Compartición de recursos con NFS

UF 3: Compartición de Recursos y Seguridad (24H)

• El tema de la unidad es la compartición de recursos y la seguridad en sistemas operativos, con una duración de 24 horas.
• Los temas incluyen compartir recursos en sistemas operativos libres y propietarios
• Los protocolos NFS y Samba se utilizan para compartir recursos en sistemas operativos libres.
• Los sistemas DFS (Distributed File System) y la administración de recursos compartidos se utilizan para compartir recursos en sistemas operativos propietarios.

Compartición de Recursos (NFS)

• El protocolo NFS (Network File System) es un protocolo de nivel de aplicación para compartir archivos en redes locales.
• NFS viene por defecto en la mayoría de los sistemas operativos GNU/Linux.
• Sistemas GNU/Linux en la misma red pueden acceder a archivos remotos como si fueran locales con NFS.
• Un sistema Linux trabaja con una jerarquía de directorios.
• Para diferentes sistemas de archivos (CD, discos, etc,) primero hay que montarlos en un punto de jerarquía único.
• NFS proporciona un servicio de red permitiendo a un cliente montar un sistema de archivos remoto de un servidor.
• "Exportar" refiere a permitir que un cliente acceda a un recurso compartido.
• El protocolo NFS funciona bajo una arquitectura cliente-servidor.
• Los objetivos incluyen permitir que usuarios en una LAN accedan a archivos y directorios compartidos como si estuvieran localmente y centralizar el almacenamiento en el servidor de la red.
• Es necesaria una instalación en dos partes para lograr estos objetivos: servidor y clientes.
• Servidor: Instalar los paquetes en el servidor para almacenar recursos compartidos
• Clientes: Instalar y configurar los paquetes para que los equipos accedan a esos recursos.
• Es flexible y configurable, lo que permite varios escenarios:
• Un servidor NFS puede exportar múltiples directorios y atender a varios clientes simultáneamente.
• Un cliente NFS puede montar directorios remotos de diferentes servidores.
• Un sistema GNU/Linux puede actuar como cliente y servidor NFS.
• Centralizar los directorios de conexión de los usuarios (directorio home), permitiendo que trabajen indistintamente.
• Permite implementar algo similar a un dominio de Windows en sistemas GNU/Linux si se combina con la autenticación de usuarios en red mediante LDAP.
• Se puede utilizar para compartir directorios de uso común entre máquinas, útil para proyectos colaborativos, ahorrando espacio en disco y evitando la necesidad de replicar información.
• Permite instalar software en un solo ordenador de la red.
• Los clientes NFS deben estar configurados para montar este directorio remoto en un directorio local
• El software estará disponible para todos los ordenadores de la red
• Permite compartir dispositivos de almacenamiento como particiones de discos duros y CD-ROM
• Reduce la inversión y mejora el aprovechamiento del hardware en la organización

Funcionamiento de NFS

• Los accesos se traducen a peticiones al servidor por medio de la red.
• En el cliente se implementa la capacidad de traducir accesos a un sistema de archivos en peticiones al servidor.
• Normalmente esta funcionalidad ya está programada en el núcleo GNU/Linux y no requiere configuración.
• En el servidor, NFS se basa en dos servicios de red: mountd y nfsd.
• El servicio mountd atiende las peticiones remotas de montaje desde el cliente.
• mountd comprueba si la petición de montaje es válida y controla las condiciones de acceso al directorio exportado.
• es considerada válida cuando el directorio ha sido explícitamente exportado
• El cliente tiene permisos para montarlo.
• El servicio nfsd atiende las peticiones de acceso del cliente a los archivos en el directorio remoto una vez que ha sido montado.

