FS NetFile System. NFS Net File System. Vortrag INTRT MM99 WS 2002/03. C. Eigenstetter Fachbereich Elektrotechnik & Informatik HS Wismar

Transkript

1 NFS Net File System Vortrag INTRT MM99 WS 2002/03

2 1 Übersicht 1 Übersicht / Gliederung 2 Was ist NFS 3 Remote Procedure Calls 4 NFS Prozeduren 5 Mounten von Dateisystemen 6 Sicherheit 7 NFS Server 8 NFS Client 9 NFS auf Windows Plattformen 10 Unterschiede NFS2 / NFS3 11 Literaturverweise

3 2 Was ist NFS Das Network File System (NFS) ist ein verteiltes Dateisystem, das transparenten Zugriff auf die Festplatten eines fernen Rechners bietet NFS stellt eine Client/Server-Beziehung zwischen den beteiligten Rechnern her Der NFS-Server stellt Dateisysteme im Netz zur Verfügung, die ein NFS-Client mit Hilfe des mount-protokolls in sein lokales Dateisystem einhängen kann NFS Protokoll hat seinen Ursprug in der UNIX Welt Trotzdem kann es relativ plattformunabhängig eingesetzt werden (z.b. UNIX, WINDOWS, MAC), da es mit Remote Procedure Calls (SUN RPC) und XDR (External Data Representation) arbeitet XDR beschreibt eine einheitliche und eindeutige Darstellung von Datentypen

4 2 Was ist NFS NFS wird normalerweise zusammen mit dem NIS/YP System eingesetzt NIS/YP stellt die gesamte Arbeitsumgebung eines Nutzers zur Verfügung NFS wurde von Sun entwickelt und 1985 wurde die erste Version freigegeben Version 2 erschien 1989 Version 3 erschien übergab Sun alle Rechte am NFS Protokoll an die Internet Society ( NFS ist ein offener Standard!!

5 2 Was ist NFS Abb 1. Vergleich OSI NFS Modell

6 3 Remote Procedure Calls RPC Dienst von SUN ist eine Schnittstelle zu Diensten auf entfernten Rechnern Der Zugriff auf diese Dienste erfolgt über Proceduren (sogenannte RPC s) Auf RPC Servern dürfen mehrere RPC Programme parallel ablaufen, die wiederum mehrere Prozeduren zur Verfügung stellen Deshalb besitzt jedes RPC-Programm eine Programm- und Versionsnummer, jede Prozedur hat ebenfalls eine eigene Nummer (Programmnr. NFS Server ) Dieser Mechanismus ermöglicht es, über die Serveradresse, Programm-, Versions-, und Prozedurnummer eine Remote Prozedur eindeutig zu adressieren Als Transportprotokoll kann NFS sowohl TCP als auch UDP nutzen

7 3 Remote Procedure Calls Damit der Client den Serverdienst erreichen kann, muss er die Portnummer des Dienstes auf dem Server kennen (Wellknown Port) Üblich für NFS Dienste ist der Port 2049 Da diese Portnummer jedoch nicht standardisiert ist, läuft in der Regel ein Portmappingdienst auf dem Server Der Portmapper setzt RPC-Programmnummern in Portnummern um (RPC-Programmnummer 10000, Portnummer 111)

8 3 Remote Procedure Calls Abb 2. RPC Call

9 4 NFS Prozeduren Übersicht über die wichtigsten RPC s (NFS Vers. 2) GetFileAttributes liefert die Attribute einer Datei SetFileAttributes setzt die Attribute für eine Datei LookupFileName ReadFromFile WriteToFile CreateFile RemoveFile RenameFile CreateDirectory RemoveDirectory ReadFromDirectory GetFileSystemAttributes liefert ein Dateihandle zu einem Dateinamen liest aus einer Datei schreibt in Datei erzeugt Datei entfernt Datei Umbenennung Datei erzeugt Verzeichnis entfernt Verzeichnis liest Verzeichnisinhalt Informationen über Dateisystem (freier und belegter Speicher etc.)

