配置NFS共享 （Linux与Linux之间的共享）
普通NFS服务
NFS（Network File System）：网络文件系统
用途：为客户机提供共享使用的文件夹
协议：NFS(TCP/UDP 2049）、RPC(TCP/UDP 111)
NFS软件包:nfs-utils
系统服务:nfs-server
客户端不需要运行特定的系统服务
Exports配置文件解析
配置文件/etc/exports
配置文件修改:文件夹绝对路径 客户机地址(权限) 客户机地址(权限)
权限：ro或rw等控制参数
使用exportfs -r 可以重载更新过的配置
客户机访问NFS共享文件夹
1)列出有哪些共享资源： showmount -e 服务器地址
2)手动挂载NFS共享： mount 服务器地址:文件夹路径 挂载点
3)开机自动挂载配置/etc/fstab: 服务器地址:文件夹路径 挂载点 nfs _netdev 0 0
###############################################################################
案例3：普通NFS共享的实现
在虚拟机 server0 上配置NFS服务，完成以下任务：
1.只读的方式共享目录 /public，只能被 example.com 域中的系统访问
2.可读写共享目录/protected，能被 example.com 域中的系统访问
然后在虚拟机 desktop0 上访问NFS共享目录
1.将 server0 的 /public 挂到本地 /mnt/nfsmount
2.这些文件系统在系统启动时自动挂载
步骤一：在server0上发布NFS共享目录
1）检测是否安装软件包nfs-utils# rpm -q nfs-utils
2）准备需要共享的文件夹 # mkdir /public # mkdir /protected
3）建立NFS共享配置 # vim /etc/exports
/public 172.25.0.0/24(ro)
/protected 172.25.0.0/24(rw)
4）启动系统服务nfs-server，并设置开机自启 # systemctl restart nfs-server
# systemctl enable nfs-server
步骤二：在desktop0上挂载NFS共享目录/public
1）创建挂载点 # mkdir /mnt/nfsmount
2）列出server0上提供的NFS共享资源# showmount -e server0.example.com
3）配置开机挂载server0的NFS共享目录/public
# vim /etc/fstab
server0.example.com:/public /mnt/nfsmount nfs defaults,_netdev 0 0
4）测试挂载配置 # mount -a # df -hT /mnt/nfsmount/
###############################################################################
安全NFS服务
安全NFS的前提条件：服务器、客户机都需要加入LDAP+Kerberos认证
安全NFS服务的特点：
Ø 作为普通NFS的增强版
结合LDAP+kerberos技术,实现认证和加密支持
同一个kerbreos领域内,认证用户可实现“一次认证（获取通行证）,多次免密登陆”的通行证机制
LDAP：管理所有用户信息
Kerbreos（地狱三头犬）：提供密码认证
Ø 服务端:发布安全NFS：添加 sec=krb5p
1）调整共享目录配置，启用安全NFS支持
2）部署kerberos密钥文件
3)服务端需要运行系统服务 nfs-server.service、nfs-secure-server.service
Ø 访问安全NFS:
1)部署kerberos密钥文件到/etc
2)客户端需要运行系统服务 nfs-secure.service
3)挂载设置添加：sec=krb5p,_netdev
服务器地址:文件夹路径 挂载点 nfs sec=krb5p,_netdev 0 0
4)#mount -a #df -hT
不要忘记部署Kerberos密钥：下载各自的密钥文件，部署到 /etc/krb5.keytab
通过LDAP服务器提供用户名、通过Kerberos服务器提供密码
###############################################################################
案例4：安全NFS共享的实现
在虚拟机 server0 上配置安全NFS服务，完成以下任务：
1.访问 /protected 需 kerberos 加密，密钥地址：http://classroom/pub/keytabs/server0.keytab
2.目录 /protected 下包含名为 project 的子目录
然后在虚拟机 desktop0 上访问NFS共享目录
1.挂载 /mnt/nfssecure 需 kerberos加密，密钥地址：http://classroom/pub/keytabs/desktop0.keytab
2.用户 ldapuser0 能够在 /mnt/nfssecure/project 目录下创建文件，其密码为 kerberos
步骤一：将server0、desktop0加入kerberos认证领域
还原所有虚拟机，并将防火墙的默认区域设置为trusted
