Home  |  Map  |  Index  |  Zoek

Convert to GutenPalm or to PalmDoc door Frédéric Raynal <pappy(at)users.sourceforge.net> Over de auteur: Frédéric Raynal schrijft een thesis op het gebied van computerwetenschappen over 'brandmerken' in afbeeldingen aan het INRIA. Hij leest op dit moment een heel goede detective roman, gesitueerd in het begin van deze eeuw, toen Th. Roosevelt nog hoofcommissaris was bij de politie. De toon is duister. Het gaat over de ondervraging door een groep personen om een seriemoordenaar te vinden die kinderen belaagt. Deze groep wordt gesteund door enkele nieuwe technieken (psychologie, vingerafdrukken, enz...) bij het vinden van de oplossing. Deze roman van Caleb Carr, l'Ange des ténèbres, schetst een verrassend beeld over het begin van de vorige eeuw. Vertaald naar het Nederlands door: Hendrik-Jan Heins <hjh(at)passys.nl> Inhoud: Algemene en onvolledige presentatie over bestandssytemen Het NFS protocol Installatie De server De cliënt Pas Op Gebruik van NIS, NFS en autofs Referenties Talkback voor dit artikel

NFS - Network File System

Kort:

Een Network File System (NFS) laat je toe om bestanden op verschillende computers in een netwerk te beheren op een manier die lijkt op het beheer van een lokale schijf. Dus het is niet meer van belang dat je weet waar de bestanden zich fysiek bevinden om ze te openen.

Inleiding

NFS staat het eenvoudig delen van gegevens tussen verschillende computers toe. Een gebruiker die bijvoorbeeld is ingelogd op een netwerk hoeft niet in te loggen op een specifieke computer: met behulp van NFS kan hij zijn home directory (die ergens anders staat) openen vanaf de machine waar hij achter zit.

Maar NFS is niet direct een efficiënt protocol en daardoor zeer traag over een modemverbinding. Het is ontworpen voor lokale netwerken en het is zeer flexibel. Het biedt gebruikers en beheerders veel mogelijkheden.

Je moet deze dienst voorzichtig, met een duidelijk beleid, beheren. Iedereen toegang geven om te schrijven naar je netwerk is geen doordacht beleid ;-) Enkele belangrijke voorzorgsmaatregelen kunnen de risico's aanzienlijk verkleinen.

Dit artikel begint met een zeer korte introductie over bestandssystemen. Daarna zullen we het NFS protocol bekijken. Vervolgens zullen we dieper ingaan op minder theoretische onderdelen en een NFS server en cliënt installatie uitvoeren. We zullen ook kijken naar de minimale veiligheidsmaatregelen die je zou moeten nemen. En tenslotte zullen we met een voorbeeld illustreren hoe je NFS, NIS en autofs kunt combineren.
   

Algemene en onvolledige presentatie over bestandssytemen

We zouden ieder fysiek medium voor gegevens (een harde schijf bijvoorbeeld) kunnen zien als een opeenvolging van kleinere eenheden die informatie bevatten: we praten hier over blokken. Ieder bestandssyteem beheert deze blokken op een andere manier. In figuur 1 proberen we bijvoorbeeld een bestand in te voegen dat twee blokken beslaat. In de bovenste illustratie wordt het bestand geplaatst achter het laatste bezette blok, waardoor er lege ruimte overblijft aan het begin. In het onderste deel van de illustratie (in een ander bestandssyteem), wordt het bestand op de eerste vrije plaats gezet. Dit soort beleid bepaalt hoe ernstig een schijf gefragmenteerd raakt. Sommige bestandssytemen gaan fragmentatie automatisch tegen, terwijl anderen handmatig gedefragmenteerd moeten worden.
 
 

Het beroemdste bestandssysteem voor Linux heet ext2fs (extended 2 file system). Daarion wordt elk bestand vertegenwoordigd door een inode¹. Directories bevatten de bestandslijst en de toegang tot apparaten wordt verzorgd door het lezen en schrijven van/naar bepaalde bestanden.

Het is de taak van de NFS server om de inodes die de cliënten willen openen aan te leveren. Echter, een cliënt zou niet veel kunnen met slechts de inode van een bestand! Een NFS server heeft daarom ook een extra netwerklaag die andere machines toelaat om de inodes te manipuleren.
 

