NFS為Network FileSystem的簡稱，最早之前是由Sun這家公司所發展出來的，他的目的就是想讓不同的機器、不同的作業系統可以彼此分享個別的檔案啦！目前在Unix Like當中用來做為file server是相當不錯的一個方案喔！基本上，Unix Like主機連接到另一部Unix Like主機來分享彼此的檔案時，使用NFS要比SAMBA這個伺服器快速且方便的多了！此外，NFS的設定真的很簡單，幾乎只要記得啟動Remote Procedure Call這個咚咚(RPC,就是portmap這個套件啦！)就一定可以架設的起來！真是不錯啊！不過，如果要達成Windows與Linux之間的溝通，那麼還是以SAMBA比較容易啊！無論如何，NFS還是可以做為小公司或學校單位內部Unix Like機器共享file的一個Server喔！

1.本章的行前準備工作
2.NFS的由來與其功能
　　2.1什麼是NFS(Network FileSystem)
　　2.2什麼是RPC(Remote Procedure Call)
　　2.3NFS啟動的RPC daemons
　　2.4NFS的檔案存取權限
3.NFS Server端的設定
　　3.1所需要的套件
　　3.2NFS的套件結構
　　3.3/etc/exports設定檔的語法與參數
　　3.4啟動NFS：rpcinfo
　　3.5NFS的連線觀察：showmount,/var/lib/nfs/etab,exportfs
　　3.6NFS的安全性
4.NFS用戶端的設定
　　4.1遠端NFS伺服器的掛載
　　4.2用戶端可處理的掛載參數與開機掛載
　　4.3無法掛載的原因分析
　　4.4自動掛載autofs的使用
5.案例演練
6.重點回顧
7.課後練習
8.參考資料
9.針對本文的建議：http://phorum.vbird.org/viewtopic.php?p=114695

本章的行前準備工作

必須要瞭解檔案系統的權限概念，可以參考基礎篇的Linux檔案屬性與目錄配置
瞭解網路基礎，防火牆與關閉SELinux模組等等。

NFS的由來與其功能

什麼是NFS(Network FileSystem)

Sun

可以透過網路，讓不同的機器、不同的作業系統、可以彼此分享個別的檔案(share files)

遠端主機的目錄就好像是自己的一個磁碟分割槽一樣(partition)！使用上面相當的便利！

圖一、NFS主機分享目錄與Client掛載示意圖

socket pair

因為NFS用來傳輸的port是隨機選擇小於1024以下的埠口來使用的

遠端程序呼叫(Remote Procedure Call,RPC)

什麼是RPC(Remote Procedure Call)

RPC最主要的功能就是在指定每個NFS功能所對應的port number，並且回報給用戶端，讓用戶端可以連結到正確的埠口上去

當伺服器在啟動NFS時會隨機取用數個埠口，並主動的向RPC註冊，因此RPC可以知道每個埠口對應的NFS功能

圖二、NFS與RPC服務及檔案系統操作的相關性

用戶端會向伺服器端的RPC(port 111)發出NFS檔案存取功能的詢問要求；
伺服器端找到對應的已註冊的NFS daemon埠口後，會回報給用戶端；

用戶端瞭解正確的埠口後，就可以直接與NFS daemon來連線。

NFS啟動的RPC daemons

rpc.nfsd：
這個daemon主要的功能就是在管理Client是否能夠登入主機的權限啦，其中還包含這個登入者的ID的判別喔！

rpc.mountd
這個daemon主要的功能，則是在管理NFS的檔案系統哩！當Client端順利的通過rpc.nfsd而登入主機之後，在他可以使用NFS伺服器提供的檔案之前，還會經過檔案使用權限(就是那個-rwxrwxrwx與owner,group那幾個權限啦)的認證程序！他會去讀NFS的設定檔/etc/exports來比對Client的權限，當通過這一關之後Client就可以取得使用NFS檔案的權限啦！(註：這個也是我們用來管理NFS分享之目錄的使用權限與安全設定的地方哩！)

rpc.lockd(非必要)
這個玩意兒可以用在管理檔案的鎖定(lock)用途。為何檔案需要『鎖定』呢？因為既然分享的NFS檔案可以讓用戶端使用，那麼當多個用戶端同時嘗試寫入某個檔案時，就可能對於該檔案造成一些問題啦！這個rpc.lockd則可以用來克服這個問題。但rpc.lockd必須要同時在用戶端與伺服器端都開啟才行喔！此外，rpc.lockd也常與rpc.statd同時啟用。

rpc.statd(非必要)
可以用來檢查檔案的一致性，與rpc.lockd有關！若發生因為用戶端同時使用同一檔案造成檔案可能有所損毀時，rpc.statd可以用來檢測並嘗試回復該檔案。與rpc.lockd同樣的，這個功能必須要在伺服器端與用戶端都啟動才會生效。

