NFS 笔记

使用 RH 系发行版:

1. sudo dnf install nfs-utils 安装 nfs-utils 软件包。
2. sudo systemctl enable --now nfs-server 开机自动启动服务器。
3. sudo firewall-cmd --add-service={rpc-bind,mountd,nfs} --permanent 开放端口。
4. sudo firewall-cmd --reload 重载防火墙使添加的服务生效。

使用 Debian 系发行版:

1. sudo apt install nfs-kernel-server 安装 NFS 服务端。
2. sudo systemctl enable --now nfs-server.service 启动 NFS Server 并设置开机启动。

硬盘挂载方式为 /etc/systemd/system/mnt-hgst3ta.mount 服务:

[Install]
WantedBy=multi-user.target

[Mount]
Options=defaults
Type=ext4
What=/dev/disk/by-uuid/cd2949ed-9e14-4a34-a703-6dcbd761e9d3
Where=/mnt/hgst3ta

[Unit]
Description=Mount 2nd HGST 3T disk under /mnt/hgst3ta.

挂载硬盘到 /mnt/hgst3ta 后 /mnt/hgst3ta 的权限为 drwxr-xr-x. 2 root root 4.0K ... 。

用 sudo chmod 777 /mnt/hgst3ta 对所有用户开放所有权限。

配置文件 /etc/exports 的内容为 /mnt/hgst3ta (rw,sync,root_squash) 。

执行 sudo exportfs -ra 命令根据 /etc/exports 文件重新载入共享配置。

exportfs 常用的选项有:

• -r: 打开或取消所有目录共享。它使 /var/lib/nfs/xtab 和 /etc/exports 同步，将 /etc/exports 中已删除的条目从 /var/lib/nfs/xtab 中删除，将内核共享表中任何不再有效的条目移除。
• -a: 根据将其它选项传递给 exportfs 导致所有目录被导出或取消导出。如果没有指定其他选项, exportfs 会导出 /etc/exports 中指定的所有文件系统。
• -o <file_systems>: 指定导出没有在 /etc/exports 中列出的目录。格式必须与在 /etc/exports 中的相同。这个选项通常用来测试导出的文件系统，然后再将其永久添加到导出的文件系统列表中。
• -i: 忽略 /etc/exports，用命令行给出的选项定义导出的文件系统。
• -u: 取消导出所有共享目录。
  • exportfs -ua 命令挂起所有的 NFS 共享，同时保持所有 NFS 服务。
  • exportfs -r 可新启用 NFS 共享。
• -v: 在执行 exportfs 命令时,详细显示要导出或取消导出的文件系统。

/etc/exports 管理 NFS 的共享配置，每个条目都有以下结构：

export host(options)
export host1(options1) host2(options2) host3(options3)
export *(options)

/mnt/hgst8ta *(rw,async,root_squash,no_subtree_check)
/mnt/hgst3ta *(rw,async,root_squash,no_subtree_check)

配置的选项有：

• ro: read-only 远程主机无法更改文件系统中共享的数据。
• rw: read-write 远程主机可以更改文件系统中共享的数据。
• sync: 同步写入。在数据写入磁盘前，NFS 服务器不返回写入成功。
• async: 异步写入。在数据写入磁盘前，NFS 服务器返回写入成功。
• wdelay: 如果 NFS 服务器预期另外一个写入请求即将发生，则 NFS 服务器会延迟写入磁盘。它减少了必须使用独立写入命令访问磁盘的次数，从而减少写入开销。要禁用此选项，指定 no_wdelay 选项，该选项仅在同时指定默认同步选项时才可用。
• root_squash 挂载 NFS 目录的用户如果是 root 那么这个用户的权限将被压缩成为匿名用户，相应的 UID 与 GID 都会变成 nobody 系统账号的身份。
• no_root_squash 挂载 NFS 目录的用户如果是 root 那么对于这个共享目录来说，挂载方具有 root 权限。 这个特性有安全问题，不建议用。
• all_squash 挂载 NFS 目录的所有用户均被压缩成为匿名用户，即以 nobody 用户的身份登录。
• anonuid 和 anongid 明确指定 NFS 服务器上用户的 uid 和 gid，挂载方的用户必须拥有相同的 uid 和 gid 才能正常访问 NFS 目录。配置写成 export host(anonuid=uid,anongid=gid) 这样的。
• secure 限制挂载方只能从小于 1024 的 tcp/ip 端口连接 NFS 服务器 ( 默认设置 )。改为 insecure 允许客户端从大于 1024 的 tcp/ip 端口连接服务器。
• subtree_check 若输出目录是一个子目录，则 NFS 服务器将检查其父目录的权限。
• no_subtree_check 即使输出目录是一个子目录，NFS 服务器也不检查其父目录的权限。

如果服务器支持 NFSv3 则客户端使用 sudo showmount --exports <server-ip> 查看有哪些共享目录。

如果服务器支持 NFSv4 则客户端可以直接挂载根目录后进行查找：

mount <my-server>:/ /mnt/
ls /mnt/

NFSv4 只需要 TCP/UDP 2049 一个端口，也不需要 portmap 这个包。

首先把 /etc/default/nfs-common 内容修改为:

# If you do not set values for the NEED_ options, they will be attempted
# autodetected; this should be sufficient for most people. Valid alternatives
# for the NEED_ options are "yes" and "no".

# Do you want to start the statd daemon? It is not needed for NFSv4.
NEED_STATD="no"

# Options for rpc.statd.
#   Should rpc.statd listen on a specific port? This is especially useful
#   when you have a port-based firewall. To use a fixed port, set this
#   this variable to a statd argument like: "--port 4000 --outgoing-port 4001".
#   For more information, see rpc.statd(8) or http://wiki.debian.org/SecuringNFS
STATDOPTS=

# Do you want to start the idmapd daemon? It is only needed for NFSv4.
NEED_IDMAPD="yes"

# Do you want to start the gssd daemon? It is required for Kerberos mounts.
NEED_GSSD=

然后把 /etc/default/nfs-kernel-server 内容修改为:

# Number of servers to start up
RPCNFSDCOUNT=8

# Runtime priority of server (see nice(1))
RPCNFSDPRIORITY=0

# Options for rpc.mountd.
# If you have a port-based firewall, you might want to set up
# a fixed port here using the --port option. For more information,
# see rpc.mountd(8) or http://wiki.debian.org/SecuringNFS
# To disable NFSv4 on the server, specify '--no-nfs-version 4' here
RPCMOUNTDOPTS="--manage-gids -N 2 -N 3"

# Do you want to start the svcgssd daemon? It is only required for Kerberos
# exports. Valid alternatives are "yes" and "no"; the default is "no".
NEED_SVCGSSD=""

# Options for rpc.svcgssd.
RPCSVCGSSDOPTS=""

RPCNFSDOPTS="-N 2 -N 3"

NFSv4 中的 rpcbind 已经没有用了，但它依旧会随 nfs-server.service 启动。最后需要停掉它们:

sudo systemctl mask rpcbind.socket
sudo systemctl mask rpcbind.service

FreeBSD 系统内置了 NFS 的服务端与客户端，所以不需要安装其他的包。

让 NFS 服务开机自启动，需要在 /etc/rc.conf 里添加:

rpcbind_enable="YES"
nfs_server_enable="YES"
nfs_server_flags="-u -t -n 4"
mountd_flags="-r"

# 开启 nfsv4
nfsv4_server_enable="YES"
nfsuserd_enable="YES"

注: 只要 nfs_server_enable 被设置为 "YES" ， mountd 就能自动运行。

要让被导出的文件系统能被支持 NFS v4 协议的 client 挂载，还要在 /etc/exports 里面加入:

V4: /

用 root 权限执行下面的命令，可立即启动 NFS 服务:

rpcbind
nfsd -u -t -n 4
mountd -r

修改 /etc/exports 文件后，必须让 mountd 服务根据新的内容重新生成配置。一种方法是通过给正在运行的服务程序发送 HUP 信号来完成:

# root
kill -HUP `cat /var/run/mountd.pid`
# 普通用户
sudo kill -HUP `sudo cat /var/run/mountd.pid`

或指定适当的参数来运行 mountd rc(8) 脚本:

/etc/rc.d/mountd onereload

比如，指定两个 client 操作服务器数据时具有 lsz 用户的身份，其他 client 只能读取:

V4: /

/mnt/mymir2/data -alldirs -mapall=lsz 192.168.1.20
/mnt/mymir2/data -alldirs -mapall=lsz 192.168.1.30
/mnt/mymir2/data -alldirs -mapall=lsz -ro

/mnt/mymir2/videos -alldirs -mapall=lsz 192.168.1.20
/mnt/mymir2/videos -alldirs -mapall=lsz 192.168.1.30
/mnt/mymir2/videos -alldirs -mapall=lsz -ro

• V4: / 表示在 / 路径下的所有 NFS share 都能被 client 以 NFS v4 协议挂载。
• -ro 表示 read only 所有挂载此 NFS share 的 client 不能做读取之外的其他操作。
• -maproot=user 如果 client 以 root 身份操作服务器，那么所有服务器的操作会交由本机的 user 来执行。
• -mapall=user 所有 client 的操作都交由本机 user 用户执行。
• -alldirs client 可以将 NFS share 的任意子目录设为挂载点。即，如果在 /etc/exports 导出 /usr 目录，那么 client 可以挂载 /usr/include 目录。
• -network {IP} 和 -mask {MASK} 指定允许连接的 IP 段。

  pool: mymir2
 state: ONLINE
  scan: resilvered 2.46T in 06:52:59 with 0 errors on Sun Aug 15 17:50:49 2021
config:

        NAME        STATE     READ WRITE CKSUM
        mymir2      ONLINE       0     0     0
          mirror-0  ONLINE       0     0     0
            da4     ONLINE       0     0     0
            da5     ONLINE       0     0     0

errors: No known data errors

% zfs list
NAME                 USED  AVAIL     REFER  MOUNTPOINT
mymir2              2.55T  81.1G      104K  /mnt/mymir2
mymir2/data         99.7G  81.1G     99.7G  /mnt/mymir2/data
mymir2/videos       2.46T  81.1G     2.46T  /mnt/mymir2/videos

/mnt/mymir2 -alldirs -maproot=root -network 192.168.1.0 -mask 255.255.255.0

/mnt/mymir2 -alldirs -maproot=root -network 192.168.1.0 -mask 255.255.255.0
/mnt/mymir2/data -alldirs -maproot=root -network 192.168.1.0 -mask 255.255.255.0
/mnt/mymir2/videos -alldirs -maproot=root -network 192.168.1.0 -mask 255.255.255.0

挂载点为 /mnt/hgst3ta，权限为 drwxr-xr-x. 2 root root 4.0K ... 。

/etc/exports 共享配置为 /mnt/hgst3ta *(rw,sync,root_squash) 。

因为客户端用户的 uid 和 gid 都是 1000，对应在 NFS 服务器上的 1000:1000 用户不能操作 /mnt/hgst3ta 文件夹，所以客户端的 1000:1000 用户也没有权限操作这个 NFS 共享。

解决方案有两个:

• sudo chmod 777 /mnt/hgst3ta 让所有用户都可读写。
• sudo usermod -aG <username-with-uid-1000> root 把这个用户加入 root 用户组，再 sudo chmod 774 /mnt/hgst3ta 让用户组有读写权限。

注意: 第一个配置会使文件夹对所有用户开放，任何挂载 /mnt/hgst3ta 的用户都可以修改文件夹中的文件。