1、教学环境虚拟机按以下操作处理（将虚拟机server0与desktop0，加入LDAP、kerberos）。
1）初始化server0 # lab nfskrb5 setup //自定义脚本程序，用于本次实验用
lab nfskrb5 setup 操作的作用：
安装LDAP、kerberos的客户端相关的软件包
将用户认证配置为支持LDAP+kerberos（authconfig-gtk）
启动LDAP、kerberos的客户端相关服务
2）初始化desktop0 # lab nfskrb5 setup
3)# id ldapuser0 //验证是否识别网络用户
4）验证初始化结果
可以使用网络账号ldapuser0登入到server0或desktop0，其密码是kerberos：
# ssh [email protected]
Are you sure you want to continue connecting (yes/no)? yes //接受密钥
[email protected]'s password: //输入密码kerberos
$ //成功登入
$ exit //返回原环境
步骤二：为server0下载及部署密钥
# wget http://classroom/pub/keytabs/server0.keytab -O /etc/krb5.keytab
# file /etc/krb5.keytab //检查部署结果
步骤三：在server0上调整/protected共享配置
1）创建指定的子目录# mkdir -p /protected/project
# chown ldapuser0 /protected/project //赋予可写权限，亦可用acl
2）调整共享目录的安全控制类型
# vim /etc/exports
/public 172.25.0.0/24(ro)
/protected 172.25.0.0/24(rw,sec=krb5p) //指定安全类型
3）重启系统服务nfs-server、nfs-secure-server（安全的nfs服务），设置开机自启
# systemctl restart nfs-server nfs-secure-server //两个服务最好同时重启
# systemctl enable nfs-server nfs-secure-server
# exportfs -r
步骤四：客户端：在desktop0上挂载安全NFS共享/protected
1）创建挂载点 # mkdir /mnt/nfssecure
2）为desktop0下载及部署密钥
# wget http://classroom/pub/keytabs/desktop0.keytab -O /etc/krb5.keytab
# file /etc/krb5.keytab //检查部署结果
3）配置开机挂载安全NFS共享
# vim /etc/fstab
server0.example.com:/public /mnt/nfsmount nfs _netdev 0 0
server0.example.com:/protected /mnt/nfssecure nfs sec=krb5p,_netdev 0 0
4）重起系统服务nfs-secure，并配置开机自启 # systemctl restart nfs-secure
# systemctl enable nfs-secure
4）验证挂载配置 # mount -a # df -hT /mnt/nfs*
5）测试对挂载点的写入权限（必须用ssh进行测试，因为su不经过LDAP）
以用户ldapuser0通过SSH的方式登入desktop0，验证密码（kerberos）以获取通行证：
[root@desktop0~]# ssh [email protected] //输入密码kerberos，成功
访问desktop0的挂载点/mnt/nfssecure/的子目录project，测试可写入：
[ldapuser0@desktop0 ~]$ touch /mnt/nfssecure/project/a.txt
[ldapuser0@desktop0 ~]$ ls -lh /mnt/nfssecure/project/a.txt
-rw-rw-r--. 1 ldapuser0 ldapuser0 0 Nov 27 04:43 /mnt/nfssecure/project/a.txt
最常见的问题：
1）用来kerberos加密的密钥文件
server0 ==》 server0.keytab ==》 /etc/krb5.keytab
desktop0 ==》 desktop0.keytab ==》 /etc/krb5.keytab
检测方法：klist -k /etc/krb5.keytab
Linux系统服务完整的名称：服务名.service
nfs-server <==> nfs-server.service
nfs-secure-server <==> nfs-secure-server.service
LDAP客户端配置
1）本地账号（/etc/passwd、/etc/shadow）登录到server0
登录到不同的机器，密码可能不一样，多次登录
2）网络账号（LDAP、LDAP）登录到server0、desktop0、……
登录到不同的机器，密码一样，多次登录
3）网络账号（LDAP、kerberos）登录到server0、desktop0、……
登录到不同的机器，密码一样，一次登录
kerberos单点登录 —— 用一个用户名/密码登录一批机器（通行证）