ＮＦＳｖ４サーバーの作り方

目次

  1. ＮＦＳｖ４サーバーの作り方
    1. 検証環境
      1. 専用ＮＩＣ（ＶＬＡＮ）割り当て
      2. パケットフィルタリング無しで
      3. 認証や暗号化・アクセス制御は無しで
      4. 結論
  2. インストール
    1. インストール
    2. ディレクトリ作成
    3. 自動起動設定
  3. セットアップ
    1. ＭＴＵ値の設定
      1. /etc/sysconfig/network-scripts/ifcfg-ethｎ（静的設定環境用）
      2. /etc/dhclient-ethｎ.conf（動的設定環境用）
    2. /etc/fstab
      1. /etc/sysconfig/nfs
      2. /etc/idmapd.conf

検証環境

ＮＦＳについてググって見ると使用状況に応じて色々と苦労している点が見られる。 Kerberos 必須という人も居れば不要という人も居るわけで、ここでは以下のアンセキュアな環境を前提とする。

専用ＮＩＣ（ＶＬＡＮ）割り当て

ＮＦＳ共有用に専用ＮＩＣ（ＶＬＡＮ）を割り当てる。そのＮＩＣにはＮＦＳ以外のサービスは提供しない。

  • ＧｂＥはいいぞ。単体～数台なら十分以上の性能を発揮する。
  • これは「同時」数台が帯域を使い込むような状態を想定しているので、数台がネットワークに存在するだけで飽和することを意味しない:-)。
  • 可能なら１０ＧｂＥだろうけど高いし。
  • 検証環境では同一ホスト内にＮＦＳサーバーとＮＦＳクライアントを共存させてみたが、単純に / 以下を対象に tar(1) で固めただけで、１．６Ｇｂｐｓ の性能が出た。
  • つまり単体で最大性能発揮しようと思ったらＧｂＥは足りないかもしれないけど、１０ＧｂＥ埋めるのは結構大変。
  • ましてや「複数台が同時に」という確率と合わせると数台程度ならＧｂＥでも余裕。
  • まぁアレだ。キャパシティプランニングで、動画再生のような常時帯域を使いまくるような前提は勘弁な。

パケットフィルタリング無しで

ipfw/pf/iptables/tcpwrapper といったパケットフィルタリングを行わない。

  • ＮＦＳｖ４に絞ってるので制限しやすくなってるが、専用ネットワークならそれほどの必要性を感じない。
  • 不特定多数の人が使うような用途で、ＮＦＳクライアントの偽装やら root 権限奪取やら、あるいはそれに準じるようなアクセスがあることを想定しているなら、Kerberos 認証とか IEEE 802.1X（認証ＶＬＡＮ）とか IEEE 802.1AE（MACsec）とか導入した方がいいと思うの（言ってることの現実性はテキトー）。

認証や暗号化・アクセス制御は無しで

認証？何それ。ＵＮＩＸアカウント一択（デフォルトの -sec=sys）で。

  • ＮＦＳクライアントとＮＦＳサーバーでのファイル所有者の取り扱いは可能な限りシームレスで、つまり、root は root として扱う（違うと色々面倒なんだよ）。
  • Kerberos は Kerberos で大変なんだよ。 orz
  • 通信の暗号化？ちょっ（ｒｙ。
    • Kerberos 有効にしないとアカンって。
    • IPsec？パケットは暗号化されるけど、ＮＦＳクライアントで tcpdump(8) したらバレるよねぇ。
    • あぁ。ＶＰＮ越しなら IPsec もアリか。
  • SELinux の類い。
    • 自分アレ、コントロール（ステップアップ）できないので、disabled の扱いで。

結論

とりあえず少しずつステップアップすることがぢゅーよー、ということで、この手順を参考に難しいことに挑戦してみてください。

インストール

インストール

yum -y install nfs-utils

ＮＦＳクライアント・サーバーともに、nfs-utils のインストールで全てまかなえてることになっている。たぶん。

ディレクトリ作成

mkdir -p 0755 /export

自動起動設定

chkconfig rpcbind off
chkconfig netfs on
chkconfig rpcgssd off
chkconfig rpcidmapd on
chkconfig nfs off
chkconfig nfslock off

セットアップ

ＭＴＵ値の設定

今時のファイル共有ならＧｂＥや１０ＧｂＥ当たり前なので、ＭＴＵ値を設定する。 ＭＴＵ値はネットワーク依存で、通信に絡んでいる一番小さな値を指定することになる。 必ずしも９０００（バイト）とは限らないので、ちゃんと調べよう（＆設定しよう）。

なお手動で設定できるが、設定した瞬間にＭＴＵ値が反映される（インターフェース的な問題よりもＴＣＰ的に）かわからなかった。 即座に反映されたようにも見えるし、umount→mount したら使ってたような気がしないでもなし。 たぶん、リンクダウン・アップした方がいいとは思うけど。 

ip link set ethｎ mtu 9000
ip link set ethｎ down
ip link set ethｎ up

また、CentOS（RHEL）では、ＩＰアドレス設定が、静的か動的かで、設定ファイルが分かれる。

/etc/sysconfig/network-scripts/ifcfg-ethｎ（静的設定環境用）

DEVICE=ethｎ
TYPE=Ethernet
BOOTPROTO=static
HWADDR=00:0c:29:xx:xx:xx
IPADDR=XXX.XXX.XXX.XXX
PREFIX=XX
NM_CONTROLLED=no
MTU=9000
ONBOOT=yes

/etc/dhclient-ethｎ.conf（動的設定環境用）

default interface-mtu 9000;
supersede interface-mtu 9000;

ググるとごちゃごちゃ設定（しかもグローバルに）してるケースがあるが、本質的には上記２行だけでｏｋ。 環境によってはどちらか１行でもｏｋ。

たまたま、/etc/sysconfig/network-scripts/network-functions のコード読んでたから知ってたけど。

/etc/fstab

ＮＦＳクライアントサーバーＩＰ:/ＮＦＳｖ４ライアント名 /export  nfs4   defaults,soft,intr,noexec,nosuid 0 0

上記設定を/ etc/fstab に追加する。

/etc/sysconfig/nfs

   1 --- /etc/sysconfig/nfs.orig     2016-05-11 15:22:22.000000000 +0900
   2 +++ /etc/sysconfig/nfs  2016-06-06 19:32:42.649929205 +0900
   3 @@ -69,7 +69,7 @@
   4  #
   5  #
   6  # Optional arguments passed to rpc.idmapd. See rpc.idmapd(8)
   7 -#RPCIDMAPDARGS=""
   8 +RPCIDMAPDARGS="-C"
   9  #
  10  # Set to turn on Secure NFS mounts.
  11  #SECURE_NFS="yes"

/etc/idmapd.conf

   1 --- /etc/idmapd.conf.orig       2015-07-24 17:27:51.000000000 +0900
   2 +++ /etc/idmapd.conf    2016-06-06 14:34:41.302648213 +0900
   3 @@ -3,6 +3,7 @@
   4  # The following should be set to the local NFSv4 domain name
   5  # The default is the host's DNS domain name.
   6  #Domain = local.domain.edu
   7 +Domain = アカウント識別用ドメイン
   8 
   9  # The following is a comma-separated list of Kerberos realm
  10  # names that should be considered to be equivalent to the