Day10 samba&NFS(Enginner04)

Posted 2020-10-23

一、samba服务基础

1.1 用途

为客户机提供共享使用的文件夹

1.2 协议

1.2.1 SMB协议

SMB(Server Message Block)服务器消息块
端口：139/tcp

1.2.2 CIFS协议

CIFS(Common Internet File System)通用网际文件系统
端口tcp/445

1.3 帐号体系

帐号体系与linux系统账户有很大的关联
samba的共享帐号和linux系统帐号名字相同、但密码不同

1.3.1 账户默认禁止本地登陆

useradd harry -s /sbin/nologin

1.4 搭建samba服务准备工作

1.4.1 yum -y install samba

安装samba软件包

1.4.2 useradd username -s /sbin/nologin

创建samba共享帐号
useradd harry -s /sbin/nologin
useradd kenji -s /sbin/nologin
useradd chihiro -s /sbin/nologin

1.4.3 pdbedit -a username

把系统账户添加到samba的账户数据库，并且修改密码
pdbedit -a harry
pdbedit -a kenji
pdbedit -a chihiro

1.4.4 pdbedit -L

列出所有有效的samba账户

1.4.5 /etc/samba/smb.conf

samba的主配置文件
字段解释：
[global]
workgroup = 工作组名 #windows专用
[homes] #家目录共享
[printer] #打印机共享
[共享名]
path = 要共享的文件夹绝对路径
browseable = yes #no为隐藏共享
read only = yes #yes为只读
write list = user #允许写入的用户
valid users = username #有效的用户

1.5 搭建samba只读共享

1.5.1 修改配置文件

89行，修改workgroup为STAFF
追加到配置文件的最后
[common]
path = /common
hosts allow = 172.25.0.0/24

1.5.2 重启服务并设置开机自启动

systemctl restart smb
systemctl enable smb

1.5.3 yum -y install samba-client

安装smaba客户端软件

1.5.4 smbclient -L //172.25.0.11

列出172.25.0.11上共享的目录

1.5.5 smbclient -U harry //172.25.0.11/common

这个包可装可不装。连接\172.25.0.11，进入交互式界面，对\172.25.0.11\common目录的内容进行操作

1.5.6 getsebool -a

查看受SELinux管理的服务布尔值的开关状态

1.5.7 setsebool -P samba_export_all_ro=on

设置SELinux管理的samba服务，它的samba_export_all_ro这个值为on的状态。即对该项功能的开关，需要加-P选项才能永久生效

1.5.8 mount -o ro,user=harry,pass=123 //172.25.0.11/common /mnt/samba

临时挂载服务器的共享文件夹到/mnt/samba

1.5.9 yum -y install cifs-utils

安装cifs软件包

1.5.10 echo "//172.25.0.11/common /mnt/samba cifs user=harry,pass=123,_netdev 0 0" >>/etc/fstab

_netdev这个参数很重要，它表示是一个网络设备，必须等网络服务启动之后再挂载
永久挂载共享目录

1.5.11 mount -a

测试挂载配置是否正确

1.5.12 df -hT

测试挂载是否正常

1.6 搭建samba读写的共享

客户端访问服务端不正常的排错思路：
1.防火墙是否限制
2.服务本身的访问控制
3.SELinux是否限制
4.服务端目录是否有权限

1.6.1 修改配置文件

追加到文件最后
[devops]
path = /devops
write list = chihiro

1.6.2 创建目录及测试文件

mkdir /devops
echo dev >/devops/te.txt

1.6.3 systemctl restart smb

重启samba服务

1.6.4 setsebool samba_export_all_rw=on

设置samba的读写功能为开启(on)
在共享目录中尝试创建文件，还是提示权限不足。原因是服务端本地目录对chihiro用户没有写的权限

1.6.5 setfacl -m u:chihiro:rwx /devops/

单独为chihiro用户添加/devops目录的读写权限

1.7 samba多用户访问

管理员一次挂载，客户端可以临时切换身份对共享目录做写操作

1.7.1 echo ‘//172.25.0.11/devops /mnt/dev cifs user=kenji,pass=123,_netdev,multiuser,sec=ntlmssp 0 0‘ >>/etc/fstab