Het NFS protocol

De 4 diensten achter NFS zijn:
 

Protocol	Omschrijving	Daemon
nfs	Dit protocol vormt het hart van NFS en dient voor het maken, zoeken, lezen en schrijven van bestanden. Dit protocol regelt ook de authenticatie en de statistische bestandsgegevens.	nfsd
mountd	Deze beheert het mounten van geëxporteerde bestandssystemen om ze te kunnen openen met nfs. De server ontvangt aanvragen zoals mount en umount en moet dus informatie bijhouden over de geëxporteerde bestandssystemen.	mountd
nsm (Network Status Monitor)	Dit wordt gebruikt om netwerk nodes in de gaten te houden. Statd moet altijd weten in welke staat de machine (cliënt of server) zich bevindt; het geeft bijvoorbeeld aan of een machine aan het heropstarten is.	statd
nlm (Network Lock Manager)	Om gegevensmodificatie door verschillende cliënten tegelijk te voorkomen, beheert dit protocol een "lock" systeem. Het weet welke bestanden worden gebruikt. Met behulp van het Nsm protocol kan het weten wanneer een cliënt opnieuw opstart. Nsm opent eerst het "lock" van alle cliënten voordat ze een nieuwe toegewezen krijgen.	lockd

De daemon knfsd, beschikbaar in de nieuwste kernel versies, ondersteunt de nfs en nlm protocollen direct. Mountd en nsm aan de andere kant worden nog niet ondersteund. Wanneer de NFS server is geïnstalleerd en opgestart, kunnen we controleren of alles werkt met het commando:
 

>> ps auxwww | egrep "nfs|mount|lock|stat"
root      1370  0.0  0.2  1176  580 ?        S    22:28   0:00 rpc.mountd --no-nfs-version 3
root      1379  0.0  0.0     0    0 pts/0    SW   22:28   0:00 [nfsd]
root      1380  0.0  0.0     0    0 pts/0    SW   22:28   0:00 [nfsd]
root      1381  0.0  0.0     0    0 pts/0    SW   22:28   0:00 [nfsd]
root      1382  0.0  0.0     0    0 pts/0    SW   22:28   0:00 [nfsd]
root      1383  0.0  0.0     0    0 pts/0    SW   22:28   0:00 [nfsd]
root      1384  0.0  0.0     0    0 pts/0    SW   22:28   0:00 [nfsd]
root      1385  0.0  0.0     0    0 pts/0    SW   22:28   0:00 [nfsd]
root      1386  0.0  0.0     0    0 pts/0    SW   22:28   0:00 [nfsd]
root      1399  0.0  0.0     0    0 pts/0    SW   22:28   0:00 [lockd]
root      1409  0.0  0.2  1156  560 ?        S    22:28   0:00 rpc.statd
root      1652  0.0  0.1  1228  484 pts/3    S    22:49   0:00 egrep nfs|mount|lock|stat

Het NFS gaat over een gegevensstructuur genaamd een file handle (letterlijk: bestandshandvat). Het is een vrij esoterische serie bits die ieder object in een bestandssysteem op een unieke manier identificeert. Het bevat bijvoorbeeld de inode van een bestand, maar ook een representatie van het apparaat waarop het bestand staat. NFS kan je dus bekijken als een soort bestandssysteem dat op een bestandssysteem ligt.  

Installatie

De server

root >>/usr/sbin/rpcinfo -p
rpcinfo: can't contact portmapper: RPC: Remote system error - Connection refused
root >>/sbin/portmap
root >>/usr/sbin/rpcinfo -p
   program vers proto   port
    100000    2   tcp    111  portmapper
    100000    2   udp    111  portmapper

Voordat je NFS zelf start moet het eerst geconfigureerd worden. Er is maar één configuratiebestand en dat draagt de naam /etc/exports. Iedere regel geeft een exportlokatie gevolgd door een lijst van cliënten die er toegang tot hebben. Het is mogelijk om opties toe te voegen achter iedere cliënt naam. De man exports pagina geeft de syntax voor cliëntnamen en opties.

Geaccepteerde vormen voor cliëntnamen zijn:

• machine naam
• jokertekens in een domein naam (dus bv.: linux-*.mijndomein.nl)
• Een netgroep ( @group) wanneer er gebruik wordt gemaakt van NIS
• een IP adres...

