任務(wù)10 使用NFS配置文件服務(wù)器

任務(wù)10使用NFS配置文件服務(wù)器

任務(wù)引入

在某企業(yè)網(wǎng)中，不同部門(mén)位于不同的子網(wǎng)（如圖10.1所示）。其中設(shè)計(jì)部網(wǎng)絡(luò)地址為/24，市場(chǎng)部網(wǎng)絡(luò)地址為/24，設(shè)計(jì)部和市場(chǎng)部部門(mén)經(jīng)理主機(jī)的IP地址分別為和，所有主機(jī)均采用Linux操作系統(tǒng)?，F(xiàn)要求設(shè)置一臺(tái)文件共享服務(wù)器，供不同用戶群使用。具體要求如下：/home/public：允許所有客戶訪問(wèn)，但只有經(jīng)理有寫(xiě)權(quán)限，其他用戶為只讀權(quán)限/home/desing：只允許設(shè)計(jì)部的用戶訪問(wèn)，有讀寫(xiě)權(quán)限/home/market：只允許市場(chǎng)部的用戶訪問(wèn)，有讀寫(xiě)權(quán)限圖10.1企業(yè)NFS網(wǎng)絡(luò)拓樸圖任務(wù)實(shí)施流程

要實(shí)現(xiàn)Linux系統(tǒng)間文件共享，可通過(guò)NFS實(shí)現(xiàn)。具體實(shí)施流程如下：1.安裝NFS服務(wù)器軟件和客戶端2.建立共享目錄及權(quán)限3.配置NFS服務(wù)器4.配置NFS客戶端10.1NFS原理

10.1.1NFS概述NFS（NetworkFilesSystem）是網(wǎng)絡(luò)文件系統(tǒng)的縮寫(xiě)，由Sun公司于1980年開(kāi)發(fā)，用于在Unix操作系統(tǒng)間實(shí)現(xiàn)磁盤(pán)文件共享，Linux操作系統(tǒng)出現(xiàn)后，被Linux所繼承，并已經(jīng)成為文件服務(wù)的一種標(biāo)準(zhǔn)（RFC1904、RFC1813和RFC3010）。通過(guò)網(wǎng)絡(luò)，NFS可以在不同文件系統(tǒng)間共享文件。用戶不必關(guān)心所用計(jì)算機(jī)的型號(hào)、操作系統(tǒng)等信息，只要用mount命令將遠(yuǎn)程服務(wù)器的共享目錄掛載在本地文件系統(tǒng)下，就可如同使用本地文件一樣使用遠(yuǎn)程共享資源。NFS目前共有三個(gè)版本：NFSv2、NFSv3和NFSv4。其中NFSv2、NFSv3依賴RPC（遠(yuǎn)程過(guò)程調(diào)用）與外部通信，下層傳輸協(xié)議可以是TCP或UDP。10.1.2NFS工作原理NFS的具體工作流程如下:（1）NFS注冊(cè)：當(dāng)NFS啟動(dòng)時(shí)，會(huì)隨機(jī)選擇工作端口并向RPC注冊(cè)（RPC工作于111端口），RPC會(huì)記錄NFS的端口形成端口映射表（PORTMAP）。（2）RPC請(qǐng)求：當(dāng)客戶端需要NFS服務(wù)時(shí)，會(huì)向NFS服務(wù)器工作于111端口的RPC提交RPC，并明確NFS服務(wù)。（3）PC響應(yīng)：RPC查找端口映射表，并將結(jié)果返回給客戶端。（4）通信：客戶端得到正確的NFS端口后，就直接與NFS進(jìn)程來(lái)聯(lián)機(jī)，請(qǐng)求服務(wù)，NFS服務(wù)器經(jīng)權(quán)限認(rèn)證后將允許客戶端對(duì)共享資源進(jìn)行數(shù)據(jù)訪問(wèn)。10.2NFS的安裝和啟動(dòng)

NFS服務(wù)器上要安裝的軟件主要有3個(gè)：nfs-kernel-server：LinuxNFS服務(wù)器。nfs-common：NFS通用程序。portmap：RPC端口映射程序。對(duì)于NFS客戶端僅需要安裝nfs-common和portmap這兩個(gè)程序就可。服務(wù)器的安裝，命令如下：[root@server~]#apt-getupdate[root@server~]#apt-getinstallnfs-kernel-servernfs-commonportmap安裝好后，可以查詢一下NFS程序是否正常運(yùn)行。[root@server~]#rpcinfo–pNFS服務(wù)未能成功運(yùn)行，可采用以下命令啟動(dòng)。[root@server~]#/etc/init.d/nfs-kernel-serverstart在以上命令中若用stop參數(shù)則表示停止NFS服務(wù)。[root@server~]#/etc/init.d/nfs-kernel-serverstop10.2配置NFS服務(wù)器

