[sisyphus] Прошу помощи клуба! Kerberos/ldap + nfs4

[sisyphus] Прошу помощи клуба! Kerberos/ldap + nfs4

[Gleb Kulikov]

Пытаюсь воспользоваться nfs4 в домене  Kerberos/ldap,

Домен настраивался штатными средствами.

Ничерта не получается и очевидно, моего слабого понимания механизма 
недостаточно :(

В хронологическом порядке:

1. Средствами альтератора, клиент введён в домен. Аутентификация заработала 
после ручной правки /etc/krb5.conf на клиенте с указанием домена и царства.

2. На сервере и клиенте вручную поправлен /etc/idmapd, в том числе (это 
оказалось необходимым!), вручную указан домен (Domain=) и (Local-Realms = )

2. На сервере прописан экспорт:

/etc/exports:


/export  *(ro,nohide,no_subtree_check,fsid=0,crossmnt)


/export/Archive 
gss/krb5(sec=krb5,insecure,rw,sync,no_subtree_check,crossmnt,fsid=2)

3. При попытке смонтировать на клиенте:

host-52 rpc.gssd[2330]: ERROR: Key table file '/etc/krb5.keytab' not found 
while beginning keytab scan for
keytab 'FILE:/etc/krb5.keytab'

host-52 rpc.gssd[2330]: ERROR: gssd_refresh_krb5_machine_credential: no usable 
keytab entry found in keytab
 /etc/krb5.keytab for connection with host athena77.testdom.org


host-52 rpc.gssd[2331]: ERROR: Key table file '/etc/krb5.keytab' not found 
while beginning keytab scan for
keytab 'FILE:/etc/krb5.keytab'

Что делать? Запустить на клиенте kadmin и создать nfs/athena77.testdom.org и 
host /athena77.testdom.org?

Но как? 
# kadmin

Authenticating as principal root/admin@TESTDOM.ORG with password.
kadmin: Missing parameters in krb5.conf required for kadmin client while 
initializing kadmin interface

что логично, 

kadmin.local, естественно, 
kadmin.local: Нет такого файла или каталога while initializing kadmin.local 
interface

Создать на сервере nfs/host-52... и host/host-52... и экспортировать в 
[клиент/etc/krb5.keytab] вместе с nfs/athena77... и host/athena77... ?

Но KVNO в экспортированном файле изменяется и аутенификация не проходит 
("Request ticket server nfs/athena77.testdom.org@TESTDOM.ORG kvno 3 not found 
in keytab; keytab is likely out of date")

Целиком перетащить krb5.keytab с сервера на клиента? Но тогда монтирование (от 
рута) проходит, но :

На клиенте: 

mount -vvv -t nfs4 athena77.testdom.org:/Archive /mnt/Ar -o intr
mount.nfs4: timeout set for Wed Mar  4 13:29:48 2015
mount.nfs4: trying text-based options 
'intr,vers=4.0,addr=192.168.10.36,clientaddr=192.168.10.34'
[root@host-52 etc]#

Mar  4 13:27:48 host-52 rpc.gssd[1914]: ERROR: No credentials found for 
connection to server athena77.testdom.org

На сервере:

Mar  4 13:27:32 athena77 krb5kdc[26986]: AS_REQ (9 etypes {18 17 16 23 25 26 1 
3 2}) 192.168.10.34: ISSUE: authtime 1425454052, etypes {rep=18 tkt=18 
ses=18}, nfs/athena77.testdom.org@TESTDOM.ORG for 
krbtgt/TESTDOM.ORG@TESTDOM.ORG

Mar  4 13:27:32 athena77 last message repeated 4 times

Mar  4 13:28:22 athena77 krb5kdc[26986]: TGS_REQ (9 etypes {18 17 16 23 25 26 
1 3 2}) 192.168.10.34: ISSUE: authtime 1425454102, etypes {rep=18 tkt=18 
ses=18}, gleb@TESTDOM.ORG
 for host/athena77.testdom.org@TESTDOM.ORG

Файловая система монтируется только для чтения :(

Пробую получить билет и смонтировать:

# 

kinit gleb

Password for gleb@TESTDOM.ORG: 

[root@host-52 syslog]# klist
Ticket cache: KEYRING:persistent:0:0
Default principal: gleb@TESTDOM.ORG

Valid starting       Expires              Service principal
04.03.2015 13:37:15  05.03.2015 13:37:07  krbtgt/TESTDOM.ORG@TESTDOM.ORG


На клиенте:

Mar  4 13:38:45 host-52 rpc.gssd[2008]: ERROR: No credentials found for 
connection to server athena77.testdom.org


На сервере:

Mar  4 13:37:07 athena77 krb5kdc[26986]: AS_REQ (9 etypes {18 17 16 23 25 26 1 
3 2}) 192.168.10.34: NEEDED_PREAUTH: gleb@TESTDOM.ORG for 
krbtgt/TESTDOM.ORG@TESTDOM.ORG, Additio
nal pre-authentication required

Mar  4 13:37:15 athena77 krb5kdc[26986]: AS_REQ (9 etypes {18 17 16 23 25 26 1 
3 2}) 192.168.10.34: ISSUE: authtime 1425454635, etypes {rep=18 tkt=18 
ses=18}, gleb@TESTDOM.ORG
for krbtgt/TESTDOM.ORG@TESTDOM.ORG

Mar  4 13:38:29 athena77 krb5kdc[26986]: AS_REQ (9 etypes {18 17 16 23 25 26 1 
3 2}) 192.168.10.34: ISSUE: authtime 1425454709, etypes {rep=18 tkt=18 
ses=18}, nfs/athena77.testdom.org@TESTDOM.ORG for 
krbtgt/TESTDOM.ORG@TESTDOM.ORG

И фс доступна только для чтения.

Короче, я пас.

Помогите кто может (и кто не может :) !

PS: на сервере заведены принципалы

nfs/athena77.testdom.org (автоматически альтератором)
host/athena77.testdom.org (автоматически альтератором)

nfs/host-52.testdom.org (руками)
host/host-52.testdom.org (руками)

и  ldap-useradd -w -i host-52


-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)

Re: [sisyphus] Прошу помощи клуба! Kerberos/ldap + nfs4

[Вадим Илларионов]

4 марта 2015 13:46:23 от Gleb Kulikov поступило следующее:
> 1. Средствами альтератора, клиент введён в домен. Аутентификация заработала
> после ручной правки /etc/krb5.conf на клиенте с указанием домена и царства.

Тогда уж поместья и царства.
Простите за офтопик :)
_______________________________
Мимо крокодил.
WBR, rednex CIO.
Cell: +7(964)103-65-67
Viber = Cell
JID = <mailto:>
Skype = $local_part@<mailto:>

Re: [sisyphus] Прошу помощи клуба! Kerberos/ldap + nfs4

[Gleb Kulikov]

В сообщении от [5 марта 2015 Вадим Илларионов] написал:

> 4 марта 2015 13:46:23 от Gleb Kulikov поступило следующее:
> > 1. Средствами альтератора, клиент введён в домен. Аутентификация
> > заработала после ручной правки /etc/krb5.conf на клиенте с указанием
> > домена и царства.
> 
> Тогда уж поместья и царства.
> Простите за офтопик :)

:) отличная идея для переводчика! :)

устоявшийся термин, чего уж там...

-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru		(telephony)
skype://gleb_kulikov.tomsk	(telephony)

Re: [sisyphus] Прошу помощи клуба! Kerberos/ldap + nfs4

[Вадим Илларионов]

5 марта 2015 09:34:14 от Gleb Kulikov поступило следующее:
> > > домена и царства.
> > 
> > Тогда уж поместья и царства.
> > Простите за офтопик :)
> :
> :) отличная идея для переводчика! :)

Почему идея? С латыни домен - как раз имение, поместье.
Моя первая вышка - ИГМИ, лечфак. И там по латыни и др-гр гоняли знатно.

_______________________________
Мимо крокодил.
WBR, rednex CIO.
Cell: +7(964)103-65-67
Viber = Cell
JID = <mailto:>
Skype = $local_part@<mailto:>

Re: [sisyphus] Прошу помощи клуба! Kerberos/ldap + nfs4

[Gleb Kulikov]

В сообщении от [5 марта 2015 Вадим Илларионов] написал:

> > :) отличная идея для переводчика! :)
> 
> Почему идея? С латыни домен - как раз имение, поместье.
> Моя первая вышка - ИГМИ, лечфак. И там по латыни и др-гр гоняли знатно.

Дык :)

Меня всегда бесило, что техпереводчики (с середины 90-ых) предпочитают 
калькировать терминологию, вместо использования устоявшейся отечественной. То 
бишь, отечесвтенную попросту не знают. В результате в ИТ масса слов -- 
уродцев, которые уже уродцами не воспринимаются (хотя довольно было открыть 
"словарь по выч технике и кибирнетике).

Но "поместье", это таки, слишком сильно :)

ЗЫ: у меня матушка как раз к латыни медиков пыталась приохотить. Так что 
наслушался немного :)

ЗЫЗЫ: если уж смотреть в средневековой традиции, то всё-таки не "поместье", 
скорее, "владение". Доминион :)

-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru		(telephony)
skype://gleb_kulikov.tomsk	(telephony)

Re: [sisyphus] Прошу помощи клуба! Kerberos/ldap + nfs4

[Gleb Kulikov]

В сообщении от [4 марта 2015 Gleb Kulikov] написал:

Собственно. насколько я понимаю ситуацию, самый существенный момент --- кто и 
как должен создавать /etc/krb5.keytab НА КЛИЕНТЕ и почему клиент не может 
подтвердить достоверность nfs/сервер.org

Люди, а-уууу!!!!!! :)

:(

-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)

[sisyphus] [Решено] Re: Прошу помощи клуба! Kerberos/ldap + nfs4

[Gleb Kulikov]

В сообщении от [4 марта 2015 Gleb Kulikov] написал:

> Пытаюсь воспользоваться nfs4 в домене  Kerberos/ldap,
> 
> Домен настраивался штатными средствами.
> 
> Ничерта не получается и очевидно, моего слабого понимания механизма
> недостаточно :(

Отвечаю сам себе. Возможно, имеет смысл отразить результат раскопок на вики:

1. После ввода машины -- клиента в домен kerberos/ldap средствами альтератора 
нужно НА КЛИЕНТЕ исправить два косяка:

а) дописать в /etc/krb5.conf:
+++++++++++++++++++++++++++
[libdefaults]

default_realm = НАШЕ.ORG

allow_weak_crypto = true # очень похоже, что принципиальный момент для текущей 
nfs!

[dbmodules]                                                                                                                 
нашдомен.org = {                                                                                                             
    db_library = kldap                                                                                                      
    ldap_kdc_dn = cn=kdc,ou=kdcroot,dc=kulikov,dc=org                                                                       
    ldap_kadmind_dn = cn=kadmin,ou=kdcroot,dc=kulikov,dc=org                                                                
    ldap_service_password_file = /var/lib/kerberos/krb5kdc/нашдомен.org.ldapkey                                              
    ldap_servers = ldaps://сервер.нашдомен.org/                                                                            
    ldap_conns_per_server = 5                                                                                               
}                                                                                                                           
                                                                                                                            
[realms]                                                                                                                    
                                                                                                                            
НАШДОМЕН.ORG = {                                                                                                             
    kdc = сервер.нашдомен.org                                                                                              
    admin_server = сервер.нашдомен.org                                                                                     
    default_domain = нашдомен.org                                                                                            
}                                                                                                                           
                                                                                                                            
[domain_realm]                                                                                                              
нашдомен.org = НАШДОМЕН.ORG                                                                                                   
.нашдомен.org = НАШДОМЕН.ORG
+++++++++++++++++++++++++++++

б) заполнить /etc/idmapd.conf

[General]

Domain = kulikov.org

[Mapping]                                                                                                                   
                                                                                                                            
Nobody-User = nobody                                                                                                        
Nobody-Group = nobody

[Translation]

Method = nsswitch

2. Идём НА СЕРВЕР (KDC) и создаём принципал для КЛИЕНТА (если клиентов много, 
то для каждого клиента):

kadmin.local:
	addprinc -randkey nfs/клиент.нашдомен.org@НАШЕЦАРСТВО.ORG
после ввода всех клиентов
	ktadd -k /etc/krb5.keytab

именно так, без указания типа шифрования (будут записаны все дефолтные)

теперь копируем /etc/krb5.keytab С СЕРВЕРА в /etc на КЛИЕНТАХ.

Именно копируем полный keytab с сервера, а не экспортируем отдельную запись. В 
противном случае, KVNO записи изменится и аутентичность устанавливаться не 
будет!
(Этот момент мне кажется крайне сомнительным, хотелось бы услышать комментарий 
гуру).

Без копирования keytab на клиента, gssd установление аутентичности не 
отрабатывает (почему?!)

3. [БАГ!!!!] На клиенте тем или иным способом заставляем запуститься rpc.gssd, 
rpc.idmapd --- в p7 работает service gssd старт, а вот для старта rpc.idmapd 
нужно или создавать новый сервис, или стартовать вручную. Аналогично, на 
сервере нужно ДОПОЛНИТЕЛЬНО стартовать rpc.svgssd

4. /etc/sysconfig/nfs на севере И КЛИЕНТЕ, нужно прописать 
SECURE_NFS=yes

5. в /etc/exports:

а) корень ОБЯЗАТЕЛЬНО должен быть прописан с sec=krb5:

/export         gss/krb5(ro,nohide,no_subtree_check,fsid=0,crossmnt,sec=krb5)

И ЭТА СТРОЧКА ДОЛЖНА БЫТЬ ПЕРВОЙ!

б) если есть необходимость, чтобы кроме керберезированных экспортов была 
возможность анонимного подключения, следует:
	б.1) прописывать анонимные шары ОБЯЗАТЕЛЬНО в другое дерево. Хотя будем 
требовать, чтобы анонимные шары разделялись по nfs3, указание fsid= 
ОБЯЗАТЕЛЬНО, причём номер fsid НЕ ДОЛЖЕН ПЕРЕСЕКАТЬСЯ С fsid 
керберезированного раздела (для анонимных шар начинаем нумерацию заведомо 
ПОСЛЕ керберезированных каталогов).

/nfs/Film 192.168.1.0/24(ro,nohide,no_subtree_check,crossmnt,fsid=10)

	б.2) керберезированные каталоги прописываем с sec=krb5

/export/Archive gss/krb5(insecure,rw,sync,no_subtree_check,crossmnt,fsid=3)


NB!: анонимная шара монтируется по nfs3 с использованием полного синтаксиса:
mount -t nfs сервер:/nfs/Film /mnt/F -o intr,vers=3,nolock,sec=sys
(здесь nolock или, что правильнее, запускать lockd).

Монтирование из autofs также работает, но версию протокола и sec= нужно 
прописывать в файлы конфигурации autofs явно!


Непонятный косяк: первая запись файла на керберизированный ресурс длится 
неприлично долго, но затем работа идёт без замираний и на полной скорости.

Заключение: слов нет, одни мысли, и те неприличные.


-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)

Re: [sisyphus] [Решено] Re: Прошу помощи клуба! Kerberos/ldap + nfs4

[REAL]

10.03.2015 16:50, Gleb Kulikov пишет:
> Заключение: слов нет, одни мысли, и те неприличные.

Мне мама всегда говорила: не трогай nfs, больно будет...

-- 

REAL aka Евгений Ростовцев, программист ЦНИТ КемГУ

Re: [sisyphus] [Решено] Re: Прошу помощи клуба! Kerberos/ldap + nfs4

[Gleb Kulikov]

В сообщении от [11 марта 2015 REAL] написал:

> 10.03.2015 16:50, Gleb Kulikov пишет:
> > Заключение: слов нет, одни мысли, и те неприличные.

> 
> Мне мама всегда говорила: не трогай nfs, больно будет...

1) nfs тут не при чём

2) Не согласен. nfs замечательна по легковесности и скорости. Безопасность 
гa^%о, это да.


-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru		(telephony)
skype://gleb_kulikov.tomsk	(telephony)

Re: [sisyphus] [Решено] Прошу помощи клуба! Kerberos/ldap + nfs4

[Michael Shigorin]

On Tue, Mar 10, 2015 at 03:50:22PM +0600, Gleb Kulikov wrote:
> Отвечаю сам себе. Возможно, имеет смысл отразить результат раскопок на вики:

Своей рукой сделаешь?  http://www.altlinux.org/NFS там есть.

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info