Microsoft Word - Chap20.doc

Size: px

Start display at page:

Download "Microsoft Word - Chap20.doc"

绝智段
4 years ago
Views:

1 網路磁碟機 NFS 原理 NFS 伺服器安裝 NFS 組態設定 NFS 圖形管理工具

2 先前介紹過 SAMBA 伺服器, 可允許 Windows 用戶端利用網路上的芳鄰程式, 輕易取得 Linux 上的共用目錄檔案和印表機, 就如同存取本機上的資源一樣簡單但是,Linux 主機如何存取網路中其他 Linux 主機上的共用資源呢? 答案就是 NFS 服務, 利用 NFS,Linux 主機也可以在網路中分享資源, 以提高資源的使用率 20-1 NFS 原理 NFS(Network File System) 最初是由昇陽公司 (Sun Microsystem) 於 1984 年所開發, 它是一種分散式檔案系統, 其主要功能是讓網路上的 Unix 主機可以彼此共享目錄及檔案 NFS 的原理是在用戶端上, 透過網路將遠端主機共用的檔案系統, 利用掛載 (Mount) 的方式以加入本機的檔案系統, 之後的操作就如同在本機一樣如此設計的好處除了提升資源的使用率外, 也可大大節省硬碟的空間, 因為每部主機不需要將所有的檔案都複製到本機上, 同時也可作到資源的集中管理 NFS 伺服器 /sharea /shareb /mnt_1 /mnt_2 /mnt_3 NFS 用戶端 /sharec 圖 20-1 NFS 為分散式檔案系統的一種 20-2

3 第 20 章網路磁碟機在上圖中的三部 NFS 伺服器表示已分別提供 NFS 服務的主機, 而 NFS 用戶端是指所有 Linux 電腦在 NFS 伺服器上需先將資源共用出來, 然後 NFS 用戶端再進行共用目錄的掛載, 所以當用戶端存取這些掛載目錄時, 事實上是透過網路連接到遠端 NFS 伺服器進行存取的動作目前 NFS 的版本共有二種 :NFSv2 和 NFSv3, 前者已被廣泛的使用許多年, 因此多數的作業系統都支援它, 而 NFSv3 增加了一些特色, 例如較佳的錯誤回報功能在 Fedora 8 中同時支援 NFSv2 和 NFSv3, 並以 NFSv3 為預設版本 NFS 使用 RPC 來傳遞用戶端和伺服器間的訊息, 因此在雙方進行 NFS 通訊時, 必須啟動 portmap 服務, 並且啟動於適當的 Run Level 而 portmap 服務在執行時也需要以下程序的協同工作 : rpc.mountd 這個程序主要是用來接受來自 NFS 用戶端的掛載要求, 並且檢查此要求是否符合目前匯出的檔案系統 rpc.nfsd 這個程序屬於 NFS 服務中的使用者層級, 它配合 Linux 核心以滿足 NFS 用戶端的動態式要求, 例如增加額外的伺服器工作緒 (Thread), 以供 NFS 用戶端使用若要確定 portmap 服務已正確啟動, 您可以執行 rpcinfo 指令, 假設已啟用 portmap 服務的 NFS 伺服器為 nfs.f8linux.com, 則會出現以下訊息 : [root@ns1 ~]# rpcinfo -p ns1.f8linux.com program vers proto port service tcp 111 portmapper tcp 111 portmapper tcp 111 portmapper udp 111 portmapper