NFS的檔案存取權限

圖一

因為NFS本身的服務並沒有進行身份登入的識別

伺服器端會以用戶端的使用者UID與GID等身份來嘗試讀取伺服器端的檔案系統

如果用戶端與伺服器端的使用者身份並不一致怎麼辦？

圖三、NFS的伺服器端與用戶端的使用者身份確認機制

檔案系統的inode所記錄的屬性為UID,GID而非帳號與群組名

NFS server/NFS client剛好有相同的帳號與群組
則此時使用者可以直接以dmtsai的身份進行伺服器所提供的檔案系統之存取。
NFS server的501這個UID帳號對應為vbird
若NFS伺服器上的/etc/passwd裡面UID 501的使用者名稱為vbird時，則用戶端的dmtsai可以存取伺服器端的vbird這個使用者的檔案喔！只因為兩者具有相同的UID而已。這就造成很大的問題了！因為沒有人可以保證用戶端的UID所對應的帳號會與伺服器端相同，那伺服器所提供的資料不就可能會被錯誤的使用者亂改？
NFS server並沒有501這個UID
另一個極端的情況是，在伺服器端並沒有501這個UID的存在，則此時dmtsai的身份在該目錄下會被壓縮成匿名者，一般NFS的匿名者會以UID為65534為其使用者，早期的Linux distributions這個65534的帳號名稱通常是nobody，我們的CentOS則取名為nfsnobody。
如果使用者身份是root時
有個比較特殊的使用者，那就是每個Linux主機都有的UID為0的root。想一想，如果用戶端可以用root的身份去存取伺服器端的檔案系統時，那伺服器端的資料哪有什麼保護性？所以在預設的情況下，root的身份會被主動的壓縮成為匿名者。

NFS伺服器有開放可寫入的權限(與/etc/exports設定有關)；

實際的檔案權限具有可寫入(w)的權限。

所以NFS通常需要與NIS這一個可以確認用戶端與伺服器端身份一致的服務搭配使用，

NFS Server端的設定

所需要的套件

NFS主程式：nfs-utils

RPC主程式：portmap

portmap

nfs-utils

好了，知道我們需要這兩個套件之後，現在幹嘛？趕快去您的系統先用RPM看一下有沒有這兩個套件啦！沒有的話趕快用RPM或yum去安裝喔！不然就玩不下去了！

例題：
請問我的主機是以RPM為套件管理的Linux distribution，例如Red Hat,CentOS與SuSE等版本，那麼我要如何知道我的主機裡面是否已經安裝了portmap與nfs相關的套件呢？
答：

yum

NFS的套件結構

/etc/exports
這個檔案就是NFS的主要設定檔了！不過，系統並沒有預設值，所以這個檔案『不一定會存在』，您可能必須要使用vi主動的建立起這個檔案喔！我們等一下要談的設定也僅只是這個檔案而已吶！

/usr/sbin/exportfs
這個是維護NFS分享資源的指令，我們可以利用這個指令重新分享/etc/exports變更的目錄資源、將NFS Server分享的目錄卸載或重新分享等等，這個指令是NFS系統裡面相當重要的一個喔！至於指令的用法我們在底下會再介紹。

/usr/sbin/showmount
這是另一個重要的NFS指令。exportfs是用在NFS Server端，而showmount則主要用在Client端。這個showmount可以用來察看NFS分享出來的目錄資源喔！

/var/lib/nfs/*tab
在NFS伺服器的登錄檔都放置到/var/lib/nfs/目錄裡面，在該目錄下有兩個比較重要的登錄檔，一個是etab，主要記錄了NFS所分享出來的目錄的完整權限設定值；另一個xtab則記錄曾經連結到此NFS主機的相關用戶端資料。

/etc/exports設定檔的語法與參數

NFS會直接使用到核心功能，所以你的核心必須要有支援NFS才行。

你只要編輯好主要設定檔/etc/exports之後，先啟動portmap，然後再啟動nfs，你的NFS就成功了！


[root@linux ~]# vi /etc/exports
/tmp         192.168.1.0/24(ro)   localhost(rw)   *.ev.ncku.edu.tw(ro,sync)
# [分享目錄] [第一部主機(權限)]   [可用主機名]    [可用萬用字元]