Instalación y Configuración del Servidor NFS

• Para ofrecer los recursos compartidos en el servidor, primerament instalar los paquetes
• nfs-kernel-server: Permite compartir recursos
• nfs-common: Contiene utilidades tanto para el servidor como para los clientes, como lockd, statd, showmount, y nfsstat.
• rpcbind: Transforma los identificadores de programa (RPC - Remote Procedure Call) en direcciones universales.
• Comando: sudo apt-get install nfs-kernel-server nfs-common rpcbind
• Una vez instalados los paquetes anteriores, reiniciar la máquina servidor.
• Se usan el archivo /proc/filesystems que contiene los sistemas de ficheros para comprobar que todo funciona.
• Correr el comando grep nfs /proc/filesystems
• Si por alguna razón se desconoce que version del servicio esta en utilización, se puede correr el comando cat de fitxer /proc/filesystems
• La compartición permanente en un servidor NFS se realiza en el archivo /etc/exports o con el comando exportfs para opciones dinámicas.
• El archivo /etc/exports se lee cuando arranca el servicio NFS o al usar el comando exportfs -a
• Las comparticiones se representan por una ruta absoluta
• Ejemplo: compartición1 dirección_client1
• La administración NFS tiene 3 servicios:
  • rpcbind (portmap): gestiona las peticiones RPC (Remote Procedure Call)
  • nfsd: espacio de usuario del servicio NFS. Procesa conexiones cliente
  • mountd: gestiona las peticiones de montaje de clientes

Configuraciones y Opciones en el Servidor NFS

• Cada línea del archivo /etc/exports indica un directorio a exportar y una lista de autorizaciones
• Se especifica qué ordenadores pueden montar el directorio con opciones, mediante Recurs_a_compartirClient(Opcions) en el archivo /etc/exports
• Cada elemento de la lista de ordenadores(Client)
  • Un sol ordinador: con nombre simbólico o IP/dirección
  • Un grupo de ordenadores : usando los caracteres comodí como * (conjunto de caracteres) o con IP_XARXA/MASCARA (e.g.,172.16.0.0/16)
  • Se pueden utilizar el usuario de un servidor NIS utilizando el formato @NomGrup
• Si no se indica el ordenador o el rango de la red, el directorio se exporta a todos
• Las opciones de montaje importantes se especifican en paréntesis para cada ordenador o grupo
  • (): opciones predeterminadas de NFS
  • ro (read-only): El directorio se exporta como un sistema de archivos de sólo lectura
  • rw (read-write): El directorio se exporta como un sistema de archivos de lectura/escritura
  • root_squash: Evita que los usuarios root mantengan privilegios de administración en la máquina remota. Se les asigna el GID del usuario nobody.
  • no_root_squash: Los usuarios root conservan sus privilegios en la máquina remota
  • noaccess: Detiene el acceso a el directorio especificado y es util cuando no se desea acceder a un subdirectorio de un directorio exportado
  • sync: Transfiere todos los cambios ante de completar el pedido del cliente, siendo esta la opción predeterminada
  • async: Activa la característica anterior, y mejora el rendimiento de cambios en el archivo, pero puede corromper los archivos
  • subtree_check: comprueba que cada solicitud NFS coincida con un fichero que reside en el área que se exporta, mostrando errores a los clientes
    • Es recomendado exportar en su totalidad el sistema de archivos y activar la opción no_subtree_check
  • no_subtree_check: Hace que le envio de lista de ficheros sea más rapido, pero la seguridad reduce.
  • wdelay: El servidor NFS no escribe el disco si espera otra solicitud, reduciendo los accesos al disco
  • no_wdelay: Activa la característica anterior
• Cuando se modifica el archivo /etc/exports, se debe actualizar el servidor mediante el comando exportfs -a para activar los cambios, y tambien se puede reiniciar el servicio NFS.
• Para encontrar otras comprobaciones hay que mirar las máquinas Cliente que están conectadas al servidor NFS
• Ademas de usar el comando exportfs.

