢？就如同这个服务的名称，哈哈！就是作 port 的 mapping 啊！举个例子来说：当 Client 端尝试来使用 RPC server 所提供的服务时，由于 Client 需要取得一个可以连接的 port 才能够使用 RPC server 所提供的服务，因此， Client 首先就会去跟 portmap 讲『喂！可不可以通知一下，给我个 port number ，好让我可以跟 RPC 联络吧！』这个时候 portmap 就自动的将自己管理的 port mapping 告知 Client ，好让他可以连接上来 server 呢！所以啰：『激活 NFS 之前，请先激活 portmap ！』 5.NFS server端的设定: a)./etc/exports 分享的目录 主机名称1或IP1(参数1，参数2) 主机名称2或IP2(参数3，参数4) b).参数 rw: 可擦写的权限 ro: 只读的权限 no_root_squash: 登入 NFS 主机使用分享目录的使用者，如果是 root 的话，那么对于这个分享的目录来说，他就具有 root 的权限！这个项目『极不安全』，不建议使用！ root_squash: 在登入 NFS 主机使用分享之目录的使用者如果是 root 时，那么这个使用者的权限将被压缩成为匿名使用者，通常他的 UID 与 GID 都会变成 nobody 那个身份； all_squash: 不论登入 NFS 的使用者身份为何，他的身份都会被压缩成为匿名使用者，通常也就是 nobody 啦！ anonuid: 前面关于 *_squash 提到的匿名使用者的 UID 设定值，通常为 nobody，但是你可以自行设定这个 UID 的值！当然，这个 UID 必需要存在于你的 /etc/passwd 当中！ anongid: 同 anonuid ，但是变成 group ID 就是了 sync: 资料同步写入到内存与硬盘当中 async: 资料会先暂存于内存当中，而非直接写入硬盘 6.设置的实例: a). /tmp *(rw,no_root_squash) //*号表示所有的IP都可以访问 b). /tmp *(rw) /home/public 192.168.0.*(rw) *(ro) //下面两行作用一样 /home/public 192.168.0.0/24(rw) *(ro) c). /home/test 192.168.0.100(rw) //只对某部机器设置权限 d). /home/linux *.linux.org(rw,all_squash,anonuid=40,anongid=40) //当*.linux.org登陆此NFS主机，并且在/home/linux下面写入档案时，该档案的所有人与所有组，就会变成/etc/passwd里面对应的UID为40的那个身份的使用者了. 7.权限问题 假设/etc/exports里面的内容为 #vi /etc/exports /tmp *(rw,no_root_squash) /home/public 192.168.0.*(rw) *(ro) /home/test 192.168.0.100(rw) /home/linux *.linux.org(rw,all_squash,anonuid=40,anongid=40) 假设我们在192.168.0.100这个client端登陆此NFS主机(192.168.0.2),那么 情况一:在192.168.0.100的帐号为test这个身份，同时，NFS主机上也有test这个帐号 a).由于NFS主机的/tmp权限为-rwxrwxrwt，所以我(test在192.168.0.100上)在/tmp下面具有存取的权限，并且写入档案的所有人为test. b).在/home/public中，由于我有读写的权限，如果NFS主机在/home/public这个目录的权限对于test开放写入的话，那么就可以读写，并且写入档案的所有人是test。如果NFS主机的/home/public对于test这个使用者并没有开放写入权限时，那就无法写入，虽然/etc/exports里面是rw，也不起作用. c).在/home/test中，权限与/home/public有相同的状态，需要NFS主机的/home/test对于test有开放的权限. d).在/home/linux当中，不论是何种的user,身份都会被变成UID=40的这个帐号 情况二:如果我们在192.168.0.100的身份为test2,但是NFS主机却没有test2这个帐号时 a).在/tmp下还是可以写入，但是写入的档案所有人变成nobody. b).在/home/public与/home/test里面是否可以写入，还需要看/home/public的权限而定，不过身份就被变成nobody了 c)/home/linux下的身份还是变成UID=40的帐号. 情况三:在192.168.0.100的身份为root a).在/tmp里面可以写入，但是由于no_root_squash的参数，改变了预设的root_squash的设定值，所以在/tmp写入档案的所有人为root了. b).在/home/public底下的身份被压缩成了nobody,因为预设的属性都具有root_squash，所以档案所有人就变成了nobody. c)./home/test情况与/home/public相同. d)./home/linux中，root的身份也被压缩成UID=40的那个使用者了 8.启动服务portmap,nfs #/etc/rc.d/init.d/portmap start (or:#service portmap start) #/etc/rc.d/init.d/nfs start (or:#service nfs start) 可以到/var/log/messages里面查看是否正确激活 9.exportfs的用法 如果我们修改了/etc/exports后，并不需要重启nfs服务，只要用exportfs重新扫描一次/etc/exports，并且重新加载即可 语法: exportfs [-aruv] -a: 全部挂载(或卸载) /etc/exports档案内的设定 -r: 重新挂载/etc/exports里面的设定，也同步的更新/etc/exports和/var/lib/nfs/xtab里面的内容 -u:卸载某一目录 -v:在export的时候，将分享的目录显示到荧屏上. 例子 #exportfs -rv //重新export一次 #exportfs -au //全部卸载 10./var/lib/nfs/xtab里面可以查看每个目录的分享权限(但是我怎么也没有找到，靠,找到了，原来要有人mount上nfs后才会出现内容)，如: /tmp node3(ro,sync,wdelay,hide,secure,root_squash,no_all_squash,subtree_check,secure_locks,mapping=identity,anonuid=-2,anongid=-2) 为什么anonuid=-2呢？