可以使用完整的IP或者是網域，例如192.168.1.10或192.168.1.0/24，或192.168.1.0/255.255.255.0都可以接受！

可以使用主機名稱，這個主機名稱要在/etc/hosts內或使用DNS可以被找到才行啊！重點是可找到IP就是了。如果是主機名稱的話，那麼他可以支援萬用字元，例如*或?均可接受。

rw：read-write，可讀寫的權限；
ro：read-only，唯讀的權限；
sync：資料同步寫入到記憶體與硬碟當中；
async：資料會先暫存於記憶體當中，而非直接寫入硬碟！
no_root_squash：
登入NFS主機使用分享目錄的使用者，如果是root的話，那麼對於這個分享的目錄來說，他就具有root的權限！這個項目『極不安全』，不建議使用！
root_squash：
在登入NFS主機使用分享之目錄的使用者如果是root時，那麼這個使用者的權限將被壓縮成為匿名使用者，通常他的UID與GID都會變成nobody(nfsnobody)那個系統帳號的身份；
all_squash：
不論登入NFS的使用者身份為何，他的身份都會被壓縮成為匿名使用者，通常也就是nobody(nfsnobody)啦！
anonuid：
anon意指anonymous(匿名者)前面關於*_squash提到的匿名使用者的UID設定值，通常為nobody(nfsnobody)，但是您可以自行設定這個UID的值！當然，這個UID必需要存在於您的/etc/passwd當中！
anongid：同anonuid，但是變成group ID就是了！

思考一：讓root保有root的權限

思考二：同一目錄針對不同範圍開放不同權限


[root@linux ~]# vi /etc/exports
/tmp          *(rw,no_root_squash)
/home/public  192.168.0.0/24(rw)    *(ro)
# 繼續累加在後面，注意，我有將主機與網域分為兩段 (用空白隔開) 喔！

思考三：僅給某個單一主機使用的目錄設定

思考四：開放匿名登入的情況


[root@linux ~]# vi /etc/exports
/tmp          *(rw,no_root_squash)
/home/public  192.168.0.0/24(rw)    *(ro)
/home/test    192.168.0.100(rw)
/home/linux   *.linux.org(rw,all_squash,anonuid=40,anongid=40)
# 如果要開放匿名，那麼重點是 all_squash，並且要配合 anonuid 喔！

上面四個案例的權限如果依照前一小節的存取設定權限來思考的話，那麼權限會是什麼情況呢？讓我們來檢查一下：

用戶端與主機端具有相同的UID與帳號：
用戶端與主機端的帳號並未相同時：
當用戶端的身份為root時：
這樣的權限講解之後，您可以瞭解了嗎？這裡是最重要的地方，如果這一關通過了，底下的咚咚就沒有問題啦！^_^！當然啦，您還是得要回到前一小節NFS的檔案存取權限好好的瞧一瞧，才能解決NFS的問題喔！

啟動NFS


[root@linux ~]# /etc/init.d/portmap start
# 如果 portmap 本來就已經在執行了，那就不需要啟動啊！

[root@linux ~]# /etc/init.d/nfs start
# 有時候可能會出現如下的警告訊息：
exportfs: /etc/exports [3]: No 'sync' or 'async' option specified 
for export "192.168.0.100:/home/test".
  Assuming default behaviour ('sync').
# 上面的警告訊息僅是在告知因為我們沒有指定 sync 或 async 的參數，
# 則 NFS 將預設會使用 sync 的資訊而已。妳可以不理他，也可以加入 /etc/exports。

[root@linux ~]# vi /etc/exports
/tmp          *(rw,no_root_squash,sync)
/home/public  192.168.0.0/24(rw,sync)    *(ro,sync)
/home/test    192.168.0.100(rw,sync)
/home/linux   *.linux.org(rw,all_squash,anonuid=40,anongid=40,sync)

[root@linux ~]# /etc/init.d/nfs restart

啟動之後，會出現一個port 111的sunrpc的服務，那就是portmap啦


[root@linux ~]# /etc/init.d/nfslock start


[root@linux ~]# vi /var/log/messages
Sep 22 00:01:37 linux nfs: Starting NFS services:  succeeded
Sep 22 00:01:37 linux nfs: rpc.rquotad startup succeeded
Sep 22 00:01:37 linux nfsd[1050]: nfssvc_versbits: +2 +3 +4
Sep 22 00:01:37 linux nfs: rpc.nfsd startup succeeded
Sep 22 00:01:37 linux nfs: rpc.mountd startup succeeded
Sep 22 00:01:37 linux rpcidmapd: rpc.idmapd -SIGHUP succeeded


