Re: nfs / hosts.deny & alow
Op 05-11-16 om 20:13 schreef mj:
> Hoi allemaal,
>
> Ik wil een directory exporten naar een andere machine, over nfs. Heb op
> de server in /etc/exports een export geconfigureerd:
>
>> /srv/datashare 192.168.2.5(ro,no_subtree_check)
>
> Daarna nfs-kernel-server gestart, en kan hem nu op de client met success
> mounten, zelfs met nfs4. Prima.
>
> Nu wil ik graag tcp wrappers gebruiken om de zaak wat verder dicht te
> timmeren.
Niet elke applicatie ondersteund tcp wrappers, soms moet support
daarvoor specifiek worden ingecompileeerd. Hoe dit zit bij NFS weet ik niet.
Verder doet de naam "tcp wrappers" mij denken dat het wellicht alleen
werkt bij TCP, en NFS is veelal UDP.
> Dus, op de server in hosts.deny:
>
>> rpcbind : ALL
>> rpc.statd : ALL
>> rpc.idmapd : ALL
>> rpc.mountd : ALL
>
> En dan, op de client, zoals verwacht:
>
>> root@client:/srv# showmount -e server
>> clnt_create: RPC: Port mapper failure - Authentication error
>
> Dan, allow de specifieke client in hosts.allow op de server:
>
>> rpcbind : 192.168.2.5
>> rpc.statd : 192.168.2.5
>> rpc.idmapd : 192.168.2.5
>> rpc.mountd : 192.168.2.5
>
> En inderdaad, op de client:
>
>> root@client:/srv# showmount -e server
>> Export list for server:
>> /srv/datashare 192.168.2.5
>
> ECHTER (en nu komt het..!) het mounten van deze nfs share op de client
> werkt stelselmatig wèl, ook ZONDER de uitzondering in hosts.allow op de
> server.
>
> Dus, wanneer ik géén uitzondering maak in hosts.allow, kan ik op client
> 192.168.2.5 TOCH de nfs export met succes mounten en de (actuele,
> real-time) inhoud bekijken.
>
> Dus showmount geeft inderdaad een fout, maar:
Ik zie daar geen fout.
>> mount /srv/datashare
>
> werkt gewoon TOCH. Bovenstaande mount komt uit fstab, als:
>
>> server.company.com:/srv/datashare /srv/datashare/ nfs4
>> ro,intr,noexec 0 0
>
> Ik geloof niet dat ik snap waarom het gewoon blijft werken.
>
> Iemand hier wel? Wat zie ik over het hoofd? Waarom wordt hosts.deny /
> hosts.allow genegeerd bij het daadwerkelijk mounten..??
Zie mijn opmerking boven.
Uiteraard worden andere IP's ook geblokkeerd doordat alleen jouw IP in
/etc/export staat van de server. Je instelling is dus dubbel op. Als je
dat toch graag wilt zou ik dat doen via een firewall.
Groet,
Paul.
--
Paul van der Vlis Linux systeembeheer Groningen
https://www.vandervlis.nl/
Reply to: