nfs服务器安全策略
我们都知道，互联网最大的优势就来源于资源共享，我们有时则是使用nfs协议来完成共享的，服务器一般都会采用许多重要的安全保护技术来确保其安全，那么你知道nfs服务器安全策略吗?下面是小编整理的一些关于nfs服务器安全策略的相关资料，供你参考。
什么是nfs?
nfs是网络文件系统(Network File System)的简称，是分布式计算系统的一个组成部分，可实现在异种网络上共享和装配远程文件系统。nfs由Sun公司开发，目前已经成为文件服务的一种标准(RFC1904，RFC1813)。其最大的功能就是可让不同操作系统的计算机共享数据，所以也可以将它看做是一个文件服务器。nfs提供了除SAMBA之外，Windows与Linux、Unix与Linux之间通信的方法。
任何网络服务器都会有安全问题，nfs也不例外。由于设计方面的因素，nfs服务器不可能绝对安全。一般来说，不应该将nfs服务器运行在比较敏感的系统或者只有一般防火墙的机器上，应该尽量将其置于防火墙之后。配置安全的nfs服务器，可以从限制RCP服务的访问和控制文件系统的导出权限两方面着手。
nfs服务器安全策略：使用TCP_Wrappers
portmap和rpc.nfsd结合起来，使nfs服务器上的文件即使没有任何权限也能容易得到。可以使用访问控制保障网络安全，在使用nfs时最好结合TCP_Wrappers来限制使用范围。
nfs服务器安全策略：注意配置文件语法错误
nfs服务器通过/etc/exports文件来决定要导出哪些文件系统，以及把这些目录导出到哪些主机上。编辑这个文件的时候要特别小心，不要添加额外的空格。
例如：/etc/exports文件的以下行会使主机bob.example.com 能够共享/tmp/nfs/目录。
/tmp/nfs/ bob.example.com(rw)
但是 /etc/exports 文件中这一行的情况却不同。它共享同一目录，让主机 bob.example.com 拥有只读权限，却给全局以读写权限。这全是由主机后面的一个空格造成的。
/tmp/nfs/
bob.example.com (rw)
使用 showmount 命令来校验哪些目录被共享，从而检查nfs共享配置是一个好习惯。showmount格式为：
showmount -e
nfs服务器安全策略：使用iptables防火墙
因为nfs在网络上明文传输所有信息，所以让nfs服务器在防火墙后、在一个分段的安全网络上运行就很重要。无论何时在不安全的网络上传递nfs信息都有被截取的危险。从这个角度讲，谨慎制定网络计划就有助于防御重要的安全破坏。限制RCP服务访问的办法一般是使用防火墙，除了TCP-Wrapper还有ipchians和iptalbes的防火墙。在全面使用Linux 2.4或更高版本内核的今天，了解iptables这种防火墙方法也就足够了。 缺省的状态下，portmap使用111端口，而nfs使用2049端口，可以通过iptables来限制对该端口的访问：
iptables -t filter -A INPUT -p udp -d 127.0.0.1 –dport 111 -j DROP iptables -t filter -A INPUT -p udp -d 127.0.0.1 –dport 2049 -j DROP iptables -t filter -A INPUT -p udp -s trusted_client -d this_server_ip –dport 2049 -j ACCEPTiptables -t filter -A INPUT -p udp -s not_trusted_client -d this_server_ip -dport 2049 -j DROP
nfs服务器安全策略：把开放目录限制为只读权限
可以在/etc/exports文件中设定权限选项ro，通常需要把nfs服务器对客户开放的任何目录或文件系统设置为只读访问：
/app devpc.nitec.com(ro)
这样，devpc.nitec.com网络中的客户只能对/app目录进行只读访问。
nfs服务器安全策略：禁止对某些目录的访问
当开放一个完整的文件系统或者一个目录时，缺省情况下它的子目录会自动开放访问权限。如果希望限制对其子目录的访问可以使用noaccess访问选项，例如希望开放/pub目录权限但是禁止访问/pub/staff-only子目录：
/pub weblab-??.nitec.com (ro)
/pub/staff-only weblab-??.nitec.com (noaccess)
注意： “??”代表任意字符。
nfs服务器安全策略：root squashing访问问题
按照默认设置，root用户的用户ID和组群ID都是0。root权限压缩(Root squashing)把用户ID0和组群ID0映射为匿名的用户和组群ID，因此客户上的根用户就不会在nfs服务器上具备根特权。如果这个选项被选，root用户就不会被映射为匿名用户，客户上的root用户就会对导出的目录拥有根特权。选择这个选项会大大降低系统的安全性。除非绝对必要，请不要选择它。为了明确执行该规则，可以修改文件/etc/exports：
/www www1.nitec.com(rw, root_squash)
这样如果客户端的UID0(root)用户想要访问(读、写、删除)一个nfs文件系统，服务器端会用UID代替服务器的nobody账户。这样客户端的root用户不能修改和访问服务器端root用户才能访问和修改的文件。
nfs服务器安全策略：使用nosuid和noexec选项
SUID(Set User ID)或SGID(Set Group ID)程序可以让普通用户以超过自己权限的形式执行。很多SUID/SGID可执行程序是必须的，比如上面提到的passwd。SUID/SGID程序会被一些恶意的本地用户利用，获取本不应有的权限。运行以下命令可以找到所有具有这一属性的程序：
#find / ( -perm -4000 -o -perm -2000 )
使用者必须查看这一列表，尽量减少那些所有者是root或是在root组中却拥有SUID/SGID属性的文件，删除或对其属性进行更改。使用nosuid选项禁止set-UID程序在 nfs服务器上运行，可以修改文件/etc/exports加入一行：
/www www1.nitec.com(rw, root_squash, nosuid)
上面的例子说明：/www目录在www1.nitec.com上可以登录，www1.nitec.com的用户可以读取/www中的文件和目录，但是不能运行set- UID程序。
/www www1.nitec.com(rw, root_squash, noexec)
上面的例子说明/www目录在www1.nitec.com上可以登录，www1.nitec.com的用户可以读取/www中的文件和目录，但是禁止所登录文件系统中文件的执行。
nfs是非常重要的网络协议，许多企业通过nfs协议共享硬盘和其它设备。把能登录nfs目录设置为只读访问、提高portmap服务的安全性、squashing root访问、使用on set-UID 和non executable文件设置可以提高nfs服务器的安全。