我遇到的问题是从另一台我无法控制的NFS服务器上安装共享.如果我禁用防火墙,我可以挂载共享.我也可以在不禁用防火墙的情况下挂载其他NFS共享.
所以这引出了两个问题：
>为什么防火墙会阻止NFS客户端安装某些服务器而不安装其他服务器？
>客户端可以指定用于NFS挂载的端口吗？
完整配置和错误信息：
根据nfsstat,服务器是NFSv3.我做山时：
# mount -t nfs -v 192.168.80.48:/location /mnt/tmp mount.nfs: timeout set for Fri Mar 23 09:13:00 2012 mount.nfs: trying text-based options 'vers=4,addr=192.168.80.48,clientaddr=192.168.40.173' mount.nfs: mount(2): No such file or directory mount.nfs: trying text-based options 'addr=192.168.80.48' mount.nfs: prog 100003,trying vers=3,prot=6 mount.nfs: trying 192.168.80.48 prog 100003 vers 3 prot TCP port 2049 mount.nfs: prog 100005,prot=17 mount.nfs: trying 192.168.80.48 prog 100005 vers 3 prot UDP port 678 mount.nfs: portmap query retrying: RPC: Timed out mount.nfs: prog 100005,prot=6 mount.nfs: trying 192.168.80.48 prog 100005 vers 3 prot TCP port 681 mount.nfs: portmap query Failed: RPC: Remote system error - Connection timed out
我看到丢弃的数据包：
Rejected packets: SRC=192.168.80.48 DST=192.168.40.173 LEN=60 TOS=0x00 PREC=0x00 TTL=63 ID=0 DF PROTO=TCP SPT=681 DPT=40325 WINDOW=5792 RES=0x00 ACK SYN URGP=0 Rejected packets: SRC=192.168.80.48 DST=192.168.40.173 LEN=60 TOS=0x00 PREC=0x00 TTL=63 ID=0 DF PROTO=TCP SPT=681 DPT=47419 WINDOW=5792 RES=0x00 ACK SYN URGP=0 Rejected packets: SRC=192.168.80.48 DST=192.168.40.173 LEN=60 TOS=0x00 PREC=0x00 TTL=63 ID=0 DF PROTO=TCP SPT=681 DPT=41238 WINDOW=5792 RES=0x00 ACK SYN URGP=0
showmount以同样的方式失败.从详细的挂载打印,看起来像portmap是问题,但我确实打开了.
# rpcinfo -p
program vers proto port service
100000 4 tcp 111 portmapper
100000 3 tcp 111 portmapper
100000 2 tcp 111 portmapper
100000 4 udp 111 portmapper
100000 3 udp 111 portmapper
100000 2 udp 111 portmapper
100024 1 udp 32765 status
100024 1 tcp 32765 status
100003 2 tcp 2049 nfs
100003 3 tcp 2049 nfs
100003 4 tcp 2049 nfs
100227 2 tcp 2049
100227 3 tcp 2049
100003 2 udp 2049 nfs
100003 3 udp 2049 nfs
100003 4 udp 2049 nfs
100227 2 udp 2049
100227 3 udp 2049
100021 1 udp 4002 nlockmgr
100021 3 udp 4002 nlockmgr
100021 4 udp 4002 nlockmgr
100021 1 tcp 4001 nlockmgr
100021 3 tcp 4001 nlockmgr
100021 4 tcp 4001 nlockmgr
100005 1 udp 32767 mountd
100005 1 tcp 32767 mountd
100005 2 udp 32767 mountd
100005 2 tcp 32767 mountd
100005 3 udp 32767 mountd
100005 3 tcp 32767 mountd
# cat /etc/services
sunrpc 111/tcp portmapper # RPC 4.0 portmapper
sunrpc 111/udp portmapper
nfs 2049/tcp # Network File System
nfs 2049/udp # Network File System
# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT tcp -- anywhere anywhere tcp dpt:smtp