呵呵！其实它说的是将 65536 - 2 的值，也就是 65534 的那个 UID 啦！对照一下 /etc/passwd ，你就会发现，哇！原来那就是 nobody 的啦 11.showmount命令 语法: showmount [-ae] hostname -a: 显示目前主机与client所连上来的使用目录的状态 -e: 显示hostname的/etc/exports里面共享的目录 12.查看激活的portnumber #netstat -utln nfs 自己所开启的 port ，就是那个 2049 的 port 啦！就是 NFS 主要产生的 port NFS server 在前面我们就提过了，他是 RPC server 的一种，而 NFS 由于提供了多个 program ( 例如 rpc.mountd, rpc.rquotad, rpc.nfsd... ) ，因此就需要激活多个 port 了！而且这些 port 是『随机产生的』，也就是那个 port number 不会是固定的啦！每次 restart nfs 都会得到不一样的 port number 呢！那么 Client 端怎么知道要连接上那个 port 来呼叫需要的 program 呢？呵呵！那就是 sunrpc ( port 111 ) 那个 portmap 服务所产生的 port number 的功用啦！Client 会先连接到 sunrpc 那个 port 去知道应该到那个 port 去呼叫所需要的程序！所以啰， rpc.xxxx 等之类的 daemon 自然就不需要有固定的 port number 啰！ *********************************************** NFS客户端的设定 #mount -t nfs hostname(orIP):/directory /mountpoint 搞定，就这么简单 为了担心会不小心将 NFS 端挂进来的具有 SUID 权限档案的程序执行，root可以将NFS 所分享的目录以较为安全的情况挂载进来，可以 #mount -t nfs -o nosuid,ro hostname:/directory /mountponit 可能出问题的地方: 1.权限的设定不符合 2.忘记了激活portmap,此时会报错: mount: RPC: Port mapper failure - RPC: Unable to receive 或者 mount: RPC: Program not registered 那么，启动portmap，并且重新启动nfs #service portmap start #service nfs restart 3.被防火墙搞掉 重新设置防火墙,包括iptables与TCP_Wrappers,因为激活了portmap，所以port 111必须提供出去.因此在iptables rules中，要增加: iptables -A INPUT -p TCP --dport 111 -j ACCEPT iptables -A INPUT -p UDP --dport 111 -j ACCEPT 如果还不行，那就是TCP_Wrappers的问题，检查/etc/hosts.deny，如果有一行是: ALL: ALL: deny 那就必须在/etc/hosts.allow中增加: portmap: ALL: allow 如果我们的NFS针对内部网络开发，对于外部网络只对学术网络开发(140.0.0.0/8)，可以: iptables -A INPUT -i eth0 -p TCP -s 192.168.0.0/24 --dport 111 -j ACCEPT iptables -A INPUT -i eth0 -p UDP -s 192.168.0.0/24 --dport 111 -j ACCEPT iptables -A INPUT -i eth0 -p TCP -s 140.0.0.0/8 --dport 111 -j ACCEPT iptables -A INPUT -i eth0 -p UDP -s 140.0.0.0/8 --dport 111 -j ACCEPT 还可以使用TCP_Wrappers，在/etc/hosts.allow里面规定连上 NFS 主机的主机 IP 与名称，例如 #vi /.etc/hosts.allow portmap: 192.168.0.0/255.255.255.0 :allow portmap: 140.113.23.23 :allow portmap: .sdu.edu.cn :allow RPC Server的相关命令 rpcinfo #rpcinfo -p hostname(orIP) 要注意的问题: 需要注意的是，由于 NFS 使用的这个 RPC 在 client 端连上主机时，那么你的主机想要关机，那可就会成为『不可能的任务』！我还不知道正确的原因是什么，但是，如果你的 Server 上面还有 Client 在联机，那么你要关机，可能得要等到数个钟头才能够正常的关机成功！嗄！真的假的！不相信吗？不然您自个儿试试看！ ^_^！所以啰，建议您的 NFS Server 想要关机之前，能更先『关掉 portmap 与 nfs 』这两个东西！如果无法正确的将这两个 daemons 关掉，那么先以 netstat -utlp 找出 PID ，然后以 kill 将他关掉先！这样才有办法正常的关机成功喔！这个请特别特别的注意呢！ 在TurboLinux8.0 for AMD64 (kernel 2.4.21-4smp),mount NFS时候报错为: portmap: server localhost not responding, timed out 解决办法: mount -t nfs -o nolock node1:/public /public 即增加-o nolock参数,原因: Unfsd doesn't support NLM locking, and it's causing the lockd daemon to be started (which again requires the portmapper to be installed etc.)
__________________
生活就象是强奸,如果无力反抗那就闭上眼睛好好享受. 工作就象是轮奸,你不行就赶紧让别人换上来. 社会就象是自慰,我们总要用自己的双手来解决自己的问题~！ |
|
|
| 友情连接 | ||||
| 摩托车.上海.中国 | ||||
平板模式