• rw (read write) : de cliënt kan naar het geëxporteerde bestandssysteem lezen en schrijven
• ro  (read only) : de cliënt kan alleen lezen van het geëxporteerde bestandssysteem
• root_squash: het is erg slim om er voor te zorgen dat de root van de cliënt niet kan schrijven met root rechten. Om dit te vermijden gebruik je UID/GID 0 (het UID/GID van root) zodat de cliënt-kant wordt vertaald naar gebruiker nobody. Deze optie staat standaard aan, maar kan uitgeschakeld worden met no_root_squash.
• all_squash : alle cliënten die het geëxporteerde bestandssyteem benaderen moeten gebruik maken van de account nobody (met UID/GID).
• anonuid, anongid: de gebruiker nobody maakt nu gebruik van de UID en GID die aangegeven wordt door deze opties.

Wanneer we het configuratiebestand /etc/exports veranderen, moeten we de betreffende daemons laten weten dat er veranderingen zijn aangebracht. Het commando exportfs verzendt deze informatie naar onze servers. De optie -r synchroniseert het bestand /etc/mtab² met het /etc/exports bestand. De optie -v laat de geëxporteerde bestandssytemen met hun opties zien.

Na het opstarten bevatten de volgende bestanden belangrijke informatie:

• /var/lib/nfs/rmtab: iedere regel geeft de naam van de cliënt en het van de server geimporteerde bestandssysteem;
• /var/lib/nfs/etab: het /etc/exports bestand bevat alleen maar een wensenlijstje. etab wordt gemaakt door exportfs. Het bevat op iedere regel gedetailleerde informatie over de opties die gebruikt worden wanneer een bestandssysteem naar een bepaalde cliënt wordt geëxporteerd. Het is het referentiebestand dat wordt gebruikt door rpc.mountd wanneer deze wordt gestart
• /proc/fs/nfs/exports bevat de lijst van cliënten die de kernel kent.
• /var/lib/nfs/xtab: gebruik dit voor de precieze gegevens als etab cliëntnamen en machinegroepen met jokertekens bevat. Dit bestand bevat alleen de expliciete, exacte machinenamen. explicit machine names.

De cliënt

Het mount commando geeft toegang tot meerdere typen bestandssystemen. Dit commando vertelt de kernel dat er een nieuw bestandssysteem beschikbaar is, welk type het is, z'n device (apparaat) en een mount punt. De optie -t  kan worden gebruikt om handmatig aan te geven om wels soort bestandssysteem het gaat. Voor NFS geven we hier: -t nfs.

mount heeft eigen opties voor NFS. Bijvoorbeeld de opties rsize en wsize die kunnen worden gebruikt om de blokgrootte voor lezen en schrijven te veranderen. Je kan specifieke NFS opties combineren met algemenere opties zoals bijvoorbeeld intr, noexec of nosuid. De mount man pagina bevat een lijst met al deze opties.

Laten we aannemen dat de machine charly een NFS server draait en dat deze de directory /usr/local exporteert. Als je deze wilt openen vanaf de machine jill, dan hoef je alleen de geëxporteerde directory van charly te mounten op jill:

root@jill >> mount -t nfs -o nosuid,hard,intr charly:/usr/local /usr/local

#    device           mount point   file system   options     dump  fsckorder
charly:/usr/local    /usr/local       nfs       nosuid,hard,intr    0      0

Pas Op

Een cliënt mag een server niet onvoorwaardelijk vertrouwen, dus we moeten extra beperkende opties aangeven als we gebruik maken van het mount commando. We hebben de eerste al genoemd: nosuid. Dit zorgt ervoor dat de SUID en SGID bits niet ingesteld kunnen worden. Dus, iemand met een root login op de server moet eerst inloggen als een gebruiker op de cliënt en kan pas daarna root worden. Een andere, nog meer beperkende optie, is noexec. Dit verbiedt het opstarten van programma's op het geëxporteerde bestandssysteem. Deze optie is alleen bruikbaar voor systemen die alleen maar data bevatten.

Aan de server kant kunnen we ook aangeven dat we de root account van de cliënten niet vertrouwen. We moeten dit aangeven in /etc/exports met de optie root_squash. Vanaf dat moment krijgt een gebruiker die de cliënt opent met UID 0 (root) op het door de server geëxporteerde bestandssysteem een nobody UID om bestanden mee op te vragen. Deze optie staat onder Linux standaard aan, maar kan uitgezet worden met de optie no_root_squash. Een aantal UID's kan worden aangegeven bij de optie waarop ze van toepassing zijn. Onthoud ook dat de opties anonuid en anongid het mogelijk maken om de UID/GID van de gebruiker te veranderen van nobody in iets anders.

Sommige mogelijkheden zijn wat algemener en hebben effect op de portmapper. We verbieden bijvoorbeeld de toegang tot alle machines met de volgende regel in het /etc/hosts.deny bestand:
 

# hosts.deny : verbiedt absoluut iedereen om
#              gebruik te maken van portmap
portmap: ALL

En daarna heffen we in het bestand /etc/hosts.allow dit stricte verbod op, maar dan enkel voor de machines waarbij dit gewenst is.

Een goed ingestelde firewall geeft ook een nog wat betere bescherming. Let op de poorten die gebruikt worden door de verschillende diensten en de gebruikte protocollen:
 

Gebruik van NIS, NFS en autofs

Laten we eerst eens kijken naar de configuratie van onze server, charly. We beginnen met het definiëren van enkele NIS mappen die alle benodigde informatie bevatten.

Het bestand /etc/netgroup bevat de machine groepen die veel op elkaar lijken (een zelfde architectuur bijvoorbeeld). Een NIS map is heel bruikbaar voor NFS. We hoeven alleen maar de machines die toegang hebben tot hetzelfde geëxporteerde bestandssysteem te verzamelen. Deze groep wordt dan gebruikt in het bestand /etc/exports, in plaats van de machines één voor één met de hand aan te geven:

# /etc/netgroup
charlysangels (sabrina,,) (jill,,) (kelly)

# /etc/exports
/usr/local    @charlysangels(ro)

# /etc/auto.map
charly          charly:/usr/local

#Toe te voegen aan de Yellow Pages Makefile

AUTO_MAP    = $(YPSRCDIR)/auto.map
# ...
#...
auto.map: $(AUTO_MAP) $(YPDIR)/Makefile

            @echo "Updating $@..."
            -@sed -e "/^#/d" -e s/#.*$$// $(AUTO_MAP) | $(DBLOAD) \
            -i $(AUTO_MAP) -o $(YPMAPDIR)/$@ - $@
            -@$(NOPUSH) || $(YPPUSH) -d $(DOMAIN) $@

We hoeven nu alleen nog maar make vanaf de directory /var/yp te starten.

En nu nog onze drie cliënten sabrina, jill en kelly. Hier hoeven we niets te doen :) We moeten alleen autofs vertellen dat hij een nieuwe map moet beheren die aangeleverd wordt door YP. In het /etc/auto.master bestand van alle cliënten geeft de volgende regel aan dat er een map auto.map te verkrijgen is bij de YP service.

#/etc/auto.master
/usr/local    yp auto.map    --intr,nosuid,nodev

Nu hebben we een unieke /usr/local fysieke directory op charly. Dus, wanneer er speciale programma's op charly worden geinstalleerd, kunnen alle machines daar gebruik van maken.

Dit voorbeeld zou kunnen worden uitgebreid met de installatie van een enkel /usr systeem, een /usr/doc of welke andere dan ook, maar de ervaring leert dat dat geen goed idee is. Bij installaties moeten er vaak bestanden uit de /etc directory of een andere directory worden gewijzigd. Dan zouden we alle machines moeten veranderen om een niet-geëxporteerd bestand up-to-date te brengen en dat wordt al snel vervelend.
   

Referenties

• Filesystem-HOWTO :  www.linuxdoc.org
• Design and Implementation of the Second Extended Filesystem : een uitstekend boek van Rémy Card, Théodore Ts'o en Stephen Tweedie, vaders van het ext2fs : http://khg.redhat.com/HyperNews/get/fs/ext2intro.html

NFS

• NFS-HOWTO :  www.linuxdoc.org
• The Linux kernel NFSD implementation : om (veel) verder te gaan, een goed en compleet programmmeer- en gebruiksoverzicht over NFS voor Linux: http://www.cse.unsw.edu.au/~neilb/oss/linux-commentary/nfsd.html

Voetnoten

... inode¹

Dit is een een omschrijving voor een bestand (een serie bits) die onder andere de toegangsrechten, eigenaar, fysieke blokadressen, de gegevens die het bevat enz... omschrijft.

... /etc/mtab²

Dit bestand bevat de lijst met alle bestandssystemen die door de kernel gemount zijn, met de "harde" methode (door mount, zoals de systemen die in het bestand fstab beschreven worden), of door minder "vaste" middelen (door autofs/automount).

Talkback voor dit artikel

2002-06-08, generated by lfparser version 2.28