10 4 NFS Prozeduren Alle Prozeduren arbeiten synchronisiert, d.h. wenn der RPC Call beendet ist, kann der Client sicher sein, das die Daten auf dem Server geschrieben sind NFS Vers. 3 bietet zudem asynchrone Schreibvorgänge für mehr Performance NFS arbeitet nicht mit dem kompletten Pfadnamen, da Dateipfade plattformabhängig variieren Pfade werden clientseitig verarbeitet Bei NFS 2 beträgt die maximale Paketgrösse (MTU Maximum Transport Unit) 8192 byte Falls das Transportprotokoll eine kleinere MTU benutzt, sollte der Wert angepasst werden um Overhead durch IP Fragmentierung zu vermeiden

11 5 Mounten von Dateisystemen Damit ein Client das entfernte Dateisystem (Server) nutzen kann, muss es ihm erst bekannt gemacht werden Dies geschieht mit Hilfe des Mountprotokolls Der Mountdienst ist ebenfalls ein RPC-Programm (Programmnr ) auf dem Server Client stellt eine Anfrage nach einer Serverfreigabe (Verzeichnis) an dem Mountdienst Falls die Freigabe existiert und der Client Zugriffsrechte hat, liefert der Mountdienst ein Handle auf die Freigabe zurück Es wird zwischen harten und weichem Mounten unterschieden NFS wird standardmässig hart gemountet, d.h. bei Zeitüberschreitung wird der RPC solange wiederholt, bis der Server antwortet Beim weichen Mounten kann es passieren, das die gesamte NFS Operation fehlschlägt

12 6 Sicherheit Authentifizierung Zur Authentifizierung des Clients kennt das NFS Protokoll 3 verschiedene Verfahren AUTH_UNIX gestattet allen Clients den Zugriff, deren IP- Adresse in einer Liste vertrauter Rechner steht (trusted hosts) wird in /etc/exports konfiguriert Erhebliche Sicherheitslücke!!! Es findet kein erneuter Passworttest statt AUTH_DES und AUTH_KERB verschlüsseln die Authentifizierungsdaten mit dem symmetrischen DES Algorithmus AUTH_DES benutzt public key Mechanismus zur Verschlüsselung des symmetrischen Schlüssels AUTH_KERB benutzt Kerberos für die Schlüsselübertragung

13 6 Sicherheit Authorisierung Die Authorisierung stellt sicher, ob der Client die benötigten Zugriffsrechte für eine Serverfreigabe besitzt Dafür werden bei jedem RPC die UID und GID des Client Prozesses mit übertragen. Dies erfordert gleiche UID s und GID s auf Server und Client Sonderfall Anmeldung als root: der NFS Server mappt root- UID 0 auf 2 (nobody) um ACHTUNG: jeder Nutzer, der auf dem Client Rechner über root-rechte verfügt, kann Nutzer mit beliebigen UID s anlegen und somit auf beliebige Serverfreigaben zugreifen Das Mapping der UID 0 verhindert somit lediglich den Zugriff auf Systemdateien des Servers

14 6 Sicherheit Der eigentliche Datenaustauch findet unverschlüsselt statt, so dass bei sensiblen Daten eine Verschlüsselung auf unteren Protokollebenen (z.b. IPSec, SSH Tunneling) realisiert werden muss

15 7 NFS Server Es gibt zwei verschiedene Serverimplementierungen Nutzeradressraum nfsd Kernel nfsd Nutzeradressraum nfsd wurde zuerst entwickelt, der Kernel nfsd hat sich heutzutage jedoch durchgesetzt Vorteile Kernel-nfsd: arbeitet wesentlich schneller, da der Kernel Daten direkt in den Speicherbereich der Netzwerkkarte schreiben kann

16 7 NFS Server Konfiguration NFS Server unter SuSE Linux Dateien /etc/hosts.deny und /etc/hosts.allow regeln den Zugriff auf RPC Dienste (Linux) vi /etc/hosts.deny # Alles verbieten ALL : ALL root@wega> vi /etc/hosts.allow # Alle für NFS notwendigen Dienste für die lokale Domain freigeben: portmapper : / mountd : / lockd : / statd : / rquotad : /

17 7 NFS Server Konfiguration NFS Server unter SuSE Linux Aktivieren der Dienste /usr/sbin/rpc.statd /usr/sbin/rpc.lockd /usr/sbin/rpc.mountd /usr/sbin/rpc.nfsd /usr/sbin/rpc.rquotad statd und lockd sind nur notwendig, wenn Clients Dateisperren auf exportierte Dateien setzen wollen rquotad ist nur notwendig wenn UserQuotas benutzt werden

18 7 NFS Server Konfiguration NFS Server unter SuSE Linux Das Kommando Exportfs Exportiert ein Verzeichnis auf dem Server, d.h. ein berechtigter Client kann dieses Verzeichnis einhängen exportfs apollo1.galaxis.de:/home/user

19 7 NFS Server Konfiguration NFS Server unter SuSE Linux Die Datei /etc/exports Um nicht alle Verzeichnisse mit exportfs exportieren zu müssen gibt es die Datei /etc/exports Format: Verzeichnis Client [(Mountoptionen)] Beispiel /home /usr/share /root / (rw, insecure) *.galaxis.de (ro, all_squash) apollo1.galaxis.de (rw, no_root_squash)

20 7 NFS Server Mountoptionen secure, insecure ro, rw sync, async hide, nohide root_squash, no_root_squash all_squash, no_all_squash anongid = gid Clientanfragen werden nur von vertrauenswürdigen Ports (unter 1024) akzeptiert default: secure read-only, read-write Server darf Vollzug des Schreibvorgangs erst an Client melden, wenn Daten auf Platte geschrieben sind default: async Exportiert der Server ein Verzeichnis, in dem wiederum ein Verzeichnis gemountet ist, wird dieses nicht exportiert default: hide root erhält die UID 2 (nobody) default: root_squash alle Nutzer werden auf UID 2 umgemappt default: no_all_squash alle Nutzer werden auf bestimmte GID gemappt anonuid = uid alle Nutzer werden auf bestimmte UID gemappt

21 8 NFS Client Unterstützung des NFS wird bei neuen Systemen vom Kernel übernommen, d.h. der NFS Client ist im Kernel integriert Für die Funktion des Clients ist der portmapper, lockd und statd nicht zwingend notwendig. Nur wenn ferne Dateisperren benutzt werden zum Einhängen von entfernten Verzeichnissen wird das mount Kommando benutzt mount -t nfs [ -o <Optionen> ] <Servername>:<Verzeichnis auf Server> <lokaler Mountpunkt> root@apollo1> mount -t nfs wega.galaxis.de:/home/ /mnt

22 8 NFS Client Die Datei /etc/fstab Um ein (NFS)Verzeichnis automatisch bei Systemstart zu importieren kann man es in die Datei /etc/fstab eintragen Syntax: Device Mountpunkt Dateisystem Optionen /dev/hda3 / ext3 defaults 1 2 /dev/hda1 /boot ext3 defaults 1 2 /dev/cdrom /cdrom auto ro,noauto,user,exec 0 0 /dev/fd0 /floppy auto noauto,user,sync 0 0 /dev/hda2 swap swap swap pri= # NFS-Einträge wega:/home /home nfs defaults 0 0

23 9 NFS auf Windows Plattformen PC/NFS ist eine Implementation des NFS-Protokolls für WINDOWS/DOS Plattformen Auf dem Server läuft ein zusätzliches Programm (Programmnr ), der PC/NFS authentication and print server Problem: WINDOWS User besitzt keine UID, GID Er sendet seinen Nutzernamen und sein Passwort an den PC/NFS Dienst, dieser setzt das Login in die passende UID, GID um PC/NFS bietet zusätzlich Druckdienste an Der Client erfragt das zum Drucken freigegebene Verzeichnis, überträgt die zu druckende Datei und startet den Ausdruck In der Praxis nicht relevant -> besser SAMBA

24 10 Unterschiede NFS2 / NFS3 Vorteile von NFS 3 Unterstützt grössere Dateien und Dateisysteme da für Dateigrössen und Offsets 64 bit anstatt 32 bit (NFS 2) zur Verfügung stehen Höhere Performance durch asynchrone Schreibvorgänge nach einer Menge von Schreibvorgängen wird commit aufgerufen Prozeduren zum Ändern der Dateiattribute liefern die neuen Attribute als Rückgabewert -> weniger Attributanfragen Maximale MTU von 8192 byte wurde in der Protokollspezifikation aufgehoben, ist jetzt implementierungsabhängig

25 10 Unterschiede NFS2 / NFS3 Datei- und Verzeichnisnamen und Datei-Handles werden in Arrays variabler Grösse verschickt -> keine Längenbeschränkung bei Datei- und Verzeichnisnamen NFS Vers. 2 ist kompatibel zu Mount Vers. 1 und 2 NFS Vers. 3 benötigt Mount Vers. 3 Server kann NFS 2 und NFS 3 parallel anbieten -> Abwärtkompatibilität

26 10 Literaturverweise Einrichtung des ODS - Kommunikationsservers Aufbau und Funktionsweise von NFS Network File System Server Netzwerk Clients Linux Fileserver