[root@linux ~]# netstat -ultn
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address  Foreign Address State   PID/Program name
tcp        0      0 0.0.0.0:2049   0.0.0.0:*       LISTEN  -
tcp        0      0 0.0.0.0:803    0.0.0.0:*       LISTEN  1047/rpc.rquotad
tcp        0      0 0.0.0.0:111    0.0.0.0:*       LISTEN  32503/portmap
tcp        0      0 0.0.0.0:819    0.0.0.0:*       LISTEN  1064/rpc.mountd
udp        0      0 0.0.0.0:2049   0.0.0.0:*               -
udp        0      0 0.0.0.0:800    0.0.0.0:*               1047/rpc.rquotad
udp        0      0 0.0.0.0:816    0.0.0.0:*               1064/rpc.mountd
udp        0      0 0.0.0.0:111    0.0.0.0:*               32503/portmap

portmap啟動的port在111；
NFS啟動的port在2049；

其他rpc.daemons啟動的port則是隨機產生的，因此需向port 111註冊。


[root@linux ~]# rpcinfo [-p] [IP|hostname]
參數：
-p ：顯示出所有的 port 與 porgram 的資訊；

範例一：顯示出目前這部主機的 RPC 狀態
[root@linux ~]# rpcinfo -p localhost
   program vers proto   port
    100000    2   tcp    111  portmapper
    100000    2   udp    111  portmapper
    100011    1   udp    800  rquotad
    100011    2   udp    800  rquotad
    100011    1   tcp    803  rquotad
    100011    2   tcp    803  rquotad
    100003    2   udp   2049  nfs
    100003    3   udp   2049  nfs
    100003    2   tcp   2049  nfs
    100003    3   tcp   2049  nfs
    100005    1   udp    816  mountd
    100005    1   tcp    819  mountd
    100005    2   udp    816  mountd
    100005    2   tcp    819  mountd
    100005    3   udp    816  mountd
    100005    3   tcp    819  mountd
#         NFS版本       埠口  服務名稱

NFS的連線觀察


[root@linux ~]# showmount [-ae] [hostname|IP]
參數：
-a ：顯示目前主機與用戶端的 NFS 連線分享的狀態；
-e ：顯示某部主機的 /etc/exports 所分享的目錄資料。

範例一：請顯示出剛剛我們所設定好的相關 exports 資訊
[root@linux ~]# showmount -e localhost
Export list for localhost:
/tmp         *
/home/linux  *.linux.org
/home/public (everyone)
/home/test   192.168.0.100


[root@linux ~]# tail /var/lib/nfs/etab
/home/public    *(ro,sync,wdelay,hide,nocrossmnt,secure,root_squash,no_all_squash,
subtree_check,secure_locks,mapping=identity,anonuid=-2,anongid=-2)
# 上面是同一行，可以看出除了 ro, sync, root_squash 等等，
# 其實還有 anonuid 及 anongid 等等的設定！

/tmp    *(rw,sync,wdelay,hide,nocrossmnt,secure,no_root_squash,no_all_squash,subtr
ee_check,secure_locks,mapping=identity,anonuid=-2,anongid=-2)
# 同樣的，在 /tmp 也有很多的權限相關的參數喔！

如果有其他用戶端掛載了妳的NFS檔案系統時，那麼該用戶端與檔案系統資訊就會被記錄到/var/lib/nfs/xtab裡頭去的


[root@linux ~]# exportfs [-aruv]
參數：
-a ：全部掛載(或卸載) /etc/exports 檔案內的設定
-r ：重新掛載 /etc/exports 裡面的設定，此外，亦同步更新 /etc/exports
     及 /var/lib/nfs/xtab 的內容！
-u ：卸載某一目錄
-v ：在 export 的時候，將分享的目錄顯示到螢幕上！

範例一：重新掛載一次 /etc/exports 的設定
[root@linux ~]# exportfs -arv
exporting 192.168.0.100:/home/test
exporting 192.168.0.0/24:/home/public
exporting *.linux.org:/home/linux
exporting *:/home/public
exporting *:/tmp

範例二：全部都卸載
[root@linux ~]# exportfs -auv

NFS的安全性

利用iptables做大範圍連線的限制：

防火牆與NAT


[root@linux ~]# vi /usr/local/virus/iptables/iptables.allow
iptables -A INPUT -i $EXTIF -p TCP -s 192.168.0.0/24 --dport 111 -j ACCEPT
iptables -A INPUT -i $EXTIF -p UDP -s 192.168.0.0/24 --dport 111 -j ACCEPT
iptables -A INPUT -i $EXTIF -p TCP -s 140.116.0.0/16 --dport 111 -j ACCEPT
iptables -A INPUT -i $EXTIF -p UDP -s 140.116.0.0/16 --dport 111 -j ACCEPT

