# NFS服务简介

## 什么是NFS？

NFS就是Network File System的缩写，它最大的功能就是可以通过网络，让不同的机器、不同的操作系统可以共享彼此的文件。

 NFS服务器可以让PC将网络中的NFS服务器共享的目录挂载到本地端的文件系统中，而在本地端的系统中来看，那个远程主机的目录就好像是自己的一个磁盘分区一样，在使用上相当便利；

NFS一般用来存储共享视频，图片等静态数据。

## NFS挂载原理：

<![在这里插入图片描述](http://pic.nexopera.tech/20181018144004725)

图；服务器挂载结构图

如上图示：

当我们在NFS服务器设置好一个共享目录/home/public后，其他的有权访问NFS服务器的NFS客户端就可以将这个目录挂载到自己文件系统的某个挂载点，这个挂载点可以自己定义，如上图客户端A与客户端B挂载的目录就不相同。并且挂载好后我们在本地能够看到服务端/home/public的所有数据。如果服务器端配置的客户端只读，那么客户端就只能够只读。如果配置读写，客户端就能够进行读写。挂载后，NFS客户端查看磁盘信息命令：#df –h。

既然NFS是通过网络来进行服务器端和客户端之间的数据传输，那么两者之间要传输数据就要有想对应的网络端口，NFS服务器到底使用哪个端口来进行数据传输呢？基本上NFS这个服务器的端口开在2049,但由于文件系统非常复杂。因此NFS还有其他的程序去启动额外的端口，这些额外的用来传输数据的端口是随机选择的，是小于1024的端口；既然是随机的那么客户端又是如何知道NFS服务器端到底使用的是哪个端口呢？这时就需要通过远程过程调用（Remote Procedure Call,RPC）协议来实现了！

## RPC与NFS通讯原理：

 因为NFS支持的功能相当多，而不同的功能都会使用不同的程序来启动，每启动一个功能就会启用一些端口来传输数据，因此NFS的功能对应的端口并不固定，客户端要知道NFS服务器端的相关端口才能建立连接进行数据传输，而RPC就是用来统一管理NFS端口的服务，并且统一**对外的端口是111**，RPC会记录NFS端口的信息，如此我们就能够通过RPC实现服务端和客户端沟通端口信息。PRC最主要的功能就是指定每个NFS功能所对应的port number,并且通知客户端，记客户端可以连接到正常端口上去。

那么RPC又是如何知道每个NFS功能的端口呢？

首先当NFS启动后，就会随机的使用一些端口，然后NFS就会向RPC去注册这些端口，RPC就会记录下这些端口，并且RPC会开启111端口，等待客户端RPC的请求，如果客户端有请求，那么服务器端的RPC就会将之前记录的NFS端口信息告知客户端。如此客户端就会获取NFS服务器端的端口信息，就会以实际端口进行数据的传输了。

> 注意：在启动NFS SERVER之前，首先要启动RPC服务（即portmap服务，下同）否则NFS SERVER就无法向RPC服务区注册，另外，如果RPC服务重新启动，原来已经注册好的NFS端口数据就会全部丢失。因此此时RPC服务管理的NFS程序也要重新启动以重新向RPC注册。特别注意：一般修改NFS配置文档后，是不需要重启NFS的，直接在命令执行systemctl reload nfs或exportfs –rv即可使修改的/etc/exports生效

## NFS客户端和NFS服务器通讯过程：

![在这里插入图片描述](http://pic.nexopera.tech/20181018144052796)

图：NFS工作原理图

1. 首先服务器端启动RPC服务，并开启111端口
2. 服务器端启动NFS服务，并向RPC注册端口信息
3. 客户端启动RPC（portmap服务），向服务端的RPC(portmap)服务请求服务端的NFS端口
4. 服务端的RPC(portmap)服务反馈NFS端口信息给客户端。
5. 客户端通过获取的NFS端口来建立和服务端的NFS连接并进行数据的传输。

# Linux下NFS服务器部署

## NFS服务所需软件及主要配置文件：

安装NFS服务，需要安装两个软件，分别是：

- **RPC主程序：rpcbind**

  NFS 其实可以被视为一个 RPC 服务，因为启动任何一个 RPC 服务之前，我们都需要做好 port 的对应 (mapping) 的工作才行，这个工作其实就是『 rpcbind 』这个服务所负责的！也就是说， 在启动任何一个 RPC 服务之前，我们都需要启动 rpcbind 才行！ (在 CentOS 5.x 以前这个软件称为 portmap，在 CentOS 6.x 之后才称为 rpcbind 的！)。

- **NFS主程序：nfs-utils**

  就是提供 rpc.nfsd 及 rpc.mountd 这两个 NFS daemons 与其他相关 documents 与说明文件、执行文件等的软件！这个就是 NFS 服务所需要的主要软件。

**NFS的相关文件：**

- 主要配置文件：/etc/exports
  这是 NFS 的主要配置文件了。该文件是空白的，有的系统可能不存在这个文件，主要手动建立。NFS的配置一般只在这个文件中配置即可。
- NFS 文件系统维护指令：/usr/sbin/exportfs
  这个是维护 NFS 分享资源的指令，可以利用这个指令重新分享 /etc/exports 变更的目录资源、将 NFS Server 分享的目录卸除或重新分享。
- 分享资源的登录档：/var/lib/nfs/*tab
  在 NFS 服务器的登录文件都放置到 /var/lib/nfs/ 目录里面，在该目录下有两个比较重要的登录档， 一个是 etab ，主要记录了 NFS 所分享出来的目录的完整权限设定值；另一个 xtab 则记录曾经链接到此 NFS 服务器的相关客户端数据。
- 客户端查询服务器分享资源的指令：/usr/sbin/showmount
  这是另一个重要的 NFS 指令。exportfs 是用在 NFS Server 端，而 showmount 则主要用在 Client 端。showmount 可以用来察看 NFS 分享出来的目录资源。

