[Sysadmins] Q: NFS сервер за firewall: как сделать правельно?

[Sysadmins] Q: NFS сервер за firewall: как сделать правельно?

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 529 bytes --]

Здравствуйте.

  Задача: поднять NFS сервер, закрытый firewallом, в том числе от лакалки.

  Пытаясь решить её малой кровью (обойтись точечным открытием портов)
нарыл <http://ipesin.linux.kiev.ua/translations/rhm/tipstricks10.htm>,
позволяющий это сделать.

  Есть ли другие, более правильные, способы? (Это первый опыт с NFS,
многого ещё не знаю.)

PS: Вопрос инициирован
<https://bugzilla.altlinux.org/show_bug.cgi?id=9769> и
<https://bugzilla.altlinux.org/show_bug.cgi?id=9770>

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 550 bytes --]

Re: [Sysadmins] Q: NFS сервер за firewall: как сделать правельно?

[Michael Shigorin]

On Tue, Jul 11, 2006 at 10:08:05PM +0400, Aleksey Avdeev wrote:
> Пытаясь решить её малой кровью (обойтись точечным открытием портов)
> нарыл <http://ipesin.linux.kiev.ua/translations/rhm/tipstricks10.htm>,
> позволяющий это сделать.  Есть ли другие, более правильные,
> способы? (Это первый опыт с NFS, многого ещё не знаю.)

Статью-то не читал, но Ваня -- человек грамотный.
(правда, тут перевод, а не авторская...)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] Q: NFS сервер за firewall: как сделать правельно?

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 996 bytes --]

Michael Shigorin пишет:
> On Tue, Jul 11, 2006 at 10:08:05PM +0400, Aleksey Avdeev wrote:
> 
>>Пытаясь решить её малой кровью (обойтись точечным открытием портов)
>>нарыл <http://ipesin.linux.kiev.ua/translations/rhm/tipstricks10.htm>,
>>позволяющий это сделать.  Есть ли другие, более правильные,
>>способы? (Это первый опыт с NFS, многого ещё не знаю.)
> 
> 
> Статью-то не читал, но Ваня -- человек грамотный.
> (правда, тут перевод, а не авторская...)
> 

  Хочу тоже быть грамотным. :-)

  Медитирую сейчас над <http://nfs.sourceforge.net/nfs-howto>,
<http://www.citi.umich.edu/projects/nfsv4/linux/faq> и
<http://www.citi.umich.edu/projects/nfsv4/linux/using-nfsv4.html>. Пока
так и не понял:

1. какую комбинацию демонов пускать, чтобы оно всё железно работало;

2. в чём существенные отличия настроек, для работы по NFSv4 и NFSv3 (т.
к. есть клиенты NFSv4 не поддерживающие).

  И что самое паршивое -- каша в голове, сейчас...

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 550 bytes --]

Re: [Sysadmins] Q: NFS сервер за firewall: как сделать правельно?

[Michael Shigorin]

On Wed, Jul 12, 2006 at 03:43:26PM +0400, Aleksey Avdeev wrote:
> Пока так и не понял:
> 1. какую комбинацию демонов пускать, чтобы оно всё железно работало;

portmap нужен, nfslock полезен при разделяемом доступе.

> 2. в чём существенные отличия настроек, для работы по NFSv4 и
> NFSv3 (т.  к. есть клиенты NFSv4 не поддерживающие).

Без малейшего.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] Q: NFS сервер за firewall: как сделать правельно?

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 463 bytes --]

Aleksey Avdeev пишет:

> 2. в чём существенные отличия настроек, для работы по NFSv4 и NFSv3 (т.
> к. есть клиенты NFSv4 не поддерживающие).
> 
>   И что самое паршивое -- каша в голове, сейчас...

Тогда советую пока про NFSv4 забыть - оно гораздо проще с точки зрения
пропуска (один фиксированный tcp порт, кажется 2049), но там совершенно
иная идеология и изучать это вместе с NFSv3 весьма сложно. Лучше
считайте, что у них просто похожи названия.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 252 bytes --]

Re: [Sysadmins] Q: NFS сервер за firewall: как сделать правельно?

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 804 bytes --]

Ivan Fedorov пишет:
> Aleksey Avdeev пишет:
> 
> 
>>2. в чём существенные отличия настроек, для работы по NFSv4 и NFSv3 (т.
>>к. есть клиенты NFSv4 не поддерживающие).
>>
>>  И что самое паршивое -- каша в голове, сейчас...
> 
> 
> Тогда советую пока про NFSv4 забыть - оно гораздо проще с точки зрения
> пропуска (один фиксированный tcp порт, кажется 2049), но там совершенно
> иная идеология и изучать это вместе с NFSv3 весьма сложно. Лучше
> считайте, что у них просто похожи названия.

  Кажется что-то начало вырисовываться... Во всяком случаи -- тестовая
ФС у меня подмантировалась и по NFSv4 и по NFSv3 (разными клиентами).

  Разбираюсь дальше...

PS: Как обычно, здесь кажется главное логику работы понять... Дальше --
всё уже проще. :-)

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 550 bytes --]

Re: [Sysadmins] Q: NFS сервер за firewall: как сделать правельно?

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 960 bytes --]

Aleksey Avdeev пишет:
> Ivan Fedorov пишет:
> 
>>Aleksey Avdeev пишет:
>>
>>
>>
>>>2. в чём существенные отличия настроек, для работы по NFSv4 и NFSv3 (т.
>>>к. есть клиенты NFSv4 не поддерживающие).
>>>
>>> И что самое паршивое -- каша в голове, сейчас...
>>
>>
>>Тогда советую пока про NFSv4 забыть - оно гораздо проще с точки зрения
>>пропуска (один фиксированный tcp порт, кажется 2049), но там совершенно
>>иная идеология и изучать это вместе с NFSv3 весьма сложно. Лучше
>>считайте, что у них просто похожи названия.
> 
> 
>   Кажется что-то начало вырисовываться... Во всяком случаи -- тестовая
> ФС у меня подмантировалась и по NFSv4 и по NFSv3 (разными клиентами).
> 
>   Разбираюсь дальше...

  Для своих нужд -- разодрался: NFSv4 и NFSv3 клиенты заработали. И
экспортируется то что я хочу. :-)

  Могу выложить краткое описание. Но только завтра (точнее уже сегодня)
ближе к вечеру)...

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 550 bytes --]

Re: [Sysadmins] Q: NFS сервер за firewall: как сделать правельно?

[Michael Shigorin]

On Thu, Jul 13, 2006 at 11:25:40PM +0400, Aleksey Avdeev wrote:
> Могу выложить краткое описание. Но только завтра (точнее уже
> сегодня) ближе к вечеру)...

Давайте (на freesource.info).  И лучше не забудьте, пока помните
детали.  Потом зачастую опять пригождается.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] Q: NFS сервер за firewall: как сделать правельно?

[Gleb Kulikov]

В сообщении от Пятница 14 Июль 2006 02:25 Aleksey Avdeev написал:
> > ФС у меня подмантировалась и по NFSv4 и по NFSv3 (разными клиентами).

О! А где бы почитать об основных особенностях и отличаях nfs4 от 3? Искал 
вменяемое описание давно, не нашёл.

-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
skype://gleb_kulikov.tomsk
sip:    20000204@sip.pctel.ru
netmail: 2:5005/78

[Sysadmins] I: Краткая памятка по поднятию NFSv4 и NFSv3 (was: Q: NFS сервер за firewall: как сделать правельно?)

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 3031 bytes --]

Michael Shigorin пишет:
> On Thu, Jul 13, 2006 at 11:25:40PM +0400, Aleksey Avdeev wrote:
> 
>>Могу выложить краткое описание. Но только завтра (точнее уже
>>сегодня) ближе к вечеру)...
> 
> 
> Давайте (на freesource.info).  И лучше не забудьте, пока помните
> детали.  Потом зачастую опять пригождается.
> 

  Туда тоже, но сначала сюда: лишний прогон текста через спелчекер -- не
лишний, в моём случаи. ;-)

  Общая настройка NFSv4 и NFSv3

  Задача -- экспортировать часть ФС (/ftp/pub) с iso`шками и
репозитариями (часть репозитариев -- подмонтированные iso). Применил
лобовое решение, описанное в <
http://www.citi.umich.edu/projects/nfsv4/linux/using-nfsv4.html#exports>
(для моего случая):

mkdir -p /export/pub
mount --rbind /ftp/pub /export/pub

  Теперь в /export/pub доступно всё содержимое /ftp/pub, в том числе --
и смонтированные туда /ftp/pub/foo* (содержимое соответствующего
/ftp/pub/ISO/foo*.iso). Несмотря на это, в /export придётся упомянуть
_каждую_ из неявно (за счёт mount --rbind) подмонтированных в
/export/pub/* ФС: иначе клиенты их видеть не будут. Мне потребовалось
примерно следующие (упрощённо):

=====

/export (ro,nohide,fsid=0)
/export/pub (ro,nohide,fsid=1)
/export/pub/foo1 (ro,nohide,fsid=2)
/export/pub/foo2 (ro,nohide,fsid=3)
/export/pub/foo<N> (ro,nohide,fsid=<N>)

=====

  При этом числа в параметре fsid должны различаться. При совпадении --
видна только одна из ФС с совпадающими fsid (нарвался на такое, но
детально вопрос не исследовал).

  Это всё на сервере. На клиенте всё монтируется в одной точке (для
NFSv4 и NFSv3 соответственно):

mount -t nfs4 <сервер>:/ <точка монтирования>

mount -t nfs <сервер>:/export <точка монтирования>

  При этом по nfs4 смонтировать удаётся только содержимое /export: при
экспорте какого нибудь /ftp/pub напрямую -- он доступен только по NFSv3...

  NFSv4 и NFSv3 через firewall

  Т. к. для меня критична одновременная поддержка клиентов обоих версий
NFS (v4 и v3), то фиксацию и открытие портов выполнял по рецептам для
NFSv3, как для более гемаройного варианта (меня убеждают что NFSv4
требования мягче, причин не верить у меня нет, но и специально не
проверял). Использовал
<http://ipesin.linux.kiev.ua/translations/rhm/tipstricks10.htm> и
<http://nfs.sourceforge.net/nfs-howto/ar01s06.html>

  Фиксировал и открывал на серверном firewall следующие:

1) nfs -- работает по 2049 tcp/udp по умолчанию. Если требуется сдвинуть
специально -- см. <https://bugzilla.altlinux.org/show_bug.cgi?id=9769>

2) mountd -- параметром MOUNTD_PORT (в /etc/sysconfig/nfs)

3) nlockmgr -- параметрами nlm_tcpport и nlm_udpport модуля lockd
(строка вида "options lockd nlm_tcpport=N nlm_udpport=M" в
/etc/modules.conf)

4) portmapper -- стандартные 111 tcp/udp

  С firewall на клиентах пока не экспериментировал. Есть подозрение, что
там придётся фиксировать и открывать порт для status (см.
<https://bugzilla.altlinux.org/show_bug.cgi?id=9770>).

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 550 bytes --]

Re: [Sysadmins] I: Краткая памятка по поднятию NFSv4 и NFSv3

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 552 bytes --]

Aleksey Avdeev пишет:
> 
>   Теперь в /export/pub доступно всё содержимое /ftp/pub, в том числе --
> и смонтированные туда /ftp/pub/foo* (содержимое соответствующего
> /ftp/pub/ISO/foo*.iso). Несмотря на это, в /export придётся упомянуть
                                             ^^^^^^^
> _каждую_ из неявно (за счёт mount --rbind) подмонтированных в
> /export/pub/* ФС: иначе клиенты их видеть не будут. Мне потребовалось
> примерно следующие (упрощённо):

  Выделенное выше 's@/export@/etc/exports@'.

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 550 bytes --]

Re: [Sysadmins] I: Краткая памятка по поднятию NFSv4 и NFSv3

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 566 bytes --]

Aleksey Avdeev пишет:
> Michael Shigorin пишет:
> 
>>On Thu, Jul 13, 2006 at 11:25:40PM +0400, Aleksey Avdeev wrote:
>>
>>
>>>Могу выложить краткое описание. Но только завтра (точнее уже
>>>сегодня) ближе к вечеру)...
>>
>>
>>Давайте (на freesource.info).  И лучше не забудьте, пока помните
>>детали.  Потом зачастую опять пригождается.
>>
> 
> 
>   Туда тоже, но сначала сюда: лишний прогон текста через спелчекер -- не
> лишний, в моём случаи. ;-)

  Здесь: <http://www.freesource.info/wiki/Stat'i/HowTo/NFSv4>

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 550 bytes --]

Re: [Sysadmins] I: Краткая памятка по поднятию NFSv4 и NFSv3

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 967 bytes --]

Aleksey Avdeev пишет:

>   Теперь в /export/pub доступно всё содержимое /ftp/pub, в том числе --
> и смонтированные туда /ftp/pub/foo* (содержимое соответствующего
> /ftp/pub/ISO/foo*.iso). Несмотря на это, в /export придётся упомянуть
> _каждую_ из неявно (за счёт mount --rbind) подмонтированных в
> /export/pub/* ФС: иначе клиенты их видеть не будут. Мне потребовалось
> примерно следующие (упрощённо):
> 
> =====
> 
> /export (ro,nohide,fsid=0)
> /export/pub (ro,nohide,fsid=1)
> /export/pub/foo1 (ro,nohide,fsid=2)
> /export/pub/foo2 (ro,nohide,fsid=3)
> /export/pub/foo<N> (ro,nohide,fsid=<N>)
> 
> =====
> 
>   При этом числа в параметре fsid должны различаться. При совпадении --
> видна только одна из ФС с совпадающими fsid (нарвался на такое, но
> детально вопрос не исследовал).

Насколько я помню, fsid надо указывать только у /export. То есть только
там, где значение должно равняться "0".
Эта точка станет корнем для NFSv4.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 252 bytes --]

Re: [Sysadmins] I: Краткая памятка по поднятию NFSv4 и NFSv3

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 1060 bytes --]

Ivan Fedorov пишет:
> Aleksey Avdeev пишет:
> 
> 
>>  Теперь в /export/pub доступно всё содержимое /ftp/pub, в том числе --
>>и смонтированные туда /ftp/pub/foo* (содержимое соответствующего
>>/ftp/pub/ISO/foo*.iso). Несмотря на это, в /export придётся упомянуть
>>_каждую_ из неявно (за счёт mount --rbind) подмонтированных в
>>/export/pub/* ФС: иначе клиенты их видеть не будут. Мне потребовалось
>>примерно следующие (упрощённо):
>>
>>=====
>>
>>/export (ro,nohide,fsid=0)
>>/export/pub (ro,nohide,fsid=1)
>>/export/pub/foo1 (ro,nohide,fsid=2)
>>/export/pub/foo2 (ro,nohide,fsid=3)
>>/export/pub/foo<N> (ro,nohide,fsid=<N>)
>>
>>=====
>>
>>  При этом числа в параметре fsid должны различаться. При совпадении --
>>видна только одна из ФС с совпадающими fsid (нарвался на такое, но
>>детально вопрос не исследовал).
> 
> 
> Насколько я помню, fsid надо указывать только у /export. То есть только
> там, где значение должно равняться "0".
> Эта точка станет корнем для NFSv4.

  OK, проверю...

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 550 bytes --]

Re: [Sysadmins] I: Краткая памятка по поднятию NFSv4 и NFSv3

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 1075 bytes --]

Ivan Fedorov пишет:
> Aleksey Avdeev пишет:
> 
> 
>>  Теперь в /export/pub доступно всё содержимое /ftp/pub, в том числе --
>>и смонтированные туда /ftp/pub/foo* (содержимое соответствующего
>>/ftp/pub/ISO/foo*.iso). Несмотря на это, в /export придётся упомянуть
>>_каждую_ из неявно (за счёт mount --rbind) подмонтированных в
>>/export/pub/* ФС: иначе клиенты их видеть не будут. Мне потребовалось
>>примерно следующие (упрощённо):
>>
>>=====
>>
>>/export (ro,nohide,fsid=0)
>>/export/pub (ro,nohide,fsid=1)
>>/export/pub/foo1 (ro,nohide,fsid=2)
>>/export/pub/foo2 (ro,nohide,fsid=3)
>>/export/pub/foo<N> (ro,nohide,fsid=<N>)
>>
>>=====
>>
>>  При этом числа в параметре fsid должны различаться. При совпадении --
>>видна только одна из ФС с совпадающими fsid (нарвался на такое, но
>>детально вопрос не исследовал).
> 
> 
> Насколько я помню, fsid надо указывать только у /export. То есть только
> там, где значение должно равняться "0".
> Эта точка станет корнем для NFSv4.

  Спасибо, так и есть. Не знал.

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 550 bytes --]