Next Previous Contents

5. 安全问题：

5.1 Iptables 防火墙

如果我们的NFS服务器在防火墙后边，则需要在防火强策略中加入如下策略：

        -A INPUT -p tcp -m state --state NEW -m multiport --dport 111,2049,4001,32764:32767 -j ACCEPT
        -A INPUT -p udp -m state --state NEW -m multiport --dport 111,2049,4001,32764:32767 -j ACCEPT

5.2 使用 /etc/hosts.allow和/etc/hosts.deny 控制客户端的访问

/etc/hosts.allow和/etc/hosts.deny这两个文件是tcpd服务器的配置文件，tcpd服务器可以控制外部IP对本机服务的访问。这两个配置文件的格式如下：

        #服务进程名:主机列表:当规则匹配时可选的命令操作

        server_name:hosts-list[:command]

/etc/hosts.allow控制可以访问本机的IP地址，/etc/hosts.deny控制禁止访问本机的IP。如果两个文件的配置有冲突，以 /etc/hosts.deny为准。下面是一个/etc/hosts.allow的示例：

        ALL:127.0.0.1         #允许本机访问本机所有服务进程

        smbd:192.168.0.0/255.255.255.0     #允许192.168.0.网段的IP访问smbd服务

ALL关键字匹配所有情况，EXCEPT匹配除了某些项之外的情况，PARANOID匹配你想控制的IP地址和它的域名不匹配时(域名伪装)的情况。

比如，在服务器的 /etc/hosts.deny 文件作如下设置：

        # cat /etc/hosts.deny

        portmap:192.168.102.15

然后在客户机192.168.102.15上加载共享目录

        #  mount 192.168.102.47:/home/share /mnt
        mount to NFS server '192.168.102.47' failed.

我们发现现在已经无法加载共享目录的。

Next Previous Contents