利用TCP Wrappers限制

rpcinfo


[root@linux ~]# vi /etc/hosts.allow
# 讓來自 140.116.44.0/255.255.255.0 的主機可以使用 mountd
mountd: 140.116.44.0/255.255.255.0

[root@linux ~]# vi /etc/hosts.deny
# 讓所有人都不能使用 mountd
mountd: ALL

使用/etc/exports設定更安全的權限
更安全的partition規劃：
NFS伺服器關機前的注意事項：

NFS用戶端的設定

遠端NFS伺服器的掛載

確認本地端已經啟動了portmap服務！
掃瞄NFS伺服器分享的目錄有哪些，並瞭解我們是否可以使用(showmount)；
在本地端建立預計要掛載的掛載點目錄(mkdir)；

利用mount將遠端主機直接掛載到相關目錄。


[root@linux ~]# /etc/init.d/portmap start
[root@linux ~]# /etc/init.d/nfslock start
# 一般來說，系統預設會啟動 portmap ，不過鳥哥之前關閉過，所以要啟動。
# 另外，如果伺服器端有啟動 nfslock 的話，用戶端也要啟動才能生效！

[root@linux ~]# showmount -e 192.168.0.2
Export list for 192.168.0.2:
/tmp         *
/home/linux  *.linux.org
/home/public (everyone)   <==這是等一下我們要掛載的目錄
/home/test   192.168.0.100


[root@linux ~]# mkdir -p /home/nfs/public

[root@linux ~]# mount -t nfs 192.168.0.2:/home/public /home/nfs/public
# 注意一下掛載的語法！『 -t nfs 』指定檔案系統類型，
# IP:/dir 則是指定某一部主機的某個提供的目錄！

[root@linux ~]# df
Filesystem    1K-blocks      Used Available Use% Mounted on
....中間省略....
192.168.0.2:/home/public
               10080512   2135072   7433344  23% /home/nfs/public

只要您進入您的目錄/home/nfs/public就等於到了192.168.0.2那部遠端主機的/home/public那個目錄中囉


[root@linux ~]# umount /home/nfs/public

用戶端可處理的掛載參數與開機掛載

參數	參數代表意義	系統預設值
suid nosuid	曉得啥是SUID吧？如果掛載的partition上面有任何SUID的binary程式時，你只要使用nosuid就能夠取消SUID的功能了！嗄？不知道什麼是SUID？那就不要學人家架站嘛！@_@！趕緊回去基礎學習篇複習一下程序與資源管理啦！	suid
rw ro	你可以指定該partition是唯讀(ro)或可讀寫喔！	rw
dev nodev	是否可以保留裝置檔案的特殊功能？一般來說只有/dev才會有特殊的裝置，因此你可以選擇nodev喔！	dev
exec noexec	是否具有執行binary file的權限？如果你想要掛載的僅是資料區(例如/home)，那麼可以選擇noexec啊！	exec
user nouser	是否允許使用者進行檔案的掛載與卸載功能？如果要保護檔案系統，最好不要提供使用者進行掛載與卸載吧！	nouser
auto noauto	這個auto指的是『mount-a』時，會不會被掛載的項目。如果你不需要這個partition隨時被掛載，可以設定為noauto。	auto


[root@linux ~]# mount -t nfs -o nosuid,noexec,nodev,rw \
> 192.168.0.2:/home/public /home/nfs/public

[root@linux ~]# mount
192.168.0.2:/home/public on /home/nfs/public type nfs 
(rw,noexec,nosuid,nodev,addr=192.168.0.2)