NFS主要有一個(gè)共享主配置文件（/etc/exports），另外是控制訪問(wèn)安全的配置文件（/etc/hosts.allow、/etc/hosts.deny）。1．exports文件的文件格式/etc/exports是NFS的主配置文件，該文件主要用來(lái)定義服務(wù)器上哪幾個(gè)目錄與網(wǎng)絡(luò)中其他計(jì)算機(jī)共享，以及共享的規(guī)則怎樣。其定義的格式如下：<目錄><主機(jī)1>（參數(shù)）[<主機(jī)2>（參數(shù)）<主機(jī)n>（參數(shù)）]其中各項(xiàng)目含義如下：目錄：用來(lái)定義需要共享的目錄，包括該目錄下的子目錄及目錄中的所有文件。描述時(shí)使用目錄的全路徑（絕對(duì)路徑）。主機(jī)：指允許訪問(wèn)共享目錄的客戶端主機(jī)?？芍付ㄖ鳈C(jī)的IP、DNS名稱、網(wǎng)段、DNS區(qū)域等，若不指定，則所有客戶端均匹配。具體指定方法如下（見(jiàn)表10.1）。主機(jī)指定方法示例說(shuō)明指定單一主機(jī)IP地址為的主機(jī)FQDN為的主機(jī)指定網(wǎng)段192.168.0.*位于/24網(wǎng)段的主機(jī)/24/指定DNS區(qū)域*.DNS后綴為的主機(jī)所有主機(jī)*所有訪問(wèn)NFS服務(wù)器的主機(jī)參數(shù)：用來(lái)指定訪問(wèn)服務(wù)器的主機(jī)共享目錄時(shí)的限制參數(shù)。rw:（read-write）：有可讀、可寫(xiě)的權(quán)限。ro（read-only）：具有只讀權(quán)限。這是默認(rèn)選項(xiàng)。root_squash：當(dāng)來(lái)訪問(wèn)的客戶端的用戶是root用戶時(shí)，將其映射成NFS服務(wù)器的匿名用戶，通常他的UID和GID都會(huì)變成nobody（nfsnobody）的系統(tǒng)賬號(hào)的身份，擁有不高的權(quán)限。no_root_squash：當(dāng)來(lái)訪問(wèn)的客戶端的用戶是root用戶時(shí)，將其映射成NFS服務(wù)器的root用戶。這個(gè)設(shè)置“極不安全”，不建議使用。all_squash：不論登錄NFS服務(wù)器的用戶是什么身份，一律映射成匿名用戶的身份。這是系統(tǒng)默認(rèn)選項(xiàng)。anonid（anonymousuid）：設(shè)置匿名用戶的UID值，即將來(lái)訪者的身份映射成所指定UID的用戶。注意，此UID值應(yīng)在/etc/passwd文件中存在。anogid（anonymousgroupid）：設(shè)置匿名用戶的組ID值，即將來(lái)訪者的用戶身份映射成指定的用戶組。sync：將數(shù)據(jù)同步寫(xiě)入內(nèi)在和硬盤(pán)，保持?jǐn)?shù)據(jù)同步。這是默認(rèn)選項(xiàng)。async：先將數(shù)據(jù)暫存在內(nèi)存，再回寫(xiě)到硬盤(pán)。這樣可以提高效率，但也有可能造成數(shù)據(jù)丟失。例：下列命令共享/home/design目錄，允許主機(jī)可訪問(wèn)且有讀寫(xiě)權(quán)限，其他主機(jī)可訪問(wèn)但僅有只讀權(quán)限/home/design(rw)*(ro)2．共享目錄權(quán)限在/etc/exports文件中可以通過(guò)設(shè)置主機(jī)參數(shù)為“rw”，允許客戶機(jī)對(duì)共享目錄具有寫(xiě)權(quán)限。但在Linux系統(tǒng)中，無(wú)論用戶是從本地登錄還是通過(guò)網(wǎng)絡(luò)遠(yuǎn)程訪問(wèn)，最終目錄的讀寫(xiě)權(quán)限要由實(shí)際目錄的系統(tǒng)權(quán)限所決定。也就是說(shuō)即使在NFS配置中允許客戶機(jī)有了寫(xiě)權(quán)限，但有可能還是無(wú)法寫(xiě)。3．用戶訪問(wèn)權(quán)限NFS本身并沒(méi)有用戶身份驗(yàn)證的功能，但可通過(guò)一些標(biāo)準(zhǔn)來(lái)識(shí)別用戶，并給予用戶相應(yīng)的訪問(wèn)權(quán)限，這些標(biāo)準(zhǔn)主要有如下3種。（1）root賬號(hào)基于安全考慮，在通常情況下，當(dāng)客戶端以root賬號(hào)去訪問(wèn)NFS服務(wù)器時(shí)，NFS會(huì)將其改成匿名用戶，即root賬號(hào)只能具有NFS服務(wù)器上的匿名用戶權(quán)限。但通過(guò)設(shè)置no_root_squash參數(shù)，可以使root賬號(hào)在NFS上具有對(duì)共享目錄的root權(quán)限。（2）NFS服務(wù)器上有客戶端的賬號(hào)（UID、GID）客戶端根據(jù)用戶的UID和GID來(lái)訪問(wèn)遠(yuǎn)程資源，如果NFS服務(wù)器上有相應(yīng)的UID或GID（名稱可能不同），且用戶身份沒(méi)有映射成NFS服務(wù)器的其他身份，則可訪問(wèn)與客戶端同名的資源。（3）NFS服務(wù)器上沒(méi)有客戶端的賬號(hào)客戶端只能訪問(wèn)匿名資源。由于NFS服務(wù)器與客戶端賬號(hào)不一致可能會(huì)造成身份的混亂，因此最好將來(lái)訪者身份進(jìn)行映射，映射成匿名身份或其他指定的UID、GID。4.重啟NFS服務(wù) NFS配置好后需重啟NFS，重啟NFS服務(wù)的命令如下。/etc/init.d/nfs-kernel-serverrestart5．設(shè)置主機(jī)訪問(wèn)控制列表通過(guò)設(shè)置/etc/hosts.deny和/etc/hosts.allow這兩個(gè)文件，可以指定哪些主機(jī)可以使用NFS服務(wù)，哪些主機(jī)拒絕使用NFS服務(wù)，從而提高NFS的安全性。這兩個(gè)配置文件的基本格式如下：程序名列表：主機(jī)名列表/IP地址列表例如：設(shè)置僅/24網(wǎng)段和主機(jī)使用服務(wù)，配置如下：[root@server~]#vi/etc/hosts.denyportmap