ACCEPT tcp -- anywhere anywhere tcp dpt:domain
ACCEPT tcp -- anywhere anywhere tcp dpt:sunrpc
ACCEPT tcp -- anywhere anywhere tcp dpt:ntp
ACCEPT tcp -- anywhere anywhere tcp dpt:netbios-ns
ACCEPT tcp -- anywhere anywhere tcp dpt:netbios-dgm
ACCEPT tcp -- anywhere anywhere tcp dpt:netbios-ssn
ACCEPT tcp -- anywhere anywhere tcp dpt:https
ACCEPT tcp -- anywhere anywhere tcp dpt:microsoft-ds
ACCEPT tcp -- anywhere anywhere tcp dpt:nfs
ACCEPT tcp -- anywhere anywhere tcp dpt:sunrpc
ACCEPT tcp -- anywhere anywhere tcp dpt:3260
ACCEPT tcp -- anywhere anywhere tcp dpt:32765
ACCEPT tcp -- anywhere anywhere tcp dpt:32766
ACCEPT tcp -- anywhere anywhere tcp dpt:32767
ACCEPT tcp -- anywhere anywhere tcp dpt:4001
ACCEPT udp -- anywhere anywhere udp dpt:domain
ACCEPT udp -- anywhere anywhere udp dpt:sunrpc
ACCEPT udp -- anywhere anywhere udp dpt:ntp
ACCEPT udp -- anywhere anywhere udp dpt:netbios-ns
ACCEPT udp -- anywhere anywhere udp dpt:netbios-dgm
ACCEPT udp -- anywhere anywhere udp dpt:netbios-ssn
ACCEPT udp -- anywhere anywhere udp dpt:https
ACCEPT udp -- anywhere anywhere udp dpt:microsoft-ds
ACCEPT udp -- anywhere anywhere udp dpt:nfs
ACCEPT udp -- anywhere anywhere udp dpt:4002
ACCEPT udp -- anywhere anywhere udp dpt:32765
ACCEPT udp -- anywhere anywhere udp dpt:32766
ACCEPT udp -- anywhere anywhere udp dpt:32767
ACCEPT tcp -- anywhere anywhere tcp spt:domain
ACCEPT udp -- anywhere anywhere udp spt:domain
ACCEPT tcp -- anywhere anywhere tcp spt:sunrpc
ACCEPT udp -- anywhere anywhere udp spt:sunrpc
ACCEPT tcp -- anywhere anywhere tcp spt:netbios-ssn
ACCEPT udp -- anywhere anywhere udp spt:netbios-ssn
ACCEPT tcp -- anywhere anywhere tcp spt:https
ACCEPT udp -- anywhere anywhere udp spt:https
ACCEPT tcp -- anywhere anywhere tcp spt:microsoft-ds
ACCEPT udp -- anywhere anywhere udp spt:microsoft-ds
ACCEPT tcp -- anywhere anywhere tcp spt:submission
ACCEPT udp -- anywhere anywhere udp spt:submission
ACCEPT tcp -- anywhere anywhere tcp spt:nfs
ACCEPT udp -- anywhere anywhere udp spt:nfs
解决方法
sunrpc.max_resvport = 1023
sunrpc.min_resvport = 650
这些设置定义用于建立RPC连接的最高和最低端口(NFS)
您可以打开这些端口或根据您的系统定义不同的范围.如果它尝试使用被防火墙或使用该端口的其他服务阻止的端口,您将会拒绝.
编辑：
您也可以增加/减少此范围.我有一台服务器,在fstab中定义了460个NFS挂载,并且在372左右后它将失败.当我手动安装其中一个失败的安装时,它会安装它但卸下其中一个工作安装座.我将这个范围增加了150并且它们全都安装了.这不是最好的方法.我想到了自动挂载程序,但它确实有效.
要进行修改,您将编辑/etc/sysctl.conf,添加如下行：
sunrpc.min_resvport = 900
如果您需要更改,请将更改永久化.请记住,如果你超过1024那些是“非特权”端口,普通系统用户可以访问它们 – 1024.