nosuid,noexec,nodev

關於NFS特殊的掛載參數

參數	參數功能	預設參數
fg bg	當執行掛載時，該掛載的行為會在前景(fg)還是在背景(bg)執行？若在前景執行時，則mount會持續嘗試掛載，直到成功或time out為止，若為背景執行，則mount會在背景持續多次進行mount，而不會影響到前景的程序操作。如果你的網路連線有點不穩定，或是伺服器常常需要開關機，那建議使用bg比較妥當。	fg
soft hard	上頭不是談到掛載時會使用RPC呼叫嗎？如果是hard的情況，則當兩者之間有任何一部主機離線，則RPC會持續的呼叫，直到對方恢復連線為止。如果是soft的話，那RPC會在time out後『重複』呼叫，而非『持續』呼叫，因此系統的延遲會比較不這麼明顯。同上，如果你的伺服器可能開開關關，建議用soft喔！	hard
intr	當你使用上頭提到的hard方式掛載時，若加上intr這個參數，則當RPC持續呼叫中，該次的呼叫是可以被中斷的(interrupted)。	沒有
rsize wsize	讀出(rsize)與寫入(wsize)的區塊大小(block size)。這個設定值可以影響用戶端與伺服器端傳輸資料的緩衝記憶容量。一般來說，如果在區域網路內(LAN)，並且用戶端與伺服器端都具有足夠的記憶體，那這個值可以設定大一點，比如說8192(bytes)等，提升緩衝記憶區塊將可提升NFS檔案系統的傳輸能力！但要注意設定的值也不要太大，最好是達到網路能夠傳輸的最大值為限。舉例來說，如果你的MTU可達9000，那設定成8192才會有意義吧！^_^	rsize=1024 wsize=1024


[root@linux ~]# mount -t nfs -o nosuid,noexec,nodev,rw \
> bg,soft,rsize=8192,wsize=8192 \
> 192.168.0.2:/home/public /home/nfs/public

那個rsize與wsize的大小則需要依據你的實際網路環境而定喔

將NFS開機即掛載


[root@linux ~]# vi /etc/fstab
192.168.0.2:/home/public   /home/nfs/public   nfs   nosuid,noexec,nodev,rw,
bg,soft,rsize=8192,wsize=8192   0   0
# 注意！上面的設定是同一行喔！不要搞錯囉！ ^_^

無法掛載的原因分析

使用者或用戶端身份權限不符：
以上面的例子來說明，我的/home/test只能提供192.168.0.0/24這個網域，所以如果我在192.168.0.2這部伺服器中，以localhost(127.0.0.1)來掛載時，就會無法掛載上，這個權限概念沒問題吧！那麼您可以試試看：
[root@linux ~]# mount -t nfs localhost:/home/test /home/nfs mount: localhost:/home/test failed, reason given by server: Permission denied
看到Permission denied了吧？沒錯啦～權限不符啦！如果確定您的IP沒有錯誤，那麼請通知伺服器端，請管理員將你的IP加入/etc/exports這個檔案中。

伺服器或用戶端某些服務未啟動：
這個最容易被忘記了！就是忘記了啟動portmap這個服務啦！如果您發現您的mount的訊息是這樣：


[root@linux ~]# mount -t nfs localhost:/home/test /home/nfs
mount: RPC: Port mapper failure - RPC: Unable to receive

[root@linux ~]# mount -t nfs localhost:/home/test /home/nfs
mount: RPC: Program not registered

要嘛就是portmap忘記開，要嘛就是伺服器端的nfs忘記開！解決的方法就是去啟動這兩個咚咚啦！

被防火牆檔掉了：
這個也很容易忘記了！那就是重新設定一下您的防火牆，這包含了兩部份，包括iptables與TCP_Wrappers！因為我們啟動了portmap，這個東西有兩個資料需要分享出來，一個是port 111需要提供出去，因此您的iptables規則當中，需要開放這個port喔！

自動掛載autofs的使用

可不可以讓用戶端在有使用到NFS檔案系統的需求時才掛載？
並且不需要事先建立掛載點？

另外，當NFS檔案系統使用完畢後，可不可以讓NFS自動卸載，以避免可能的RPC錯誤？

圖四、自動掛載的設定檔內容

autofs主要設定檔為/etc/auto.master

建立主要設定檔/etc/auto.master

建立資料對應檔內的掛載資訊


[本地端目錄]  [-掛載參數]  [伺服器所提供的目錄]
參數：
[本地端目錄] ：指的就是在 /etc/auto.master 內指定的目錄之次目錄
[-掛載參數]  ：就是前一小節提到的 rw,bg,soft 等等的參數啦！可有可無；
[伺服器所提供的目錄] ：例如 192.168.0.2:/home/public 等

[root@linux ~]# vi /etc/auto.nfs
public  -rw,bg,soft,rsize=8192,wsize=8192 192.168.0.2:/home/public
testing -rw,bg,soft,rsize=8192,wsize=8192 192.168.0.2:/home/test
temp    -rw,bg,soft,rsize=8192,wsize=8192 192.168.0.2:/tmp
# 參數部分，只要最前面加個 - 符號即可！

