NFS【文件共享】服务端配置和客户端使用详细说明【包含基于kerberos的nfs配置】

关于NFS的基本配置和权限的设置

• NFS(Network File System) 网络文件系统&＃xff0c;是FreeBSD支持的文件系统中的一种&＃xff0c;它允许网络中的计算机之间通过TCP/IP网络共享资源。在NFS的应用中&＃xff0c;本地NFS的客户端应用可以透明地读写位于远端NFS服务器上的文件&＃xff0c;就像访问本地文件一样。NFS主要用于LInux与Linux之间进行文件系统共享。

• 简单的来说&＃xff1a;它就是是可以透过网络&＃xff0c;让不同的主机、不同的操作系统可以共享存储。

• NFS 的基本原则是“容许不同的客户端及服务端通过一组RPC分享相同的文件系统”&＃xff0c;它是独立于操作系统&＃xff0c;容许不同硬件及操作系统的系统共同进行文件的分享。

• NFS在文件传送或信息传送过程中依赖于RPC协议。RPC(Remote Procedure Call)远程过程调用 是能使客户端执行其他系统中程序的一种机制。NFS本身是没有提供信息传输的协议和功能的&＃xff0c;但NFS却能让我们通过网络进行资料的分享&＃xff0c;这是因为NFS使用了一些其它的传输协议。而这些传输协议用到这个RPC功能的。可以说NFS本身就是使用RPC的一个程序。或者说NFS也是一个RPC SERVER。所以只要用到NFS的地方都要启动RPC服务&＃xff0c;不论是NFS SERVER或者NFS CLIENT。这样SERVER和CLIENT才能通过RPC来实现PROGRAM PORT的对应。可以这么理解RPC和NFS的关系&＃xff1a;NFS是一个文件系统&＃xff0c;而RPC是负责负责信息的传输。

  • 需要安装的软件包&＃xff1a;nfs-utils (NFS服务的主程序) 、 rpcbind (RPC服务的主程序)
  • 程序目录&＃xff1a;/usr/lib/systemd/system/nfs-server.service 、 /usr/sbin/rpcbind
  • 服务器端nfs配置文件&＃xff1a;/etc/exports

• NFS的优势&＃xff1a;

  • 节省本地存储空间&＃xff0c;将常用的数据存放在一台NFS服务器上且可以通过网络访问&＃xff0c;那么本地终端将可以减少自身存储空间的使用。
  • 用户不需要在网络中的每个机器上都建有Home目录&＃xff0c;Home目录可以放在NFS服务器上且可以在网络上被访问使用。
  • 一些存储设备CDROM和Zip&＃xff08;一种高储存密度的磁盘驱动器与磁盘&＃xff09;等都可以在网络上被别的机器使用。这可以减少整个网络上可移动介质设备的数量。

nfs相当于类unix之间一种文件的共享
只要编辑/etc/exports或者在/etc/exports.d/里创建一个后缀为exports的文件即可。

服务端配置

参数说明

• exportfs命令
  一般格式&＃xff1a; exportfs &＃43; 参数

  • 具体参数详解&＃xff1a;
    • -a # 全部挂载&＃xff08;或卸载&＃xff09;/etc/exports文件内的设定。
    • -r # 重新挂载/etc/exports中的设置&＃xff0c;此外同步更新/etc/exports及/var/lib/nfs/xtab中的内容。
    • -u # 卸载某一目录。
    • -v # 在export时将共享的目录显示在屏幕上。

• 关于NFS共享的常用参数

  • ro # 只读访问
  • rw # 读写访问
  • sync # 所有数据在请求时写入共享 【数据实时同步】
  • async # NFS在写入数据前可以相应请求
  • secure # NFS通过1024以下的安全TCP/IP端口发送
  • insecure # NFS通过1024以上的端口发送
  • wdelay # 如果多个用户要写入NFS目录&＃xff0c;则归组写入&＃xff08;默认&＃xff09;
  • no_wdelay # 如果多个用户要写入NFS目录&＃xff0c;则立即写入&＃xff0c;当使用async时&＃xff0c;无需此设置。
  • hide # 在NFS共享目录中不共享其子目录
  • no_hide # 共享NFS目录的子目录
  • subtree_check # 如果共享/usr/bin之类的子目录时&＃xff0c;强制NFS检查父目录的权限&＃xff08;默认&＃xff09;
  • no_subtree_check # 和上面相对&＃xff0c;不检查父目录权限
  • all_squash # 共享文件的UID和GID映射匿名用户
  • no_all_squash # 保留共享文件的UID和GID&＃xff08;默认&＃xff09;
  • root_squash # root用户的所有请求映射成如anonymous用户一样的权限&＃xff08;默认&＃xff09;
  • no_root_squash # root用户具有根目录的完全管理访问权限
  • anonuid&＃61;xxx # 指定NFS服务器/etc/passwd文件中匿名用户的UID
  • anongid&＃61;xxx # 指定NFS服务器/etc/passwd文件中匿名用户的GID

安装nfs服务

• 如果你是最小化安装的系统&＃xff0c;默认是没有nfs这个服务的&＃xff0c;所以最小化安装的系统&＃xff0c;需要先安装nfs服务&＃xff1a; yum install -y nfs-u*
• 安装完毕以后&＃xff0c;把nfs-servcer 这个服务启动起来

[root&＃64;centos76_2 ~]# yum -y install nfs-u*
[root&＃64;centos76_2 ~]# systemctl start nfs-server.service
[root&＃64;centos76_2 ~]# systemctl is-active nfs-server.service
active
[root&＃64;centos76_2 ~]#


防火墙设置

• 如果防火墙没有特别需求&＃xff0c;直接关闭即可

[root&＃64;centos76_2 ~]# systemctl stop firewalld.service
[root&＃64;centos76_2 ~]# systemctl is-active firewalld.service
unknown
[root&＃64;centos76_2 ~]#


• 如果防火墙有策略&＃xff0c;就在防火墙中把nfs&＃xff0c;rpc&＃xff0c;mountd3个服务开放&＃xff0c;并且/etc/exports目录是默认是没有任何东西的&＃xff0c;如下图&＃xff1a;
  
• selinux建议直接关掉

[root&＃64;centos76_2 ~]# setenforce 0
[root&＃64;centos76_2 ~]# getenforce
Permissive
[root&＃64;centos76_2 ~]#


挂载目录配置

配置一个用来共享的目录【如果使用现有目录&＃xff0c;忽略这一步】&＃xff0c;给共享目录下所有文件给一个w权限&＃xff0c;否则无法写入文件&＃xff0c;如下&＃xff0c;我的共享目录为&＃xff1a;/root/ccx&＃xff0c;并新建了几个文件用来测试。

[root&＃64;centos76_2 ~]# mkdir /root/ccx
[root&＃64;centos76_2 ~]# cd /root/ccx/
[root&＃64;centos76_2 ccx]# mkdir file{1..3}
[root&＃64;centos76_2 ccx]# touch test{4..6}
[root&＃64;centos76_2 ccx]# ls
file1 file2 file3 test4 test5 test6
[root&＃64;centos76_2 ccx]#
[root&＃64;centos76_2 ccx]# chmod o&＃43;w /root/ccx/*
[root&＃64;centos76_2 ccx]#


配置共享【权限见上面参数说明】

• 只需要编辑/etc/exports或者在/etc/exports.d/里创建后缀为exports的文件即可&＃xff08;建议使用前者&＃xff09;
• 语法是&＃xff1a;

# 客户端ip可以为单个ip&＃xff0c;格式为&＃xff1a; ip/掩码&＃xff0c;也可以放开一个段&＃xff0c;格式为&＃xff1a; 192.168.59.0/24
# 如果掩码是24位&＃xff0c;可以不用加&＃xff0c;默认24位掩码
/共享目录 客户端1ip(权限a&＃xff0c;权限b&＃xff0c;权限c&＃xff0c;...)客户端2ip(权限x&＃xff0c;权限y,...)
#上述是一行写的&＃xff0c;也可以分成多行写&＃xff0c;如下&＃xff1a;
/共享目录 客户端1ip(权限a&＃xff0c;权限b&＃xff0c;权限c&＃xff0c;...)
/共享目录 客户端2ip(权限x&＃xff0c;权限y,...)
#还有一种是对所有ip开放
/共享目录 *(权限a&＃xff0c;权限b)


• 配置流程

  • 1、把需要挂载的目录写到/etc/exports中&＃xff0c;指定目录和共享目的ip
  • 2、exportfs -arv &＃xff1a;刷新/etc/exports列表&＃xff08;因为一开始就启动了nfs-server&＃xff0c;如果修改/etc/exports文件的时候&＃xff0c;就不需要再次重启&＃xff0c;直接刷新即可&＃xff09;
  • 3、把文件写到/etc/exports&＃xff0c;并刷新后&＃xff0c;【1和2做完】服务端便配置完成

• 配置过程【完整demo】
  服务端ip为&＃xff1a;192.168.59.129
  需求&＃xff1a;128有读写权限&＃xff0c;130只有访问权限
  因为我没有特殊权限要求&＃xff0c;所以只用了很简单的权限&＃xff0c;可以参考上面参数说明中的权限&＃xff0c;按需添加&＃xff0c;逗号隔开即可

[root&＃64;centos76_2 ccx]# vim /etc/exports
/root/ccx 192.168.59.128(rw,sync)
/root/ccx 192.168.59.130(ro)
[root&＃64;centos76_2 ccx]# exportfs -arv
exporting 192.168.59.128:/root/ccx
exporting 192.168.59.130:/root/ccx
[root&＃64;centos76_2 ccx]#


客户端配置

查看共享

showmount -e 服务器ip&＃xff1a;查看分享(配置)详细

[root&＃64;centos76_1 ftp]# showmount -e 192.168.59.129
Export list for 192.168.59.129:
/root/ccx 192.168.59.130,192.168.59.128
[root&＃64;centos76_1 ftp]#


创建挂载路径

mkdir创建任意目录用来当做挂载路径

[root&＃64;centos76_1 ftp]# mkdir -p /nfs/ccx


挂载

方法&＃xff1a;mount 服务器ip:分享路径 挂载路径 【分享路径上面有查看命令】
df -h 查看是否挂载成功

[root&＃64;centos76_1 ftp]# showmount -e 192.168.59.129
Export list for 192.168.59.129:
/root/ccx 192.168.59.130,192.168.59.128
[root&＃64;centos76_1 ftp]# mount 192.168.59.129:/root/ccx /nfs/ccx/
[root&＃64;centos76_1 ftp]# df -Th | tail -n 1
192.168.59.129:/root/ccx nfs 50G 3.7G 47G 8% /nfs/ccx
[root&＃64;centos76_1 ftp]# cd /nfs/ccx
[root&＃64;centos76_1 ccx]# ls # 这文件是服务端创建的&＃xff0c;没问题
file1 file2 file3 test4 test5 test6
[root&＃64;centos76_1 ccx]#


客户端配置完成

权限不够说明【root用户无法在共享文件中创建文件】

配置完成后&＃xff0c;在挂载的路径/nfs中写入数据&＃xff0c;实际上都是放在服务器端共享的存储中&＃xff0c;现在以root用户任意创建一个文件&＃xff0c;会发现写不进去&＃xff0c;报错提示权限不够,实际上我们分享的时候已经指定rw权限了&＃xff0c;并且也是root用户&＃xff0c;按理说不应该出现权限不够的问题&＃xff0c;其实这是nfs本身机制导致的

[root&＃64;centos76_1 ccx]# ls
file1 file2 file3 test4 test5 test6
[root&＃64;centos76_1 ccx]# touch ccx
touch: 无法创建"ccx": 权限不够


处理方法有2种&＃xff1a;
1、我们先看一下nfs的默认选项cat /var/lib/nfs/etab【服务端】

可以看到其中有一项是root_squash&＃xff0c;该项是压缩root权限的意思&＃xff0c;还有一项是&＃xff1a;anonuid&＃61;65534&＃xff0c;该项意思是把root权限压缩为uid为65534用户的权限&＃xff0c;我们来看一下uid为65534的用户名为nfsnobady

[root&＃64;centos76_2 ccx]# awk -F: &＃39;/65534/{print $3,$1}&＃39; /etc/passwd
65534 nfsnobody


而nfsnobody属于other用户&＃xff0c; 本身是无法使用x权限的&＃xff0c;所以需要给nfsnobody加一个w权限&＃xff1a;chmod o&＃43;w 共享目录名&＃xff0c;如共享目录名称是/nfs/ccx&＃xff1a;chmod o&＃43;w /nfs/ccx

[root&＃64;centos76_2 ccx]# ll /root | grep ccx
drwxr-xr-x. 5 root root 84 May 10 00:20 ccx
[root&＃64;centos76_2 ccx]# chmod o&＃43;w /root/ccx
[root&＃64;centos76_2 ccx]# ll /root | grep ccx
drwxr-xrwx. 5 root root 84 May 10 00:20 ccx
[root&＃64;centos76_2 ccx]#


2、在/etc/exports中共享目录的时候加上权限&＃xff1a;no_root_squash&＃xff0c;意思是不压缩root权限&＃xff1a;

[root&＃64;centos76_2 ccx]# vim /etc/exports
/root/ccx 192.168.59.128(rw,sync,no_root_squash)
/root/ccx 192.168.59.130(ro)
[root&＃64;centos76_2 ccx]# exportfs -arv
exporting 192.168.59.128:/root/ccx
exporting 192.168.59.130:/root/ccx


注&＃xff1a;修改后不要重启服务&＃xff0c;使用exportfs -arv 刷新即可
上诉2个解决方法使用其中任意一个均可&＃xff0c;操作完任意一个后&＃xff0c;再次创建一个文件到挂载共享目录&＃xff0c;发现正常&＃xff1a;

[root&＃64;centos76_1 ccx]# touch ccx
[root&＃64;centos76_1 ccx]# ls
ccx file1 file2 file3 test4 test5 test6
[root&＃64;centos76_1 ccx]# mkdir hero_ccx_file
[root&＃64;centos76_1 ccx]# ls
ccx file1 file2 file3 hero_ccx_file test4 test5 test6
[root&＃64;centos76_1 ccx]#


特殊使用【仅一个ip可读写&＃xff0c;其他为制度】

如&＃xff1a;我现在想让192.168.26.200可以写&＃xff0c;其他客户端不能写&＃xff08;只读&＃xff09;
vi /etc/exports , 注意&＃xff1a;其实掩码默认是24位的&＃xff0c;因为这里需要单独把200放开&＃xff0c;所以需要把200的掩码改为32位&＃xff0c;注&＃xff1a;第二个ip前面有一个空格

exportfs -avr 刷新 即可

权限测试

• 上面服务端配置的时候说过&＃xff0c;128具有读写权限&＃xff0c;130只有访问权限
  
• 测试128
  这个我已经挂载好了&＃xff0c;所以直接测试

[root&＃64;centos76_1 ccx]# ip a | grep 59.128inet 192.168.59.128/24 brd 192.168.59.255 scope global noprefixroute ens33
[root&＃64;centos76_1 ccx]# ls
123 ccx file1 file2 file3 hero_ccx_file test4 test5 test6
[root&＃64;centos76_1 ccx]# echo test4>test4
[root&＃64;centos76_1 ccx]# touch ccx_hero
[root&＃64;centos76_1 ccx]# cat test4
test4
[root&＃64;centos76_1 ccx]#


写内容报错提升权限不够&＃xff0c;用ll查看other用户是否有w权限&＃xff0c;没有的话去服务端添加即可&＃xff1a;chmod o&＃43;w 分享目录/* 【上面“挂载目录设置”有说明】

• 测试130
  这是没有挂载的&＃xff0c;从挂载测试开始&＃xff0c;代码后面有注释说明

[root&＃64;centos76_3 ~]# ip a | grep 59.130inet 192.168.59.130/24 brd 192.168.59.255 scope global noprefixroute dynamic ens33
[root&＃64;centos76_3 ~]# mkdir /nfs/ccx -p # 创建挂载目录
[root&＃64;centos76_3 ~]# showmount -e 192.168.59.129 # 查看共享信息
Export list for 192.168.59.129:
/root/ccx 192.168.59.130,192.168.59.128
[root&＃64;centos76_3 ~]# mount 192.168.59.129:/root/ccx /nfs/ccx #挂载
[root&＃64;centos76_3 ~]# cd /nfs/ccx
[root&＃64;centos76_3 ccx]# ls
123 ccx ccx_hero file1 file2 file3 hero_ccx_file test4 test5 test6
[root&＃64;centos76_3 ccx]# cat test4 #查看没问题
test4
[root&＃64;centos76_3 ccx]# echo test6 > test6 #写入权限不够
-bash: test6: Permission denied
[root&＃64;centos76_3 ccx]# touch test_130 #创建权限不够
touch: cannot touch ‘test_130’: Read-only file system
[root&＃64;centos76_3 ccx]#


一切ok

卸载已挂载nfs文件

直接umount 挂载路径即可。

nfs自动挂载

自动挂载其实就是aotufs功能实现的&＃xff0c;想了解的去看这篇博客

aotofs配置和挂载本地目录及nfs使用详细说明【aotofs即自动挂载】

基于kerberos的NFS

服务端配置

1、 先下载krb5.keytab&＃xff1a;wget http://host.rhce.cc/materials/nfs_server.keytab -O /etc/krb5.keytab

2、 修改他的上下文&＃xff1a;chcon -R -t public_content_t 共享目录 因为共享的时候需要把上下文一起共享出去

3、 修改配置文件把上下文也共享出去&＃xff1a;vi /etc/sysconfig/nfs
找到RPCNFSDARGS&＃xff0c;后面加上 “-V 4.2”

4、 吧这个目录共享出去&＃xff1a;vi /etc/exports
编辑/共享目录 *(rw,sync,sec&＃61;krb5p)【注&＃xff1a;*是所有ip的意思】

5、 启动和安全相关的nfs服务并设置开启自启&＃xff1a;systemctl start nfs-secure-server , systemctl enable nfs-secure-server &＃xff0c;然后重启一下nfs-server&＃xff1a;systemctl restart nfs-server

6、 把挂载目录的权限改为某个用户的权限&＃xff08;可为root&＃xff0c;也可以为普通用户&＃xff09;&＃xff1a;chown 用户名 挂载目录

&＃xff08;主要用于网络用户ssh的时候看得出区别&＃xff09;
作用测试&＃xff08;system2配置完毕的客户端&＃xff0c;所以这部需把客户端配置完毕后操作&＃xff09;&＃xff1a;

服务端配置完毕

客户端配置&＃xff1a;

查看共享文件&＃xff1a;showmount -e 服务端主机名&＃xff08;也可ip&＃xff09;【使用主机名需要先添加解析】&＃xff1a;

说一下普通方式共享的文件写入/etc/fstab的方法&＃xff1a;

写入保存后 mount -a 即可自动挂载&＃xff1a;

kerberos保护的文件挂载需要kerberos秘钥&＃xff0c;所以也需要安装相同目录的krb5&＃xff1a;
1、 wget http://host.rhce.cc/materials/nfs_client.keytab -O /etc/krb5.keytab

2、vi /etc/fstab

如&＃xff1a;一般可能没有设置长主机名&＃xff0c;就设置了主机名&＃xff1a;hostname -f 查看长主机名

解释一下&＃xff1a;
长主机名就是长主机名&＃xff08;也俗称带域名&＃xff09;- hostname -f
短主机名就是短主机名-设置了长主机名的话&＃xff0c;第一个 . 前面的内容便是短主机名
3、 启动服务并设置开机自启&＃xff1a;systemctl start nfs-secure &＃xff0c; systemctl enable nfs-secure
4、 mount -a挂载即可&＃xff1a;