mountd

nfsd

statd

lockd

rquotad:all[root@server~]#vi/etc/hosts.allowportmap

mountd

nfsd

statd

lockdrquotad:/24[root@server~]#/etc/init.d/portmaprestart10.3NFS客戶端配置與使用

1．查看NFS服務(wù)器信息查看NFS服務(wù)器上的共享資源，可通過(guò)showmount命令實(shí)現(xiàn)。該命令的語(yǔ)法格式如下：showmount[選項(xiàng)][服務(wù)器]選項(xiàng)：-a：查看服務(wù)器上的共享目錄和所有連接客戶端信息。-d：僅顯示被客戶端使用的共享目錄信息-e：顯示服務(wù)器上所有的共享目錄例如，查看IP地址為的NFS服務(wù)器上的共享資源信息。[root@server~]#/showmount-eExportlistfor:/tmp*/home/public2.掛載NFS共享目錄了解了NFS服務(wù)器的共享信息后，可通過(guò)mount命令將服務(wù)器的共享目錄掛載到本地，掛載好后就可如同本地文件一樣進(jìn)行使用。例：將IP為的NFS服務(wù)器上的/tmp共享目錄掛載到本地的/mnt/nfs目錄。[root@server~]#mount-tnfs:/tmp/mnt/nfs例如：掛載服務(wù)器上的/home/public共享目錄，并在其中建立一個(gè)file子目錄（設(shè)有寫(xiě)權(quán)限），掛載點(diǎn)為/mnt/nfs目錄[root@server~]#mkdir/mnt/nfs[root@server~]#mount:/home/public/mnt/nfs[root@server~]#cd/mnt/nfs[root@server~]#mkdirfile3．卸載NFS文件系統(tǒng)使用umount命令可將掛載的目錄卸載。例如：將上述掛載的/mnt/nfs目錄卸載。[root@server~]#umount/mnt/nfs4．啟動(dòng)時(shí)自動(dòng)掛載NFS有時(shí)我們需要在Linux系統(tǒng)啟動(dòng)時(shí)自動(dòng)掛載NFS文件系統(tǒng)，而不用每次都用mount命令手工掛載。Linux自動(dòng)掛載文件系統(tǒng)是在/etc/fstab文件定義的。任務(wù)實(shí)施

1．創(chuàng)建用戶和用戶組[root@server~]#groupadd-g501market#創(chuàng)建市場(chǎng)部所在組[root@server~]#groupadd-g502design#創(chuàng)建設(shè)計(jì)部所在組[root@server~]#groupadd-g503manager#創(chuàng)建經(jīng)理所在組[root@server~]#useradd-gmanager-u902zhaoyong#創(chuàng)建市場(chǎng)部經(jīng)理趙勇的賬號(hào)并指定UID為902[root@server~]#useradd-gmanager–u903zhaoyu

#創(chuàng)建設(shè)計(jì)部經(jīng)理趙宇的賬號(hào)并指定UID為9032．創(chuàng)建共享目錄并設(shè)置權(quán)限。[root@server~]#mkdir/home/public[root@server~]#mkdir/home/design[root@server~]#mkdir/home/market#創(chuàng)建共享目錄[root@server~]#chmod

g+w/home/public[root@server~]#chmod

g+w/home/design[root@server~]#chmod

g+w/home/market#修改3個(gè)目錄權(quán)限，設(shè)置對(duì)所屬用戶組可寫(xiě)[root@server~]#chgrpmanager/home/public[root@server~]#