Pasos para configurar los recursos en el servidor

1. Crear la carpeta o el directorio a compartir
2. Asignar permisos y usuarios o grupos propietarios
3. Exportar el conjunto de carpetas - Añadir la línea adiente dentro del archivo /etc/exports
4. Reiniciar el servicio NFS
5. Comprobar en el cliente que funciona

Instalación y Configuración del Cliente NFS

• Despues instalar el servidor, hay que ir a los clientes y hay que configurar el servidor ya antes configurado
• En Ubuntu permite el acceso al servidor NFS usando el comando apt-get install nfs-common rpcbind (portmap)
• Para configurar recursos compartidos, hay que seguir los sequitos pasos:

1. Crear un punto de montaje dentro del directorio /mnt y cambiar los autorizos y propietarios del directorio
2. Montar las carpetas mediante con comando mount
3. Crear archivos y directorios dentro

Comandos para el Cliente NFS

• Para ejemplificar, para montar ficheros sistema NFS usando la linea mount –t nfs dirección_server:/ruta_compartició punt_muntatge_client ,y para que el directorio se monte en el inicio del sistema, edita el archivo /etc/fstab
• se puede obtener mas información en http://manpages.ubuntu.com/manpages/xenial/en/man5/nfs.5. html
• Muestra con cuales particiones remotas al cliente: showmount --exports servidor
• y de esta manera ver que el servidor está funcionando df -h

Perfiles Móviles NFS + LDAP

• Se configura cual usuario puede usar un sistema y hacer login en cuqluier maquina xarxa
• Para fer-ho,
  • Se debe crear primero un recurso compartid en el servidro, con algo /mobils.
  • Configurar el recurs en los clientes con /home/mobils
  • modificar el archivo /home de cada usuarios de LDAP que ya existe en el servidor y verificar que el usuario tiene login y que su /home se crea en el directorio compartidl del servidor

Acceso con Clientes Windows

• Los equipos windows no suelen entender Ubuntu.
• NFS no es nativo a Windows hasta ahora en este preciso momento
• Windows 7 y enterprise edition son parte de leds sistemas Windows que si pueden usar NFS.
• Esta información se puede encontrar https://technet.microsoft.com/es-es/library/cc732891(v=ws. 11). aspx.
• En Window Server 2016, ve a Herramientas administrativas -> Activar características de SW y actica el cliente nfs.

Activando NFS por terceros programas:

• Se puede activar NFS en cliente Windows 10 y se puede accedir a un recurs NFS en un servidor Ubuntu 20.04 desde un cliente Windows 10
• Pero hay que instalar Instal·lar NekoDrive.
• Ademas, y también hay que usar Dokan para programar el controlador

Problemas con NFS

• Los permisos en NFS no excluyen los permisos de Linux, sino el resultado se vuelve el más restrictivo
• Hay hay que permitir lectura y escritura el fichero se puede encontrar modificando /etc/exports e implementado chown & chmod
• Un directorio sin restricciones para poder validar usuarios, esto hay que cambiarlo porque NFS se necesita autenticación LDAP.

Problema en Usuarios Locales

• Este problema se genera ya que se tiene el usuario local, el problema es que al conectar un usuario local desde el programa cliente puede que otro usuario se beneficia del fichero.
• Este error se arregla con la autenticación LDAP

Seguridad

• Hay que controlar que maquinas en la red puede usar los ficheros
• Hacerlo con lo metodos:
  • Uso de TCP wrappers (usat en /etc/inetd.conf) es posible proveir soporte de logs, tornar missatges a connexions, permetre a un daemon. Para configurar su nivel usar /etc/hosts.allow i/etc/hosts.deny
  • Fer servant iptables (firewall)
• Tamboén hay que tener presente que solo el administrador puede saber que puede hacerle dado o no accès a un fichero por tema de vulnerabilidades.
• Adicionalmente hay que tener puertos /etc/services en donde se utiliza el puerto 111 donde muestra el servicio de llamada.
• Otros demonios necesarios con rpc.nfs, rpc.mountd, rpc.rquotad, rpc.statd i rpc.nlockmgr
• La documentacion de NFS recommanda seguir el siguiente modelo /etc/hosts.allow o /etc/hosts.deny para saber acceder e implementar la seguridad, ya que TCP wrappers es la alternativa a un tallafocs. Y usar TCP Wrappers conjuntament con uno porque incrementa la seguridad. Despues ha y que reiniciar.