Inhaltsverzeichnis
Das Verteilen und Freigeben von Dateisystemen über ein Netzwerk ist eine Standardaufgabe in Unternehmensumgebungen. Das bewährte NFS-System arbeitet mit NIS, dem Gelbe-Seiten-Protokoll, zusammen. Wenn Sie ein sichereres Protokoll wünschen, das mit LDAP zusammenarbeitet und auch kerberisiert werden kann, aktivieren Sie NFSv4.
NFS mit NIS macht ein Netzwerk für den Benutzer transparent. Mit NFS ist es möglich, arbiträre Dateisysteme über das Netzwerk zu verteilen. Bei entsprechendem Setup befinden sich Benutzer in derselben Umgebung, unabhängig vom gegenwärtig verwendeten Terminal.
Wie NIS ist NFS ein Client-Server-System. Ein Computer kann jedoch beides gleichzeitig sein – er kann Dateisysteme im Netzwerk zur Verfügung stellen (exportieren) und Dateisysteme anderer Hosts einhängen (importieren).
![[Important]](admon/important.png) | DNS-Bedarf |
|---|---|
Im Prinzip können alle Exporte allein mit IP-Adressen vorgenommen werden. Es ist ratsam, über ein funktionierendes DNS-System zu verfügen, um Zeitüberschreitungen zu vermeiden. DNS ist zumindest für die Protokollierung erforderlich, weil der mountd-Dämon Reverse-Lookups ausführt. | |
Wenn Sie Ihren Host als NFS-Client konfigurieren möchten, müssen Sie keine zusätzliche Software installieren. Alle erforderlichen Pakete werden standardmäßig installiert.
NFS-Server-Software ist kein Bestandteil der Standardinstallation. Zur Installation der NFS-Server-Software starten Sie YaST und wählen Sie + aus. Wählen Sie nun + und anschließend aus. Oder verwenden Sie die Option und suchen Sie nach NFS-Server. Bestätigen Sie die Installation der Pakete, um den Installationsvorgang abzuschließen.
Autorisierte Benutzer können NFS-Verzeichnisse eines NFS-Servers über das YaST-NFS-Clientmodul in den lokalen Dateibaum einhängen. Klicken Sie auf und geben Sie nur den Hostnamen des NFS-Servers, das zu importierende Verzeichnis und den Einhängepunkt an, an dem das Verzeichnis lokal eingehängt werden soll. Die Änderungen werden wirksam, nachdem im ersten Dialogfeld auf geklickt wird.
Aktivieren Sie auf dem Karteireiter die Option , um entfernten Computern den Zugriff auf den Dienst zu gewähren. Der Status der Firewall wird neben dem Kontrollkästchen angezeigt. Wenn Sie NFSv4 verwenden, vergewissern Sie sich, dass das Kontrollkästchen für aktiviert ist, und dass der denselben Wert enthält, den der NFSv4-Server verwendet. Die Standarddomäne ist localdomain.
Klicken Sie zum Speichern der Änderungen auf . Weitere Informationen hierzu finden Sie unter Abbildung 26.1, „Konfiguration des NFS-Clients mit YaST“.
Die Konfiguration wird in /etc/fstab geschrieben und die angegebenen Dateisysteme werden eingehängt. Wenn Sie den YaST-Konfigurationsclient zu einem späteren Zeitpunkt starten, wird auch die vorhandene Konfiguration aus dieser Datei gelesen.
Voraussetzung für den manuellen Import eines Dateisystems von einem NFS-Server ist ein aktiver RPC-Port-Mapper. Diesen starten Sie durch Ausführung von rcrpcbind start als Root. Danach können ferne Dateisysteme mit mount wie lokale Partitionen in das Dateisystem eingehängt werden:
mounthost:remote-pathlocal-path
Geben Sie zum Beispiel zum Import von Benutzerverzeichnissen vom nfs.example.com-Computer folgendes Kommando ein:
mount nfs.example.com:/home /home
Ferne Dateisysteme können mit dem autofs-Daemon automatisch eingehängt werden. Fügen Sie den folgenden Eintrag in der Datei /etc/auto.master hinzu:
/nfsmounts /etc/auto.nfs
Nun fungiert das Verzeichnis /nfsmounts als Root-Verzeichnis für alle NFS-Einhängungen auf dem Client, sofern die Datei auto.nfs entsprechend ausgefüllt wurde. Der Name auto.nfs wurde nur der Einfachheit halber ausgewählt – Sie können einen beliebigen Namen auswählen. Fügen Sie der Datei auto.nfs wie folgt Einträge für alle NFS-Einhängungen hinzu:
localdata -fstype=nfs server1:/data nfs4mount -fstype=nfs4 server2:/
Aktivieren Sie die Einstellungen durch Ausführung von rcautofs start als root. In diesem Beispiel wird /nfsmounts/localdata, das Verzeichnis /data von server1, mit NFS eingehängt und /nfsmounts/nfs4mount von server2 wird mit NFSv4 eingehängt.
Wenn die Datei /etc/auto.master während der Ausführung des Diensts autofs bearbeitet wird, muss die automatische Einhängung mit rcautofs restart erneut gestartet werden, damit die Änderungen wirksam werden.
Ein typischer NFSv3-Einhängeeintrag in /etc/fstab sieht folgendermaßen aus:
nfs.example.com:/data /local/path nfs rw,noauto 0 0
Auch NFSv4-Einhängungen können der Datei /etc/fstab hinzugefügt werden. Verwenden Sie für diese Einhängungen in der dritten Spalte nfs4 statt nfs und stellen Sie sicher, dass das entfernte Dateisystem in der ersten Spalte nach nfs.example.com als / angegeben ist. Eine typische Zeile für eine NFSv4-Einhängung in /etc/fstab sieht zum Beipsiel wie folgt aus:
nfs.example.com:/ /local/pathv4 nfs4 rw,noauto 0 0
Mit der Option noauto wird verhindert, dass das Dateisystem beim Starten automatisch eingehängt wird. Wenn Sie das jeweilige Dateisystem manuell einhängen möchten, können Sie das Einhängekommando auch kürzen, indem Sie nur den Einhängepunkt angeben:
mount /local/path
Beachten Sie, dass das Einhängen dieser Dateisysteme beim Start durch die Initialisierungsskripte des Systems geregelt wird, wenn die Option noauto nicht angegeben ist.
Mit YaST können Sie einen Computer im Netzwerk als NFS-Server bereitstellen. Dies ist ein Server, der Verzeichnisse und Dateien an alle Hosts exportiert, die ihm Zugriff gewähren. Auf diese Weise können Anwendungen für alle Mitglieder einer Gruppe zur Verfügung gestellt werden, ohne dass sie lokal auf deren Hosts installiert werden müssen. Starten Sie zum Installieren eines solchen Servers YaST und wählen Sie+ aus (siehe Abbildung 26.2, „Konfiguration des NFS-Servers“).
Aktivieren Sie dann und geben Sie den ein.
Klicken Sie auf , wenn Sie einen sicheren Zugriff auf den Server benötigen. Als Voraussetzung hierfür muss Kerberos in der Domäne installiert sein und sowohl der Server als auch der Client müssen kerberisiert sein. Klicken Sie auf .
Geben Sie im oberen Textfeld die zu exportierenden Verzeichnisse an. Legen Sie darunter Hosts fest, die darauf Zugriff erhalten sollen. Dieses Dialogfeld ist in Abbildung 26.3, „Konfigurieren eines NFS-Servers mit YaST“ abgebildet. In der Abbildung wird das Szenario dargestellt, bei dem NFSv4 im vorherigen Dialogfeld aktiviert wurde. Einhängeziele binden wird in der rechten Leiste angezeigt. Weitere Informationen erhalten Sie durch Klicken auf . In der unteren Hälfte des Dialogfelds befinden sich vier Optionen, die für jeden Host festgelegt werden können: Einzelhost, Netzgruppen, Platzhalterzeichen und IP-Netzwerke. Eine ausführlichere Erläuterung zu diesen Optionen finden Sie auf der man-Seite über Exporte. Klicken Sie zum Beenden der Konfiguration auf .
| Automatische Firewall-Konfiguration |
|---|---|
Wenn auf Ihrem System eine Firewall aktiviert ist (SuSEfirewall2), wird deren Konfiguration von YaST für den NFS-Server angepasst, indem der | |
Aktivieren Sie , um NFSv4-Clients zu unterstützen. Clients mit NFSv3 können immer noch auf die exportierten Verzeichnisse des Servers zugreifen, wenn diese entsprechend exportiert wurden. Dies wird in Abschnitt 26.4.3, „Gleichzeitig vorhandene v3-Exporte und v4-Exporte“ detailliert beschrieben.
Geben Sie nach dem Aktivieren von NFSv4 einen geeigneten Domänennamen an. Stellen Sie sicher, dass der eingegebene Name dem Namen in der Datei /etc/idmapd.conf eines beliebigen NFSv4-Client enspricht, der auf diesen speziellen Server zugreift. Dieser Parameter wird für den idmapd-Dienst verwendet, der für die NFSv4-Unterstützung (auf dem Server und dem Client) erforderlich ist. Behalten Sie den Wert localdomain (der Standardwert) bei, wenn Sie keine speziellen Anforderungen haben. Weitere Informationen erhalten Sie über die Links in Abschnitt 26.7, „Weiterführende Informationen“.
Klicken Sie auf . Das darauf folgende Dialogfeld ist in zwei Abschnitte unterteilt. Die obere Hälfte besteht aus zwei Spalten mit den Namen und . Bei handelt es sich um eine direkt bearbeitbare Spalte, in der die zu exportierenden Verzeichnisse aufgelistet werden.
Bei einer festen Gruppe von Clients gibt es zwei Arten von Clients, die exportiert werden können – Verzeichnisse, die als Pseudo-Root-Dateisysteme fungieren, und solche, die an ein Unterverzeichnis eines Pseudo-Dateisystems gebunden sind. Dieses Pseudo-Dateisystem stellt den Basispunkt dar, unter dem alle Dateisysteme angeordnet werden, die für dieselbe Gruppe von Clients exportiert wurden. Bei einem Client oder einer Gruppe von Clients kann nur ein Verzeichnis auf dem Server als Pseudo-Root-Verzeichnis für den Export konfiguriert werden. Exportieren Sie für diesen Client mehrere Verzeichnisse, indem Sie sie an vorhandene Unterverzeichnisse im Pseudo-Root-Verzeichnis binden.
Geben Sie in der unteren Hälfte des Dialogfelds die Export- und Client-Optionen (Platzhalterzeichen) für ein bestimmtes Verzeichnis ein. Nach dem Hinzufügen eines Verzeichnisses in der oberen Hälfte wird automatisch ein weiteres Dialogfeld zum Eingeben von Client- und Optionsinformationen geöffnet. Klicken Sie danach zum Hinzufügen eines neuen Client (einer Gruppe von Clients) auf .
Geben Sie im kleinen Dialogfeld, das geöffnet wird, das Platzhalterzeichen für den Host ein. Es gibt vier mögliche Typen von Platzhalterzeichen für den Host, die für jeden Host festgelegt werden können: ein einzelner Host (Name oder IP-Adresse), Netzgruppen, Platzhalterzeichen (wie *, womit angegeben wird, dass alle Computer auf den Server zugreifen können) und IP-Netzwerke. Schließen Sie dann unter die Zeichenfolge fsid=0 in die kommagetrennte Liste der Optionen ein, um das Verzeichnis als Pseudo-Root-Verzeichnis zu konfigurieren. Wenn dieses Verzeichnis an ein anderes Verzeichnis unter einem bereits konfigurierten Pseudo-Root-Verzeichnis gebunden werden soll, stellen Sie sicher, dass zum Binden ein Zielpfad mit der Struktur bind=/target/path in der Optionsliste angegeben ist.
Nehmen Sie beispielsweise an, dass das Verzeichnis /exports als Pseudo-Root-Verzeichnis für alle Clients ausgewählt wurde, die auf den Server zugreifen können. Fügen Sie dies in der oberen Hälfte hinzu und stellen Sie sicher, dass die für dieses Verzeichnis eingebenen Optionen fsid=0 einschließen. Wenn Sie über ein anderes Verzeichnis, /data, verfügen, das auch mit NFSv4 exportiert werden muss, fügen Sie dieses Verzeichnis der oberen Hälfte hinzu. Stellen Sie beim Eingeben von Optionen für dieses Verzeichnis sicher, dass bind=/exports/data in der Liste enthalten ist und dass es sich bei /exports/data um ein bereits bestehendes Unterverzeichnis von /exports handelt. Alle Änderungen an der Option bind=/target/path werden unter angezeigt, unabhängig davon, ob ein Wert hinzugefügt, gelöscht oder geändert wurde. Bei dieser Spalte handelt es sich nicht um eine direkt bearbeitbare Spalte. In ihr werden stattdessen Verzeichnisse und deren Ursprung zusammengefasst. Klicken Sie nach der Eingabe aller Informationen auf , um die Konfiguration abzuschließen. Der Dienst wird sofort verfügbar.
Stellen Sie vor dem Klicken auf sicher, dass im ersten Dialogfeld nicht aktiviert ist.
Das nächste Dialogfeld besteht aus zwei Bereichen. Geben Sie im oberen Textfeld die zu exportierenden Verzeichnisse an. Legen Sie darunter Hosts fest, die darauf Zugriff erhalten sollen. Es können vier Arten von Host-Platzhalterzeichen für jeden Host festgelegt werden: ein einzelner Host (Name oder IP-Adresse), Netzwerkgruppen, Platzhalterzeichen (z. B. *, womit angegeben wird, dass alle Rechner auf den Server zugreifen können) und IP-Netzwerke.
Dieses Dialogfeld ist in Abbildung 26.5, „Exportieren von Verzeichnissen mit NFSv2 und v3“ abgebildet. Eine ausführlichere Erläuterung dieser Optionen finden Sie unter man exports. Klicken Sie zum Abschließen der Konfiguration auf .
NFSv3-Exporte und NFSv4-Exporte können gleichzeitig auf einem Server vorhanden sein. Nach dem Aktivieren der Unterstützung für NFSv4 im ersten Konfigurationsdialogfeld werden diese Exporte, für die fsid=0 und bind=/target/path nicht in der Optionsliste enthalten sind, als v3-Exporte angesehen. Sehen Sie sich das Beispiel in Abbildung 26.3, „Konfigurieren eines NFS-Servers mit YaST“ an. Wenn Sie ein weiteres Verzeichnis (z. B. /data2) mit hinzufügen und anschließend weder fsid=0 noch bind=/target/path in der entsprechenden Optionsliste aufgeführt wird, fungiert dieser Export als v3-Export.
| |
Automatische Firewall-Konfiguration
Wenn SuSEfirewall2 auf Ihrem System aktiviert ist, wird deren Konfiguration von YaST für den NFS-Server angepasst, indem der | |
Die Konfigurationsdateien für den NFS-Exportdienst lauten /etc/exports und /etc/sysconfig/nfs. Zusätzlich zu diesen Dateien ist /etc/idmapd.conf für die NFSv4-Serverkonfiguration erforderlich. Führen Sie zum Starten bzw. Neustarten der Dienste das Kommando rcnfsserver restart aus. Dies startet auch rpc.idmapd, wenn NFSv4 in /etc/sysconfig/nfs konfiguriert ist. Der NFS-Server ist von einem laufenden RPC-Portmapper abhängig. Starten Sie aus diesem Grund mit rcrpcbind restart auch den Portmapper-Dienst bzw. starten Sie ihn neu.
NFSv4 ist die neueste Version des NFS-Protokolls, die auf openSUSE verfügbar ist. Das Konfigurieren der Verzeichnisse für den Export mit NFSv4 unterscheidet sich geringfügig von den früheren NFS-Versionen.
Die Datei /etc/exports enthält eine Liste mit Einträgen. Mit jedem Eintrag wird ein Verzeichnis angegeben, das freigegeben wird. Zudem wird angegeben, wie das Verzeichnis freigegeben wird. Ein typischer Eintrag in /etc/exports besteht aus:
/shared/directory host(option_list)
Beispiel:
/export 192.168.1.2(rw,fsid=0,sync,crossmnt) /export/data 192.168.1.2(rw,bind=/data,sync)
Hier wird die IP-Adresse 192.168.1.2 verwendet, um den erlaubten Client zu identifizieren. Sie können auch den Namen des Hosts, ein Platzhalterzeichen, mit dem mehrere Hosts angegeben werden (*.abc.com, * usw.) oder Netzwerkgruppen (@my-hosts) verwenden).
Das Verzeichnis, das fsid=0 angibt, ist speziell, da es die Root des exportierten Dateisystems darstellt. Gelegentlich wird es auch als Pseudo-Root-Dateisystem bezeichnet. Dieses Verzeichnis muss für den fehlerfreien Betrieb mit NFSv4 auch über crossmnt verfügen. Alle anderen Verzeichnisse, die über NFSv4 exportiert wurden, müssen unterhalb dieser Position eingehängt werden. Wenn Sie ein Verzeichnis exportieren möchten, das sich nicht innerhalb des exportierten Roots befindet, muss es in den exportierten Baum eingebunden werden. Das ist über die Syntax bind= möglich.
Im obigen Beispiel befindet sich /data nicht im Verzeichnis /export. Daher exportieren wir /export/data und geben an, dass das Verzeichnis /data an diesen Namen gebunden werden soll. Das Verzeichnis /export/data muss existieren und sollte normalerweise leer sein.
Beim Einhängen von diesem Server hängen die Clients nur servername:/, nicht servername:/export ein. servername:/data muss nicht eingehängt werden, da dieses Verzeichnis automatisch unter dem Einhängepunkt von servername:/ erscheint.
Die Datei /etc/sysconfig/nfs enthält einige Parameter, die das Verhalten des NFSv4-Server-Daemon bestimmen. Es ist wichtig, dass der Parameter NFS4_SUPPORT auf yes festgelegt ist. Der Parameter NFS4_SUPPORT bestimmt, ob der NFS-Server NFSv4-Exporte und -Clients unterstützt.
Jeder Benutzer eines Linux-Rechners verfügt über einen Namen und eine ID. idmapd führt die Name-zu-ID-Zuordnung für NFSv4-Anforderungen an den Server aus und sendet Antworten an den Client. Diese Datei muss auf dem Server und dem Client für NFSv4 ausgeführt werden, da NFSv4 nur Namen für die eigene Kommunikation verwendet.
Stellen Sie sicher, dass Benutzernamen und IDs (uid) Benutzern auf eine einheitliche Weise auf allen Rechnern zugewiesen werden, auf denen möglicherweise Dateisysteme mit NFS freigegeben werden. Dies kann mit NIS, LDAP oder einem beliebigen einheitlichen Domänenauthentifizierungsmechanismus in Ihrer Domäne erreicht werden.
Der Parameter Domain muss in der Datei /etc/idmapd.conf für den Client und den Server identisch festgelegt sein. Wenn Sie sich nicht sicher sind, belassen Sie die Domäne in den Server- und den Clientdateien als localdomain. Eine Beispielkonfigurationsdatei sieht folgendermaßen aus:
[General] Verbosity = 0 Pipefs-Directory = /var/lib/nfs/rpc_pipefs Domain = localdomain [Mapping] Nobody-User = nobody Nobody-Group = nobody
Weitere Informationen finden Sie auf der man-Seite zu idmapd und idmapd.conf; man idmapd, man idmapd.conf.
Starten Sie den NFS-Serverdienst nach dem Ändern von /etc/exports oder /etc/sysconfig/nfs mit rcnfsserver restart bzw. starten Sie den Dienst neu. Wenn Sie /etc/idmapd.conf geändert haben, laden Sie die Konfigurationsdatei erneut mit dem Kommando killall -HUP rpc.idmapd.
Wenn der NFS-Dienst beim Booten gestartet werden soll, führen Sie das Kommando chkconfig nfsserver on aus.
In diesem Abschnitt finden Sie Informationen speziell für NFSv3- und NFSv2-Exporte. Informationen zum Exportieren mit NFSv4 finden Sie unter Abschnitt 26.4.1, „Exportieren für NFSv4-Clients“.
Beim Exportieren von Dateisystemen mit NFS werden zwei Konfigurationsdateien verwendet: /etc/exports und /etc/sysconfig/nfs. Ein typischer /etc/exports-Dateieintrag weist folgendes Format auf:
/shared/directory host(list_of_options)
Beispiel:
/export 192.168.1.2(rw,sync)
Hier wird das Verzeichnis /export gemeinsam mit dem Host 192.168.1.2 mit der Optionsliste rw,sync verwendet. Diese IP-Adresse kann durch einen Clientnamen oder mehrere Clients mit einem Platzhalterzeichen (z. B. *.abc.com) oder auch durch Netzwerkgruppen ersetzt werden.
Eine detaillierte Erläuterung aller Optionen und der entsprechenden Bedeutungen finden Sie auf der man-Seite zu exports (man exports).
Starten Sie den NFS-Server nach dem Ändern von /etc/exports oder /etc/sysconfig/nfs mit dem Befehl rcnfsserver restart bzw. starten Sie ihn neu.
Wenn die Kerberos-Authentifizierung für NFS verwendet werden soll, muss die GSS-Sicherheit aktiviert werden. Wählen Sie dazu im ersten YaST-NFS-Server-Dialogfeld. Zur Verwendung dieser Funktion muss ein funktionierender Kerberos-Server zur Verfügung stehen. YaST richtet diesen Server nicht ein, sondern nutzt lediglich die über den Server bereitgestellten Funktionen. Wenn Sie die Authentifizierung mittels Kerberos verwenden möchten, müssen Sie zusätzlich zur YaST-Konfiguration mindestens die nachfolgend beschriebenen Schritte ausführen, bevor Sie die NFS-Konfiguration ausführen:
Stellen Sie sicher, dass sich Server und Client in derselben Kerberos-Domäne befinden. Beide müssen auf denselben KDC-Server (Key Distribution Center) zugreifen und die Datei
krb5.keytabgemeinsam verwenden (der Standardspeicherort auf allen Rechnern lautet/etc/krb5.keytab). Weitere Informationen zu Kerberos finden Sie unter Chapter Network Authentication with Kerberos (↑Security Guide).Starten Sie den gssd-Dienst auf dem Client mit rcgssd start.
Starten Sie den svcgssd-Dienst auf dem Server mit rcsvcgssd start.
Weitere Informationen zum Konfigurieren eines kerberisierten NFS finden Sie über die Links in Abschnitt 26.7, „Weiterführende Informationen“.
Genau wie für die man-Seiten zu exports, nfs und mount stehen Informationen zum Konfigurieren eines NFS-Servers und -Clients unter /usr/share/doc/packages/nfsidmap/README zur Verfügung. Online-Dokumentation wird über die folgenden Web-Dokumente bereitgestellt:
Die detaillierte technische Dokumentation finden Sie online unter SourceForge.
Anweisungen zum Einrichten eines kerberisierten NFS finden Sie unter NFS Version 4 Open Source Reference Implementation.
Falls Sie Fragen zu NFSv4 haben, lesen Sie die Linux NFSv4-FAQ.