實際運作與觀察


[root@linux ~]# /etc/init.d/autofs start


[root@linux ~]# mount; df
# 妳不會看到任何跟 192.168.0.2 這部主機有關的 NFS 掛載資訊喔！

[root@linux ~]# cd /home/nfs/public

[root@linux public]# mount; df
192.168.0.2:/home/public on /home/nfs/public type nfs (rw,bg,soft,
rsize=8192,wsize=8192,addr=140.116.44.179)
# 上面的輸出是同一行！瞧！突然出現這個玩意兒！

Filesystem 1K-blocks     Used Available Use% Mounted on
192.168.0.2:/home/public
            10080488  2144288   7424136  23% /home/nfs/public
# 檔案的掛載也出現沒錯！

[root@linux public]# pwd
/home/nfs/public
# 這個目錄突然被生出來了！ ^_^

案例演練

假設環境：

假設我的Linux主機為192.168.0.100這一部；
預計將/tmp以可讀寫，並且不限制使用者身份的方式分享給所有192.168.0.0/24這個網域中的所有Linux工作站；
預計開放/home/nfs這個目錄，使用的屬性為唯讀，可提供除了網域內的工作站外，向外亦提供資料內容；
預計開放/home/upload做為192.168.0.0/24這個網域的資料上傳目錄，其中，這個/home/upload的使用者及所屬群組為nfs-upload這個名字，他的UID與GID均為210；
預計將/home/andy這個目錄僅分享給192.168.0.50這部Linux主機，以提供該主機上面andy這個使用者來使用，也就是說，andy在192.168.0.50及192.168.0.100均有帳號，且帳號均為andy，所以預計開放/home/andy給andy使用他的家目錄啦！

實地演練：

首先，就是要建立/etc/exports這個檔案的內容囉，您可以這樣寫吧！


[root@linux ~]# vi /etc/exports
/tmp         192.168.0.*(rw,no_root_squash)
/home/nfs    192.168.0.*(ro)  *(ro,all_squash)
/home/upload 192.168.0.*(rw,all_squash,anonuid=210,anongid=210)
/home/andy   192.168.0.50(rw)

再來，就是要建立每個對應的目錄的實際Linux權限了！我們一個一個來看：


1. /tmp
[root@linux ~]# ll -d /tmp
drwxrwxrwt  5 root root 20480 Sep 22 22:52 /tmp

2. /home/nfs
[root@linux ~]# mkdir -p /home/nfs
[root@linux ~]# chmod 755 -R /home/nfs
# 修改較為嚴格的檔案權限將目錄與檔案設定成唯讀！不能寫入的狀態，會更保險一點！

3. /home/upload
[root@linux ~]# groupadd -g 210 nfs-upload
[root@linux ~]# useradd -g 210 -u 210 -M nfs-upload
# 先建立對應的帳號與群組名稱及 UID 喔！
[root@linux ~]# mkdir -p /home/upload
[root@linux ~]# chown -R nfs-upload:nfs-upload /home/upload
# 修改擁有者！如此，則使用者與目錄的權限都設定妥當囉！

4. /home/andy
[root@linux ~]# ll -d /home/andy
drwx------    3 andy     andy         4096 Oct 28 13:37 andy

這樣子一來，權限的問題大概就可以解決囉！

啟動portmap與nfs服務：


[root@linux ~]# /etc/init.d/portmap start
[root@linux ~]# /etc/init.d/nfs start
[root@linux ~]# /etc/init.d/nfslock start

在192.168.0.50這部機器上面演練一下：


1. 確認遠端伺服器的可用目錄：
[root@linux ~]# /etc/init.d/portmap start
[root@linux ~]# /etc/init.d/nfslock start
[root@linux ~]# showmount -e 192.168.0.100
Export list for 192.168.0.100:
/tmp         192.168.0.*
/home/nfs    (everyone)
/home/upload 192.168.0.*
/home/andy   192.168.0.50

2. 建立掛載點：
[root@linux ~]# mkdir -p /home/zzz/tmp
[root@linux ~]# mkdir -p /home/zzz/nfs
[root@linux ~]# mkdir -p /home/zzz/upload
[root@linux ~]# mkdir -p /home/zzz/andy

3. 實際掛載：
[root@linux ~]# mount -t nfs 192.168.0.100:/tmp         /home/zzz/tmp
[root@linux ~]# mount -t nfs 192.168.0.100:/home/nfs    /home/zzz/nfs
[root@linux ~]# mount -t nfs 192.168.0.100:/home/upload /home/zzz/upload
[root@linux ~]# mount -t nfs 192.168.0.100:/home/andy   /home/zzz/andy

重點回顧

Network FileSystem(NFS)可以讓主機之間透過網路分享彼此的檔案與目錄；
NFS主要是透過RPC來進行file share的目的，所以Server與Client的RPC一定要啟動才行！
NFS主機可以控制連線的Client端的登入與權限；
NFS的設定檔就是/etc/exports這個檔案；
NFS的權限可以觀察/var/lib/nfs/etab，至於的重要登錄檔可以參考/var/lib/nfs/xtab這個檔案，還包含相當多有用的資訊在其中！
NFS伺服器與用戶端的使用者帳號名稱、UID最好要一致，可以避免權限錯亂：
NFS伺服器預設對用戶端的root進行權限壓縮，通常壓縮其成為nfsnobody或nobody。
NFS主機要關機之前，請務必先關閉portmap與nfs server，否則關機無法順利成功；
NFS主機在更動/etc/exports這個檔案之後，可以透過exportfs這個指令來重新掛載分享的目錄！
可以使用rpcinfo來觀察RPC program之間的關係！！！
NFS主機在設定之初，就必須要考慮到client端登入的權限問題，很多時候無法寫入或者無法進行分享，主要是Linux實體檔案的權限設定問題所致！
NFS的防火牆設定可以透過控制RPC的主要port，亦即是111這個port來管理！此外，亦可透過TCP_Wrappers來管理！
NFS用戶端只要成功mount NFS主機分享的目錄之後，使用上面就好像自己的partition一般；
NFS用戶端可以透過使用showmount,mount與umount來使用NFS主機提供的分享的目錄！
NFS亦可以使用掛載參數，如bg,soft,rsize,wsize,nosuid,noexec,nodev等參數，來達到保護自己檔案系統的目標！
自動掛載的autofs服務可以在用戶端需要NFS伺服器提供的資源時才掛載。

本章與LPI之間的關係：
在LPI網站http://www.lpi.org裡面提到的，關於NFS的考試題庫的地方，只有在LPI level 1的102，裡面的topic 113 Networking Services，第四點當中，簡易的NFS設定。強調的是『應試者需瞭解NFS的設定、啟動與關閉的關係』至於會考的檔案與指令可能有這些：
/etc/exports
/etc/fstab
mount
umount

課後練習

NFS的主要設定檔為何？而在該檔案內主要設定項目為何？

主要的設定檔為/etc/exports而至於其設定的內容項目在每一行當中則為：

分享的目錄
針對此分享目錄開放的主機或IP或網域
針對這部主機所開放的權限參數！

在NFS主要的設定檔當中僅有少許的參數說明，至於預設的參數說明則沒有在該檔案當中出現，請問，如果要查閱更詳細的分享出來的檔案的屬性，要看那個檔案？/li>
如果已經啟動了nfs這個伺服器，但是卻又修改過主要設定檔，請問可以使用那個指令來重新掛載分享出來的目錄與client端權限的設定值？

透過使用exportfs，可以加上-a或者是-rv這兩個參數來重新掛載！如exportfs-rv

在client端如果要掛載NFS所提供分享的檔案，可以使用那個指令？

那自然就是mount啦！還有卸載是umount喔！

在NFS主要設定檔當中，可以透過那個參數來控制不讓client端以root的身份使用您所分享出來的目錄與檔案？

可以在/etc/exports當中的參數項目，設定『root_squash』來控制壓縮root的身份喔！

我在client端掛載了NFS Server的某個目錄在我的/home/data底下，當我執行其中某個程式時，卻發現我的系統被破壞了？您認為可能的原因為何？該如何克服這樣的問題，尤其是當我的Client端主機其實是多人共用的環境，怕其他的使用者也同樣發生類似的問題呢？！

可能由於您掛載進來的NFS Server的partition當中具有SUID的檔案屬性，而您不小心使用了該執行檔，因此就可能會發生系統被破壞的問題了！
可以將掛載進來的NFS目錄的SUID功能取消！例如：
mount-t nfs-o nosuid,ro server:/directory /your/directory

參考資料

http://www.faqs.org/rfcs/rfc1094.html
鳥哥這裡的備份：http://linux.vbird.org/linux_server/0330nfs/0330nfs_rpc.html
http://www.tldp.org/HOWTO/NFS-HOWTO/index.html
man exports
man autofs

2002/11/17：第一次完成
2003/03/09：修改部分內容，並且新增LPI相關性與重點整理部分！
2003/09/10：又重新修改版面，以及新增主機的規劃等部分。
2006/09/19：將舊的文章移動到此處
2006/09/22：加入了autofs等等的資料喔！

2002/11/17以來統計人數