4 udp 111 portmapper udp 111 portmapper portmapper portmapper portmapper udp 720 status tcp 723 status NFSv2 使用 UDP 為用戶端和伺服器通訊時的通訊協定 (NFSv2 可使用 UDP 或 TCP), 在用戶端通過身份驗證並允許存取共用的資源後,NFS 伺服器會傳送 Cookie 至用戶端, 這種作法可減少網路交通量 NFS 優點 NFSv2 使用 UDP 為用戶端和伺服器通訊時的通訊協定 (NFSv2 可使用 UDP 或 TCP), 在用戶端通過身份驗證並允許存取共用的資源後,NFS 伺服器會傳送 Cookie 至用戶端, 這種作法可減少網路交通量的增加明顯的, 由以上說明我們可以了解,NFS 最大的好處是 - 集中式管理 (Centralized Administration), 這可節省許多管理的時間舉例來說, 在執行備份工作時, 若要同時備份分散在網路不同地方的檔案系統, 必須逐一進行備份, 但如果事前以 NFS 的方式將所有共用資料對應至單一主機 ( 檔案伺服器 ), 則僅需對此單一主機進行備份, 即可同時備份所有不同的共用資源其次是, 使用 NFS 可節省個別主機上的磁碟空間, 因為您不需在每一部主機儲存相同的檔案, 同時可避免因多個檔案而造成檔案內容的不同步, 這對於許多重要且經常變動的檔案尤其重要, 例如客戶連絡資料還有安全上的考量亦是 NFS 的一大優點, 因為有些敏感性的資料, 例如 /usr, 您可能會希望使用者僅能讀取而不允許變更, 此時便可在輸出 (export) 這個檔案系統時, 加上唯讀 (Read-only) 的屬性, 以維護系統的安全性 20-4

5 第 20 章網路磁碟機 NFS 缺點雖然使用 NFS 的優點不少, 但是它仍具有一些使用上的限制, 其中最大的問題是 - 網路流量, 因為它是屬於分散式的網路架構, 所以 NFS 伺服器與每部擁有共用資料主機間, 都必須透過網路來進行資料的傳遞, 所以若是網路處於繁忙的狀況時, 很可能會造成 NFS 效能的下降相同的, 若是 NFS 伺服器上對應過多的共用資源, 則在用戶端要求增加時, 自然會加重硬碟讀取及寫入的負擔, 這也是影響 NFS 伺服器效能的一大主因再者, 當某個共用資源停止提供服務時, 若是沒有事前告知用戶端, 則用戶端在進行檔案系統的掛載時, 就容易引起用戶端的當機, 所以此用戶端也自然無法存取在伺服器上的其他共用資源另一個安全性上的問題是, 因為 NFS 通訊協定是以 RPC 為基礎, 所以它會將整個環境視為信任網路 (Trusted Network), 所有一些機密性的資料, 不應掛載於 Internet 主機上 ( 位於防火牆之外的電腦 ) 就算 NFS 伺服器位於防火牆之內, 也應該對使用者的存取權限加以限制, 縱使會犧牲使用或是管理上的方便性例如當用戶端的 root 使用者掛載 NFS 伺服器上的檔案系統時, 就不應讓此用戶端在伺服器上仍擁有 root 權限, 這就稱為 Root Squashing 20-2 NFS 伺服器安裝安裝 Fedora 8 時, 預設會自動安裝 NFS 伺服器, 而其內建的版本為 nfs-utils fc8, 若不知是否已安裝此版本的軟體, 您可以使用以下方法來判斷 : [root@ns1 ~]# rpm -qa nfs-utils nfs-utils fc

若需自行安裝 NFS 伺服器, 請參考之前章節的安裝步驟, 並利用套件管理員程式進行安裝圖 20-2 安裝 NFS 伺服器由於 NFS 伺服器在安裝時包含許多元件, 因此在安裝後, 最好利用以下方法來檢視目前已安裝的套件 : [root@ns1 ~]# rpm -ql nfs-utils-1.1.0-6.fc8 /etc/idmapd.conf /etc/rc.d/init.

6 若需自行安裝 NFS 伺服器, 請參考之前章節的安裝步驟, 並利用套件管理員程式進行安裝圖 20-2 安裝 NFS 伺服器由於 NFS 伺服器在安裝時包含許多元件, 因此在安裝後, 最好利用以下方法來檢視目前已安裝的套件 : [root@ns1 ~]# rpm -ql nfs-utils fc8 /etc/idmapd.conf /etc/rc.d/init.d/nfs /etc/rc.d/init.d/nfslock 在安裝 NFS 伺服器後, 可利用以下的方法來進行啟動 : [root@ns1 ~]# /etc/rc.d/init.d/nfs start 正在啟動 NFS 服務 : [ 確定 ] 正在啟動 NFS quotas: [ 確定 ] 正在啟動 NFS 系統程式 : [ 確定 ] 正在啟動 NFS mountd: [ 確定 ] 20-6

7 第 20 章網路磁碟機因為與 NFS 伺服器執行有關的程式有八種, 所以必須確定這八個程式都可正常執行, 您可使用以下的方法來進行檢查 : [root@ns1 ~]# ps ax grep nfsd 3543? S< 0:00 [nfsd4] 3544? S 0:00 [nfsd] 3545? S 0:00 [nfsd] 3546? S 0:00 [nfsd] 3547? S 0:00 [nfsd] 3548? S 0:00 [nfsd] 3549? S 0:00 [nfsd] 3550? S 0:00 [nfsd] 3551? S 0:00 [nfsd] 3574 pts/2 S+ 0:00 grep nfs 您可利用以下的方法來重新啟動 NFS 伺服器 : [root@ns1 ~]# /etc/rc.d/init.d/nfs restart 正在關閉 NFS mountd: [ 確定 ] 正在停止 NFS 系統程式 : [ 確定 ] 正在關閉 NFS 磁碟配額 : [ 確定 ] 正在關閉 NFS 服務 : [ 確定 ] 正在啟動 NFS 服務 : [ 確定 ] 正在啟動 NFS quotas: [ 確定 ] 正在啟動 NFS 系統程式 : [ 確定 ] 正在啟動 NFS mountd: [ 確定 ] 您可利用以下的方法來停止 NFS 伺服器 : [root@ns1 ~]# /etc/rc.d/init.d/nfs stop 正在關閉 NFS mountd: [ 確定 ] 正在停止 NFS 系統程式 : [ 確定 ] 正在關閉 NFS 磁碟配額 : [ 確定 ] 正在關閉 NFS 服務 : [ 確定 ]

8 您可利用以下的方法來檢視 NFS 伺服器目前執行的狀態 : [root@ns1 ~]# /etc/rc.d/init.d/nfs status 正在關閉 NFS mountd: rpc.mountd (pid 3843) 正在執行... nfsd (pid ) 正在執行... rpc.rquotad (pid 3827) 正在執行... 為了避免忘記啟動而導致伺服器停止服務的問題, 建議您應該在開機時自動啟動 NFS 伺服器, 以節省每次手動啟動的時間若要在開機時自動啟動 NFS 伺服器, 可以使用以下指令 : [root@ns1 ~]# chkconfig --list grep nfs nfs 0: 關閉 1: 關閉 2: 關閉 3: 關閉 4: 關閉 5: 開啟 6: 關閉 nfslock 0: 關閉 1: 關閉 2: 關閉 3: 開啟 4: 開啟 5: 開啟 6: 關閉以上指令表示若系統執行 Run Level 5 時, 就會自動啟動 NFS 伺服器 (nfs), 您也可以配合 --list 參數的使用, 來顯示每個 Run Level 是否自動執行 NFS 伺服器有關其他 NFS 伺服器在開機時自動啟動的方法, 請參考之前章節說明 20-3 NFS 組態設定目前我們已將 NFS 伺服器成功的安裝並啟動, 在正式提供用戶端存取前, 最重要的就是 NFS 的組態設定有關 NFS 的組態設定都集中在 /etc/exports 檔案內容中, 它是共用資源的存取控制清單, 您不僅可以在此新增共用資源, 同時也能對存取共用資源的用戶端進行權限的管理, 而這些都是本節所要說明的內容在 /etc/exports 檔案中的每一筆記錄, 都代表一個共用資源以及存取權限設定, 它的格式如下 : 20-8

9 第 20 章網路磁碟機共用目錄用戶端 ( 存取權限, 選項, 使用者 ID 對應 ) 以下我們將針對上述格式中的選項進行說明 : 共用目錄在指定共用目錄時只要把握一個原則 : 使用絕對路徑, 因為由遠端連接的用戶端並無法得知本地檔案系統的相對路徑, 所以需以絕對路徑來指定共用目錄用戶端這個部份是用來指定允許連接 NFS 伺服器的用戶端, 此處可以表示的方式有很多, 以下是這些方式的說明 : 表示方式單一主機群組萬用字元網路節區說明這是最常使用的方式, 可以指定單一主機的主機名稱別名或是 IP 位址, 如果指定超過一部以上的主機, 則需以空格區隔群組名稱的格式, 來指定允許連接 NFS 伺服器的群組, 可以使用 * 或? 來指定允許連接 NFS 伺服器的用戶端, 例如 *.f8linux.com 表示允許所有來自 f8linux.com 網域的主機連接若是要指定 IP 網路節區的用戶端, 則可使用符合 CIDR 格式表示法, / 或 /24 存取權限 NFS 用戶端的存取權限只分為以下二類 : 存取權限 rw ro 說明 Read and Write, 允許用戶端讀取及寫入共用資源 Read Only, 僅允許用戶端讀取共用資源內容

10 選項在 /etc/exports 檔案中允許使用的選項有很多, 其說明如下表所示 : 選項說明 secure 可用小於 1024 的連接埠進行連接 ( 預設值 ) insecure noaccess link_absolute sqush_uids sqush_gids anonuid anongid 不可使用小於 1024 的連接埠進行連接不可存取此目錄下的內容將檔案系統內的符號連結目的地, 由絕對路徑改為相對路徑, 則掛載在另一主機後才能正確指向連結的目的地 Nobody 對應的 uid 清單 Nobody 對應的 gid 清單設定 nobody 帳號的 uid 設定 nobody 帳號的 gid 使用者 ID 對應通常使用者都希望在存取 NFS 伺服器上的共用資源時, 也可以享有在本機一樣的權限, 但這很容易造成安全上的漏洞例如, 在用戶端主機的 root 使用者若是連接到 NFS 伺服器後, 仍具有 root 的權限, 則可能造成的影響可想而知因此為了避免以上的問題, 我們可使用使用者 ID 對應的方式, 它是將原本高權限的帳號對應到一般的帳號, 例如將 uid 0(root), 對應到 anonymous 或是 nobody 以下是在使用使用者 ID 對應功能時, 可用的選項及說明 : 選項 root_squash no_root_squash all_squash no_all_squash 說明將 uid 0 和 gid 0 對應到 anonymous 使用的 ID 停用 root_squash 功能, 此選項主要適用在無磁碟機 (Diskless) 用戶端將所有 uid 和 gid 對應到 anonymous 使用的 ID 停用 all_squash 功能 20-10

11 第 20 章網路磁碟機在設定 /etc/exports 檔案前需特別注意空格的使用, 因為在此設定檔中, 除了區隔共用目錄和共用主機, 以及分隔多部共用主機外, 其餘的情形下都不可使用空格例如, 以下的二個範例就分別表示不同的意義 : /home client1 client2(rw) /home client1 client2 (rw)(client2 和 rw 之間有空格 ) 在以上的第一個範例中, 用戶端 client1 和 client2 可以讀取並寫入 /home 目錄, 但是第二個範例卻表示用戶端 client1 和 client2 只可以讀取 /home 目錄內容 ( 這是系統對所有用戶端的預設值 ), 而其他用戶端對此目錄都享有讀取及寫入的存取權限在了解空格於 /etc/exports 檔案中的重要性後, 以下我們將利用幾個範例來說明共用目錄的設定, 在此之前, 筆者先行建立 /share_1 /share_2 /share_3 與 /share_4 等目錄 : /share_1 ns1(rw,sync)ns2(rw,sync,no_root_squash) 表示將 /share_1 目錄設定為共用, 並且允許主機 ns1 和 ns2 擁有讀取及寫入的權限, 此外, 在主機 ns2 上同時停用 root_squash 的功能在 () 前後不可留有任何空白, 否則無法成功設定該目錄的共用若不加上 sync 或 async 選項, 則在稍後執行 exportfs 指令時會出現警告訊息( 但仍可匯出目錄 ) /share_2 *.f8linux.com(sync) 此範例表示將 /share_2 目錄設定為共用, 並且允許來自 f8linux.com 網域的所有主機進行存取, 同時擁有讀取及寫入的權限 /share_3 *(sync) 此範例並沒有指定用戶端及存取權限, 則表示所有的主機都可存取此共用目錄, 並且擁有讀取及寫入的權限 (rw)

12 /share_ /24(ro,sync) 此範例表示將 /share_4 目錄設為共用, 並允許來自網路節區的所有主機進行存取, 但只擁有讀取的權限 ~]# vi /etc/exports /share_1 ns1(rw,sync)ns2(rw,sync,no_root_squash) /share_2 *.f8linux.com(sync) /share_3 *(sync) /share_ /24(ro,sync) 在 /etc/exports 檔案內容輸入共用目錄的設定後, 接著必須使用 exportfs 指令來檢查語法是否正確, 並進行格式的轉換 : [root@ns1 /]# exportfs -rv exportfs 程式主要是用來維護 NFS 檔案系統清單, 當執行該指令時, 它會將 /etc/exports 檔案的內容複製到 /var/lib/nfs/etab 之後當用戶端要存取此共用目錄時,mountd 就會檢查 /var/lib/nfs/etab 內容, 以決定用戶端的存取權限用戶端連接在 NFS 伺服器設定完成後, 用戶端就可依據本身所擁有的權限, 來存取伺服器上的共用資源, 並且掛載至本機的檔案系統中, 在本章的最後一個小節, 我們將討論有關用戶端連接時的主題檢視 NFS 伺服器上的共用資源用戶端若要檢視 NFS 伺服器上的共用資源, 可以使用 NFS 套件中的 showmount 指令, 以下是先前設定的範例內容 : [root@client1 ~]# showmount -e nfs.f8linux.com Export list for nfs.f8linux.com: /share_3 * /share_2 *.f8linux.com 20-12

13 第 20 章網路磁碟機 /share_ /24 /share_1 ns2.f8linux.com,ns1.f8linux.com -e 參數表示 export 若是該伺服器沒有提供 NFS 服務, 或是服務尚未啟動, 則會顯示以下的錯誤訊息 : [root@client1 ~]# showmount -e ns1.f8linux.com mount clntudp_create:rpc:program not registered 掛載 NFS 伺服器上的共用資源在利用 showmount 指令得知遠端 NFS 伺服器上的共用資源後, 接下來就是進行實際的掛載工作, 在此我們仍然使用 mount 指令, 其格式如下 : mount NFS 伺服器 : 共用目錄本機掛載目錄以下的範例我們將把 NFS 伺服器 (ns1) 上的共用目錄 (/share_3), 掛載到本機 (client1) 上的 /nfs_1 目錄, 但是在掛載前, 需先確定用戶端對此共用目錄有足夠的存取權限, 並在本機上預先建立掛載目錄, 以下是執行的範例 : [root@client1 ~]# mkdir /nfs_1 [root@client1 ~]# mount ns1:/share_3 /nfs_1 若是已不再需要存取此共用目錄, 您可以使用 umount 指令來取消此連接, 以下範例會將上述的掛載目錄進行卸載 : [root@client1 ~]# umount /nfs_

20-4 NFS 圖形管理工具除了編輯 /etc/exports 檔案的方式外, 目前在 Fedora 8 中也提供了一個簡單易用的圖形介面管理工具 - NFS 伺服器設定, 它也可用來進行 NFS 伺服器的維護及設定工作所以在本章的最後一個小節, 我們將說明利用 NFS 伺服器設定來進行 NFS 伺服器的管理不過在預設的情形下,Fedora 8

14 20-4 NFS 圖形管理工具除了編輯 /etc/exports 檔案的方式外, 目前在 Fedora 8 中也提供了一個簡單易用的圖形介面管理工具 - NFS 伺服器設定, 它也可用來進行 NFS 伺服器的維護及設定工作所以在本章的最後一個小節, 我們將說明利用 NFS 伺服器設定來進行 NFS 伺服器的管理不過在預設的情形下,Fedora 8 並不會安裝此程式, 因此必須利用套件管理員來搜尋名為 system-config-nfs 的軟體套件圖 20-3 安裝 NFS 伺服器設定程式在安裝後欲開啟 NFS 伺服器設定程式, 需點選系統 / 管理 / NFS 選項, 或是直接輸入 system-config-nfs 指令, 之後系統即會開啟 NFS 伺服器設定視窗畫面 20-14

第 20 章網路磁碟機圖 20-4 NFS 伺服器設定視窗在此程式視窗中, 會列出目前已共用的目錄名稱, 以及用戶端和存取權限的資訊若要新增其他共用目錄, 可以點選上方工具列的新增鈕, 則系統會出現新增 NFS 共享視窗在新增 NFS 共享視窗中包含三個標籤 : 基本的一般選項和使用者存取等,

15 第 20 章網路磁碟機圖 20-4 NFS 伺服器設定視窗在此程式視窗中, 會列出目前已共用的目錄名稱, 以及用戶端和存取權限的資訊若要新增其他共用目錄, 可以點選上方工具列的新增鈕, 則系統會出現新增 NFS 共享視窗在新增 NFS 共享視窗中包含三個標籤 : 基本的一般選項和使用者存取等, 以下我們將分別說明這些標籤內容中的選項基本的標籤在此標籤內容中, 包含的是 NFS 共用目錄最重要的選項, 以下是這些選項的說明 : 目錄 : 指定共用目錄的絕對路徑主機 : 指定 NFS 伺服器的主機名稱或別名基本權限 : 指定此共用目錄的預設存取權限, 可以使用的選項只有二種 : 唯讀和讀取/ 寫入等

圖 20-5 設定共用目錄的基本選項一般選項標籤在一般選項標籤中, 包含在 NFS 共用時較進階的設定, 一般並不需去變更此處的內容以下是這些選項的說明 : 允許來自大於埠號 1024 的連線 : 在預設的情形下,NFS 只允許使用小於 1024 的連接埠進行連接, 若要開放大於連接埠 1024 的連接則需勾選此項允許非安全的檔案鎖定 : 這是為了相容較早版本的 NFS 伺服器,

16 圖 20-5 設定共用目錄的基本選項一般選項標籤在一般選項標籤中, 包含在 NFS 共用時較進階的設定, 一般並不需去變更此處的內容以下是這些選項的說明 : 允許來自大於埠號 1024 的連線 : 在預設的情形下,NFS 只允許使用小於 1024 的連接埠進行連接, 若要開放大於連接埠 1024 的連接則需勾選此項允許非安全的檔案鎖定 : 這是為了相容較早版本的 NFS 伺服器, 因為它們不支援檔案鎖定功能 (insecurelocks) 停用 subtree 的檢查 : 通常在用戶端要求共用目錄中的檔案時,NFS 伺服器不僅會檢查用戶端對此檔案的存取權限, 同時也包括共用目錄的整個檔案系統, 這是屬於中等的安全性設計在勾選此選項後,NFS 伺服器將停止此類的檢查要求同步寫入操作 : 此選項與 sync 指令功能相同, 若不啟用此功能, 則在執行 exportfs 指令時會出現警告訊息強制立即同步寫入操作 : 立即將設定內容進行同步並寫入磁碟中隱藏以下的檔案系統 : 表示不出現此目錄下的子目錄 20-16

17 第 20 章網路磁碟機只匯入掛載的 : 啟用以下二個選項 1. 選用的掛載點 : 指定掛載的絕對路徑 2. 設定明確的檔案系統 ID: 指定掛載點的檔案系統 ID 圖 20-6 一般選項標籤使用者存取標籤在使用者存取標籤內容中, 包含的是用戶端在存取 NFS 共用目錄時的安全性設定以下是這些選項的說明 : 視遠端的 root 使用者為本機的 root: 與 no_root_squash 選項相同, 但為了安全性的理由, 並不建議啟用此設定視所有的用戶端使用者為匿名的使用者 : 與 all_squash 選項相同, 為了安全性的理由, 建議啟用此項設定為匿名的使用者指定本機的使用者 ID: 除非啟用視所有的用戶端使用者為匿名的使用者選項, 否則無法勾選此項目, 同時必須在使用者 ID 欄位中, 輸入代表匿名使用者的本機使用者 ID

18 為匿名的使用者指定本機的群組 ID: 除非啟用視所有的用戶端使用者為匿名的使用者選項, 否則無法勾選此項目, 同時必須在群組 ID 欄位中, 輸入匿名使用者所屬的本機群組 ID 圖 20-7 共用目錄安全性設定 20-18

05_資源分享-NFS及NIS.doc

05_資源分享-NFS及NIS.doc 5 NFS NFS Server NFS Client NIS NIS 5-0 (Network File System, NFS) Unix NFS mount NFS... Network Information Service NIS Linux NIS NIS NIS / / /etc/passwd /etc/group NFS NIS 5-1 NFS 5-1-1 NFS NFS Network