编辑2：
proto = tcp – 强制mount使用TCP / IP
public – 完全绕过portmapper并在端口2049上联系NFS服务器,除非另有说明
所以,mount nfs.test.com:/export / test
变
mount -o proto = tcp,public nfs.test.com:/export / test
编辑3
好的 – 我们走吧！ root @ pressyrluck#./ nowhammies>的/ dev /请
这个信息被解除了从Sourceforge NFS借来的复制
通过nfs共享数据所涉及的一些守护进程已经绑定到一个端口. portmap始终在端口111 tcp和udp上. nfsd总是在端口2049 TCP和UDP上(但是,从内核2.4.17开始,NFS over TCP被认为是实验性的,不能在生产机器上使用).
其他守护进程,statd,mountd,lockd和rquotad通常会移动到portmapper通知的第一个可用端口.
要强制statd绑定到特定端口,请使用-p portnum选项.要强制statd响应特定端口,请在启动时使用-o portnum选项.
要强制mountd绑定到特定端口,请使用-p portnum选项.
例如,要在端口32765上进行statd广播并在端口32766上进行侦听,并在端口32767上进行mountd侦听,则应键入：
# statd -p 32765 -o 32766 # mountd -p 3276
lockd在需要时由内核启动.因此,您需要传递模块选项(如果您将其构建为模块)或内核选项,以强制锁定以侦听并仅响应某些端口.
如果您正在使用可加载模块,并且您想在/etc/modules.conf文件中指定这些选项,请在文件中添加如下所示的行：
options lockd nlm_udpport=32768 nlm_tcpport=32768
为了便于讨论,我们描述一个网络并设置防火墙以保护我们的nfs服务器.我们的nfs服务器是192.168.0.42我们的客户端只有192.168.0.45.如上例所示,statd已经启动,因此它仅绑定到端口32765以获取传入请求,并且必须在端口32766上应答.mountd被强制绑定到端口32767.lockd的模块参数已设置为绑定到32768. nfsd当然是在端口2049上,端口映射器在端口111上.
我们没有使用配额.
iptables -A INPUT -f -j ACCEPT -s 192.168.0.45 iptables -A INPUT -s 192.168.0.45 -d 0/0 32765:32768 -p 6 -j ACCEPT iptables -A INPUT -s 192.168.0.45 -d 0/0 32765:32768 -p 17 -j ACCEPT iptables -A INPUT -s 192.168.0.45 -d 0/0 2049 -p 17 -j ACCEPT iptables -A INPUT -s 192.168.0.45 -d 0/0 2049 -p 6 -j ACCEPT iptables -A INPUT -s 192.168.0.45 -d 0/0 111 -p 6 -j ACCEPT iptables -A INPUT -s 192.168.0.45 -d 0/0 111 -p 17 -j ACCEPT iptables -A INPUT -s 0/0 -d 0/0 -p 6 -j DENY --syn --log-level 5 iptables -A INPUT -s 0/0 -d 0/0 -p 17 -j DENY --log-level 5
第一行表示接受所有数据包片段(第一个数据包片段除外,它将被视为普通数据包).理论上,在重新组装之前,数据包不会通过,除非传递第一个数据包片段,否则不会重新组装.当然,可以通过使用数据包片段重载机器来生成攻击.但是除非你让片段通过,否则NFS将无法正常工作.有关详细信息,请参见第7节“故障排除”.
其他行允许从客户端主机上的任何端口到我们在服务器上提供的特定端口之间的特定连接.这意味着,如果192.158.0.46尝试联系NFS服务器,它将无法安装或查看可用的安装.
使用新的端口固定功能,显然可以更轻松地控制允许挂载NFS共享的主机.值得一提的是,NFS不是加密协议,同一物理网络上的任何人都可以嗅探流量并重新组合来回传递的信息.
