Dotaz: NFS - prava a bezpecnost

[David]

Ahoj,

mam server debian a klienty s Ubuntu. Sit 10.0.10.0/24. Doted jsem na sdileni adresaru na serveru pouzival Sambu. Prislo mi to ale zbytecne, tak jsem zacal patrat po tom, jak nastavit NFS. Modelova situace je takova: na serveru (10.0.10.1) mam uzivatele pepa (UID 1000, /home/pepa) a franta (UID 1001, /home/franta).

/etc/exports na serveru

/home 10.0.10.0 (rw,no_root_squash,sync)

mount na klientech:

sudo mount 10.0.10.1:/home /media/nfs

na lokale maji uzivatele stejne UID jako na serveru.

Pokud si ale franta na lokale zmeni UID na 1000, uvidi serverove sdileni Pepy a to neni moc security, ne?

Odpovědi

[NN]

Normalni uzivatel si UID zmenit nemuze..

NN

[David]

ano, ale normalni uzivatel si muze preinstalovat desktop a tudiz si se muze stat lokalnim rootem :-/

[VSi]

NFS není bezpečné ve smyslu toho, že má-li uživatel roota na klientovi, má automaticky přístup ke všem souborům (nepomůže ani volba root_squash). Nemusí mít ani root přístup, stačí možnost nabootovat live CD.

Takovou bezpečnost poskytuje až NFSv4 + Kerberos autentizace. Zprovoznit Kerberos server a nastavit klienty není úplně jednoduché, nedávno tady ale vyšel článek, kde je to pěkně popsáno. Jinou možností je použít Sambu + CIFS mount. Paradoxně se tahle Windows technologie může někdy i v čistě linux prostředí hodit více než NFS.

Stabilita NFSv4 pod linuxem je bohužel sporná, hlavně u serveru. Pokud má někdo jinou zkušenost, budu rád, když to sem napíše.

[David]

Takze se rekneme ma teorie potvrdila. Mnohokrat jsem prave narazil na otazky, proc nekdo pouziva Sambu na Linux vs. Linux, kdyz muze jet na NFS. Sam pouzivam Sambu a cifs a tyto pripominky me zvyklaly k pouziti NFS..

[David]

A jeste ke vsemu se disk pri namountovani chova jako read-only .. proc?

[David]

toto vyreseno, chyba byla v mezere,ktera tam nema byt:

/home 10.0.10.0tadynenimezera(rw,no_root_squash,sync)

[Jawor]

Pridam se taky do debaty. NFS mam nastaveno tak, ze uzivatele na serveru maji stejna UID a GID jako na stanicich. Proto (kdyz pominu moznost zmeny UID napr. diky pravum sudo) jsem mel falesny pocit bezpeci. Jeden user v siti si totiz koupil streamovaci zarizeni Xtreamer a pri prochazeni slozek objevil i vyexportovany /home, kde ma pristup do vsech slozek vsech uzivatelu. Tzn. ze ten Xtreamer jede jakoby pod rootem?

[VSi]

Nejspíš to streamovací zařízení na NFS přistupuje skutečně jako root. Dobré by bylo omezit export z NFS serveru jen na IP adresy počítačů, které máte pod kontrolou.