客户端：
挂载mnt目录。
修改user为kenji
增加multiuser,sec=ntlmssp参数

1.7.2 su - student

客户端：
切换到普通用户

1.7.3 cifscreds add -u chihiro 172.25.0.11

客户端：
切换到chihiro的身份，访问/mnt/dev，可以执行读写操作

1.8 排错

故障现象：
mount -a
mount error(13): Permission denied
Refer to the mount.cifs(8) manual page (e.g. man mount.cifs)
可能原因：
server没有使用pdbedit添加samba用户

故障现象：
挂载成功后无法创建文件
可能原因：
server samba共享的目录没用setfacl分配写权限
server的setsebool没打开samba_export_all_rw=on

二、配置NFS共享

2.1 概述

为客户机提供共享使用的文件夹

2.2 协议

2.2.1 NFS协议

NFS(Network File System)网络文件系统
端口：2049/TCP、2049/UDP

2.2.2 RPC协议

RPC(Remote Process Call)远程进程调用
端口：111/TCP、111/UDP

2.3 所需软件包

nfs-utils

2.4 服务名称

nfs-server

2.5 搭建只读NFS服务

2.5.1 /etc/exports

NFS的配置文件
echo "/public 172.25.0.0/24(ro)" >>/etc/exports
服务端设置共享目录

2.5.2 systemctr restart nfs-server

重启NFS服务

2.5.3 echo "172.25.0.11:/public /mnt/nfs nfs _netdev 0 0" >>/etc/fstab

添加nfs挂载

2.6 搭建读写NFS服务

2.6.1 echo "/protected 172.25.0.0/24(rw)" >>/etc/exports

服务端设置可读写的共享目录

2.6.2 systemctl restart nfs-server

服务端重启NFS服务

2.6.3 echo "172.25.0.11:/protected /mnt/protected nfs _netdev 0 0" >>/etc/fstab

客户端添加NFS挂载配置文件

2.6.4 mount -a

挂载测试

2.6.5 读写测试

touch /mnt/protected/aaa.txt

2.6.6 no_root_squash参数

不压榨root用户权限，即允许root在nfs共享里面创建的文件还是属于root用户，而不是属于nfsnobody用户
/abc 172.25.0.0/24(rw,no_root_squash)

2.6.7 普通用户访问NFS

当客户端的普通用户访问服务端时，服务端会映射成本地相同uid的用户，然后查找是否存在相同uid的用户。如果有，那么就以本地用户的身份去访问文件夹；如果没有，直接拒绝

2.7 搭建安全的NFS共享

2.7.1 lab nfskrb5 setup

初始化服务端和客户端的ldap环境

2.7.2 LDAP和kerberos

LDAP：网络用户，提供用户名
Kerberos：密码验证。一次密码认证，多次免密登陆
生产环境中会用LDAP验证用户名，再用kerberos验证密码。
用户首次访问时，找LDAP验证用户名，验证通过后再找kerberos验证密码。全部验证通过后，kerberos会给用户颁发令牌(token)
当用户再次访问时，找LDAP验证用户名，验证通过后。服务端发现有token，就不再去找kerberos，直接放行

2.7.3 下载kerberos的密钥文件

服务端：
wget -O /etc/krb5.keytab http://172.25.254.254/pub/keytabs/server0.keytab
客户端：
wget -O /etc/krb5.keytab http://172.25.254.254/pub/keytabs/desktop0.keytab

2.7.4 在/etc/exports增加sec=krb5p参数

服务端：
mkdir -p /protected/project
chown ldapuser0 /protected/project
ls -l /protected/project
echo "/protected 172.25.0.0/24(rw,sec=krb5p)" >>/etc/exports

2.7.5 systemctl restart nfs-secure-server nfs-server

服务端：重启安全nfs服务及nfs服务

2.7.6 echo ‘172.25.0.11:/protected /mnt/nfssecure nfs sec=krb5p,_netdev 0 0‘ >>/etc/fstab

客户端：
mkdir /mnt/nfssecure
ls -l /mnt/nfssecure
tail -1 /etc/fstab

2.7.7 systemctl restart nfs-secure

客户端：重启nfs-secure服务

2.7.8 mount -a

客户端：挂载测试

2.7.9 df -hT

客户端：查看挂载

2.7.10 ssh [email protected]

远程登陆server0
touch /protected/project/ldfile.txt

2.8 排错

2.8.1 客户端没启动nfs-secure服务

mount -a
mount.nfs: an incorrect mount option was specified

2.8.2 客户端没有/etc/krb5.keytab密钥文件

mount -a
mount.nfs: access denied by server while mounting 172.25.0.11:/protected