Nfs krb5 - История изменений

Andy: /* Ссылки */

2018-12-03T10:40:16Z

‎Ссылки

Andy в 10:37, 3 декабря 2018

2018-12-03T10:37:34Z

Andy: /* Проверка */

2018-12-03T10:37:01Z

‎Проверка

Andy в 10:22, 3 декабря 2018

2018-12-03T10:22:06Z

Andy: /* Запуск */

2018-12-03T10:21:29Z

‎Запуск

Andy: /* Конфигурирование сетевой директории */

2018-12-03T10:04:23Z

‎Конфигурирование сетевой директории

Andy: Новая страница: «== Конфигурирование Kerberos NFS == ==== Предварительные требования ==== * Виртуальная машина с дву…»

2018-12-03T09:49:06Z

Новая страница: «== Конфигурирование Kerberos NFS == ==== Предварительные требования ==== * Виртуальная машина с дву…»

Новая страница

== Конфигурирование Kerberos NFS ==

==== Предварительные требования ====
* Виртуальная машина с двумя сетевыми интерфейсами
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code>, <code>krb5-workstation</code>
* На серверной и клиентской машине настроена аутентикация и авторизация через LDAP и Kerberos

== Конфигурирование сетевой директории ==
Создаем директорию <code>krb-share</code> и присваиваем соответствующий контекст <code>SELinux</code>:

<syntaxhighlight lang="bash">
[root@vm-01 ~]# mkdir -p /srv/nfs/krb-share
[root@vm-01 ~]# semanage fcontext -at public_content_rw_t '/srv/nfs/krb-share(/.*)?'
[root@vm-01 ~]# restorecon -vR /srv/nfs/krb-share/
restorecon reset /srv/nfs/krb-share context unconfined_u:object_r:var_t:s0->unconfined_u:object_r:public_content_rw_t:s0
[root@vm-01 ~]# ls -lahiZ /srv/nfs/
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 .
drwxr-xr-x. root root system_u:object_r:var_t:s0 ..
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account
drwxr-xr-x. root root unconfined_u:object_r:public_content_rw_t:s0 krb-share
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 public
[root@vm-01 ~]#
</syntaxhighlight>
Создаем файл <code>/etc/exports.d/krb-share.exports</code> в котором будет указана сетевая директория, следующего содержания:
<syntaxhighlight lang="bash">
[root@vm-01 ~]# cat /etc/exports.d/account.exports
/srv/nfs/krb-share 192.168.10.0/24(sec=krb5p,rw,root_squash)
[root@vm-01 ~]#
</syntaxhighlight>
Директория <code>/srv/nfs/krb-share</code> доступна машинам из сети 192.168.10.0/24, директория доступна для записи, пользователь <code>root</code> будет отображаться в
пользователя <code>nobody</code> на сервере.
Присвоим права на директорию пользователю <code>randy</code> и группе <code>unix</code>:
<syntaxhighlight lang="bash">
[root@vm-01 ~]# id randy
uid=10002(randy) gid=10000(virtuallab) groups=10000(virtuallab),10002(unix)
[root@vm-01 ~]# chown randy:unix /srv/nfs/krb-share/
[root@vm-01 ~]# chmod 750 /srv/nfs/krb-share/
[root@vm-01 ~]# ls -lahiZ /srv/nfs/krb-share/
drwxr-x---. randy unix unconfined_u:object_r:public_content_rw_t:s0 .
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 ..
[root@vm-01 ~]#
</syntaxhighlight>
Перечитаем список сетевых директорий:
<syntaxhighlight lang="bash">
[root@vm-01 ~]# exportfs -avr
exporting 192.168.10.0/24:/srv/nfs/public
exporting 192.168.10.0/24:/srv/nfs/krb-share
exporting 192.168.10.0/24:/srv/nfs/account
[root@vm-01 ~]#
</syntaxhighlight>

==== Запуск ====
Перезапустим сервис, так как мы поменяли версию <code>NFS</code>:
<syntaxhighlight lang="bash">
[root@vm-01 ~]# systemctl restart nfs-server.service
[root@vm-01 ~]# systemctl is-active nfs-server.service
active
[root@vm-01 ~]# systemctl is-enabled nfs-server.service
enabled
[root@vm-01 ~]#
</syntaxhighlight>
Для корректной работы nfs, необхомо включить несколько сервисов в файрволе. Добавляем разрешения:
<syntaxhighlight lang="bash">
[root@vm-01 ~]# firewall-cmd --add-service={mountd,nfs,rpc-bind} --permanent
success
[root@vm-01 ~]# firewall-cmd --reload
success
[root@vm-01 ~]# firewall-cmd --list-services
dhcpv6-client http https mountd nfs rpc-bind ssh
[root@vm-01 ~]#
</syntaxhighlight>
==== Проверка ====
С виртуальной машины <code>vm-01</code> проверим доступность сетевой директории на самом сервере:
<syntaxhighlight lang="bash">
[root@vm-01 ~]# showmount -e vm-01.virtual.lab
Export list for vm-01.virtual.lab:
/srv/nfs/public 192.168.10.0/24
/srv/nfs/account 192.168.10.0/24
[root@vm-01 ~]#
</syntaxhighlight>
Теперь проверим на клиентской машине. Создадим директорию <code>/srv/nfs/account</code> и смонтируем сетевую директорию <code>account</code> в нее:
<syntaxhighlight lang="bash">
[root@vm-02 ~]# showmount -e vm-01.virtual.lab
Export list for vm-01.virtual.lab:
/srv/nfs/public 192.168.10.0/24
/srv/nfs/account 192.168.10.0/24
[root@vm-02 ~]# mkdir -p /mnt/nfs/account
[root@vm-02 ~]# mount.nfs4 -v -o nfsvers=4.2 vm-01.virtual.lab:/srv/nfs/account /mnt/nfs/account/
mount.nfs4: timeout set for Fri Nov 30 17:31:40 2018
mount.nfs4: trying text-based options 'nfsvers=4.2,addr=192.168.10.8,clientaddr=192.168.10.9'
[root@vm-02 ~]# ls -lahiZ /mnt/nfs/
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 .
drwxr-xr-x. root root system_u:object_r:mnt_t:s0 ..
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 public
[lisa@vm-02 ~]$ printf "This is Lisa, and this is my file.\n" > /mnt/nfs/account/account.txt
[lisa@vm-02 ~]$ chmod 660 /mnt/nfs/account/account.txt
[lisa@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt
[lisa@vm-02 ~]$ exit
logout
[root@vm-02 ~]# su - mary
Last login: Fri Nov 30 17:32:49 MSK 2018 on pts/0
[mary@vm-02 ~]$ printf "This is Mary, and this is my contibution to Lisa's work.\n" >> /mnt/nfs/account/account.txt
[mary@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt
[mary@vm-02 ~]$ cat /mnt/nfs/account/account.txt
This is Lisa, and this is my file.
This is Mary, and this is my contibution to Lisa's work.
[mary@vm-02 ~]$ exit
logout
[root@vm-02 ~]# ls -lahi /mnt/nfs/account/
ls: cannot open directory /mnt/nfs/account/: Permission denied
[root@vm-02 ~]#
</syntaxhighlight>
Пользователя <code>root</code> не пускает потому, что сетевая директория имеет опцию <code>root_squash</code>

== Ссылки ==
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br />

← Предыдущая		Версия 10:40, 3 декабря 2018
Строка 192:		Строка 192:
	== Ссылки ==		== Ссылки ==
	[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br />		[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br />
		+	[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/s1-nfs-security Securing NFS]<br />

@@ Строка 179: / Строка 179: @@
 /03/2018 14:33:13  12/04/2018 14:33:13  krbtgt/VIRTUAL.LAB@VIRTUAL.LAB
 	renew until 12/03/2018 14:33:13
+</syntaxhighlight>
 Пробуем записать файл в директорию:
 <syntaxhighlight lang="bash">

@@ Строка 72: / Строка 72: @@
 </syntaxhighlight>
-Для поддержки керберос аутентикации сетевых директорий <code>NFS</code>, в RHEL 7.0 надо, кроме сервиса <code>nfs-server</code> запустить сервис <code>nfs-server-secure</code>:
+Для поддержки керберос аутентикации сетевых директорий <code>NFS</code>, в RHEL 7.0 надо, кроме сервиса <code>nfs-server</code> запустить сервис <code>nfs-secure-server</code>:
 <syntaxhighlight lang="bash">
 [root@vm-01 ~]# systemctl enable nfs-secure-server

@@ Строка 106: / Строка 106: @@
 [root@vm-01 ~]# showmount -e vm-01.virtual.lab
 Export list for vm-01.virtual.lab:
-/srv/nfs/public  192.168.10.0/24
+/srv/nfs/public    192.168.10.0/24
-/srv/nfs/account 192.168.10.0/24
+/srv/nfs/krb-share 192.168.10.0/24
 [root@vm-01 ~]#
 </syntaxhighlight>
-Теперь проверим на клиентской машине. Создадим директорию <code>/srv/nfs/account</code> и смонтируем сетевую директорию <code>account</code> в нее:
+Теперь проверим на клиентской машине. Создадим директорию <code>/srv/nfs/krb-share</code> и смонтируем сетевую директорию <code>krb-share</code> в нее:
 <syntaxhighlight lang="bash">
 [root@vm-02 ~]# showmount -e vm-01.virtual.lab
 Export list for vm-01.virtual.lab:
-/srv/nfs/public  192.168.10.0/24
+/srv/nfs/public    192.168.10.0/24
-/srv/nfs/account 192.168.10.0/24
+/srv/nfs/krb-share 192.168.10.0/24
-[root@vm-02 ~]# mkdir -p /mnt/nfs/account
+/srv/nfs/account   192.168.10.0/24
-[root@vm-02 ~]# mount.nfs4 -v -o nfsvers=4.2 vm-01.virtual.lab:/srv/nfs/account /mnt/nfs/account/
+[root@vm-02 ~]# mkdir /mnt/nfs/krb-share
-mount.nfs4: timeout set for Fri Nov 30 17:31:40 2018
+</syntaxhighlight>
-mount.nfs4: trying text-based options 'nfsvers=4.2,addr=192.168.10.8,clientaddr=192.168.10.9'
+Теперь скопируем <code>keytab</code> файл с сервера <code>vm-03.virtual.lab</code>, на сервер <code>vm-02.virtual.lab</code> и сразу восстановим контекст <code>SELinux</code>:
-[root@vm-02 ~]# ls -lahiZ /mnt/nfs/
+<syntaxhighlight lang="bash">
-drwxr-xr-x. root root    unconfined_u:object_r:mnt_t:s0   .
+[root@vm-02 ~]# scp -p root@vm-03.virtual.lab:/etc/krb5.keytab /etc/
-drwxr-xr-x. root root    system_u:object_r:mnt_t:s0       ..
+The authenticity of host 'vm-03.virtual.lab (192.168.10.10)' can't be established.
-drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account
+ECDSA key fingerprint is ae:71:ab:e1:8a:33:77:68:c7:de:a3:16:14:14:4c:0b.
-drwxr-xr-x. root root    unconfined_u:object_r:mnt_t:s0   public
+Are you sure you want to continue connecting (yes/no)? yes
-[lisa@vm-02 ~]$ printf "This is Lisa, and this is my file.\n" > /mnt/nfs/account/account.txt
+Warning: Permanently added 'vm-03.virtual.lab,192.168.10.10' (ECDSA) to the list of known hosts.
-[lisa@vm-02 ~]$ chmod 660 /mnt/nfs/account/account.txt
+root@vm-03.virtual.lab's password:
-[lisa@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt
+krb5.keytab                                                                                                                                                 100% 1818     1.8KB/s   00:00
--rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt
+[root@vm-02 ~]# restorecon -vR /etc/krb5.keytab
-[lisa@vm-02 ~]$ exit
+[root@vm-02 ~]# ls -lahiZ /etc/krb5.keytab
-logout
+-rw-------. root root unconfined_u:object_r:krb5_keytab_t:s0 /etc/krb5.keytab
-[root@vm-02 ~]# su - mary
+[root@vm-02 ~]#
-Last login: Fri Nov 30 17:32:49 MSK 2018 on pts/0
+</syntaxhighlight>
-[mary@vm-02 ~]$ printf "This is Mary, and this is my contibution to Lisa's work.\n" >> /mnt/nfs/account/account.txt
+Для работы керберезированных сетевых директорий, нам понадобиться включить сервис <code>nfs-secure.service</code> на клиентской машине <code>vm-02.virtual.lab</code>:
-[mary@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt
+<syntaxhighlight lang="bash">
--rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt
+[root@vm-02 ~]# systemctl enable nfs-secure.service
-[mary@vm-02 ~]$ cat /mnt/nfs/account/account.txt
+ln -s '/usr/lib/systemd/system/nfs-secure.service' '/etc/systemd/system/nfs.target.wants/nfs-secure.service'
-This is Lisa, and this is my file.
+[root@vm-02 ~]# systemctl start nfs-secure.service
-This is Mary, and this is my contibution to Lisa's work.
+[root@vm-02 ~]# systemctl status -l nfs-secure.service
-[mary@vm-02 ~]$ exit
+nfs-secure.service - Secure NFS
-logout
+   Loaded: loaded (/usr/lib/systemd/system/nfs-secure.service; enabled)
-[root@vm-02 ~]# ls -lahi /mnt/nfs/account/
+   Active: active (running) since Mon 2018-12-03 14:30:06 MSK; 4s ago
-ls: cannot open directory /mnt/nfs/account/: Permission denied
+  Process: 25392 ExecStart=/usr/sbin/rpc.gssd $RPCGSSDARGS (code=exited, status=0/SUCCESS)
 [root@vm-02 ~]#
 </syntaxhighlight>
-Пользователя <code>root</code> не пускает потому, что сетевая директория имеет опцию <code>root_squash</code>
+Далее, необходимо примонтировать сетевую директорию:
 == Ссылки ==
 [https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br />

@@ Строка 57: / Строка 57: @@
 </syntaxhighlight>
 ==== Запуск ====
-Перезапустим сервис, так как мы поменяли версию <code>NFS</code>:
+Копируем <code>keytab</code> файл с сервера <code>vm-03.virtual.lab</code>, на сервер <code>vm-01.virtual.lab</code>:
 <syntaxhighlight lang="bash">
-[root@vm-01 ~]# systemctl restart nfs-server.service
+[root@vm-01 ~]# scp -p root@vm-03.virtual.lab:/etc/krb5.keytab /etc/
-[root@vm-01 ~]# systemctl is-active nfs-server.service
+root@vm-03.virtual.lab's password:
-active
+krb5.keytab                                                                                                                                                 100% 1818     1.8KB/s   00:00
-[root@vm-01 ~]# systemctl is-enabled nfs-server.service
+[root@vm-01 ~]#
-enabled
+</syntaxhighlight>
 [root@vm-01 ~]#
 </syntaxhighlight>
@@ Строка 76: / Строка 100: @@
 [root@vm-01 ~]#
 </syntaxhighlight>
 ==== Проверка ====
 С виртуальной машины <code>vm-01</code> проверим доступность сетевой директории на самом сервере: