NFS(Network File System)是由Sun开发的用于网络上文件共享的协议.NFS使用起来很方便,所以得到了广泛的应用.但由于它的认证机制是基于IP地址的,因而容易被攻击. 注意NFS是基于rpc机制的,所以portmap服务一定要打开. 在RedHat中: /etc/rc.d/init.d/nfs ... [ -f /usr/sbin/rpc.nfsd ] exit 0 [ -f /usr/sbin/rpc.mountd ] exit 0 [ -f /etc/eXPorts ] exit 0 # See how we were called. case "$1" in start) # Start daemons. echo -n "Starting NFS services: " daemon rpc.mountd daemon rpc.nfsd echo toUCh /var/lock/subsys/nfs ;; ... 可以看出由三个重要文件,rpc.mountd,rpc.nfsd,/etc/exports. rpc.nfsd 用于处理客户文件系统的请求. rpc.mountd 但从一个NFS客户受到一个mount请求,根据/etc/exports来决 定是否提供服务,如果被允许,rpc.mountd创建一个文件句柄并在 /etc/rmtab中加上一条纪录.该记录在umount时被删除. /etc/exports NFS的配置文件. 例如: 这里有四台机器:192.168.1.1 192.168.1.2 192.168.1.3 192.168.1.4 在192.168.1.1上: /etc/exports包含下面一条: /home/FTP/pub 192.168.1.0/255.255.255.0(ro) 在192.168.1.2上: showmount -e 192.168.1.1 /home/ftp/pub ro mount 192.168.1.1:/home/ftp/pub /mnt 这样在192.168.1.2上就可以自由的访问192.168.1.1的 /home/ftp/pub下的文件,仿佛它们就存在/mnt下. /etc/exports的配置规则: 每一条都有下面的形式: Directory machine_name(option) directory就是本地的一个目录. machine_name描述那些及其有权利访问该目录. option描述了提供了什么样的服务,或者说客户有什么样的权利. machine_name的格式: single host: 一个机器名或一个ip地址. /tmp friday(ro) /tmp 192.168.1.3(ro) wildcard:使用了通配符,* 或 ?. /tmp *.cs.foo.edu(ro) IP 子网: 如: 192.168.1.0/255.255.255.0 =public: 所有机器都有权利. option: ro 只读 rw 读写 noAccess 无权 link_relative/link_absolute 对符号连接的处理,前者是 加上"./",后者是保持不便. 在NFS中存在一个anonymous用户用于处理用户的访问权限. root_squash/no_root_squash:是否将root映射到anonymous. squash_uid/squash_gid/all_squash: 如何处理用户的uid和gid. map_static:启动静态映射. 如: map_static=/etc/nfs/Foobar.map /etc/nfs/foobar.map # remote local uid 0-99 - #squash uid 100-500 1000 gid 0-49 - #squash gid 50-100 700 一个复杂的例子: / master(rw) trusty(rw,no_root_squash) /usr *.local.domain(ro) /project proj*.local.domain(rw) /pub =public(ro) /pub/private (noaccess) 由于它的认证机制是基于IP地址的,因而容易被ip-spoofing攻击. 一般除非必要不要打开这项服务.
[1] [2] 下一页
（出处：http://www.sheup.com）
上一页 [1] [2]