## 服务端安装NFS服务步骤：

**第一步：安装NFS和rpc。**

```sh
[root@localhost ~]# yum install -y  nfs-utils   
#安装nfs服务
[root@localhost ~]# yum install -y rpcbind
#安装rpc服务
1234
```

**第二步：启动服务和设置开启启动：**

> 注意：先启动rpc服务，再启动nfs服务。

```sh
[root@localhost ~]# systemctl start rpcbind    #先启动rpc服务
[root@localhost ~]# systemctl enable rpcbind   #设置开机启动
[root@localhost ~]# systemctl start nfs-server nfs-secure-server      
#启动nfs服务和nfs安全传输服务
[root@localhost ~]# systemctl enable nfs-server nfs-secure-server
[root@localhost /]# firewall-cmd --permanent --add-service=nfs
success   #配置防火墙放行nfs服务
[root@localhost /]# firewall-cmd  --reload 
success
123456789
```

**第三步：配置共享文件目录，编辑配置文件：**

首先创建共享目录，然后在/etc/exports配置文件中编辑配置即可。

```sh
[root@localhost /]# mkdir /public
#创建public共享目录
[root@localhost /]# vi /etc/exports
	/public 192.168.245.0/24(ro)
	/protected 192.168.245.0/24（rw）
[root@localhost /]# systemctl reload nfs 
#重新加载NFS服务，使配置文件生效
1234567
```

配置文件说明：

> 格式： `共享目录的路径 允许访问的NFS客户端（共享权限参数）`
>
> 如上，共享目录为/public , 允许访问的客户端为192.168.245.0/24网络用户，权限为只读。
>
> **请注意，NFS客户端地址与权限之间没有空格。**
>
> NFS输出保护需要用到kerberos加密（none，sys，krb5，krb5i，krb5p），格式sec=XXX
>
> none：以匿名身份访问，如果要允许写操作，要映射到nfsnobody用户，同时布尔值开关要打开，setsebool nfsd_anon_write 1
>
> sys：文件的访问是基于标准的文件访问，如果没有指定，默认就是sys， 信任任何发送过来用户名
>
> krb5：客户端必须提供标识，客户端的表示也必须是krb5，基于域环境的认证
>
> krb5i：在krb5的基础上做了加密的操作，对用户的密码做了加密，但是传输的数据没有加密
>
> krb5p：所有的数据都加密

用于配置NFS服务程序配置文件的参数：

| 参数           | 作用                                                         |
| -------------- | ------------------------------------------------------------ |
| ro             | 只读                                                         |
| rw             | 读写                                                         |
| root_squash    | 当NFS客户端以root管理员访问时，映射为NFS服务器的匿名用户     |
| no_root_squash | 当NFS客户端以root管理员访问时，映射为NFS服务器的root管理员   |
| all_squash     | 无论NFS客户端使用什么账户访问，均映射为NFS服务器的匿名用户   |
| sync           | 同时将数据写入到内存与硬盘中，保证不丢失数据                 |
| async          | 优先将数据保存到内存，然后再写入硬盘；这样效率更高，但可能会丢失数据 |

## NFS客户端挂载配置：

**第一步：**使用showmount命令查看nfs服务器共享信息。输出格式为“共享的目录名称 允许使用客户端地址”。

```sh
[root@localhost ~]# showmount -e 192.168.245.128      
Export list for 192.168.245.128:
/protected 192.168.245.0/24
/public    192.168.245.0/24
1234
```

showmount命令的用法；

| 参数 | 作用                                      |
| ---- | ----------------------------------------- |
| -e   | 显示NFS服务器的共享列表                   |
| -a   | 显示本机挂载的文件资源的情况NFS资源的情况 |
| -v   | 显示版本号                                |

**第二步，**在客户端创建目录，并挂载共享目录。

```sh
[root@localhost ~]# mkdir /mnt/public
[root@localhost ~]# mkdir /mnt/data
[root@localhost ~]# vim /etc/fstab 
#在该文件中挂载，使系统每次启动时都能自动挂载
	192.168.245.128:/public  /mnt/public       nfs    defaults 0 0
	192.168.245.128:/protected /mnt/data     nfs    defaults  0 1
[root@localhost ~]# mount -a   #是文件/etc/fstab生效
1234567
```

**第三步**：检查：

```sh
[root@mail ~]# df -Th
Filesystem                 Type      Size  Used Avail Use% Mounted on
/dev/mapper/rhel-root      xfs        17G  3.1G   14G  18% /
devtmpfs                   devtmpfs  1.4G     0  1.4G   0% /dev
tmpfs                      tmpfs     1.4G  140K  1.4G   1% /dev/shm
tmpfs                      tmpfs     1.4G  9.1M  1.4G   1% /run
tmpfs                      tmpfs     1.4G     0  1.4G   0% /sys/fs/cgroup
/dev/sda1                  xfs      1014M  173M  842M  18% /boot
tmpfs                      tmpfs     280M   32K  280M   1% /run/user/0
/dev/sr0                   iso9660   3.6G  3.6G     0 100% /mnt/cdrom
192.168.245.128:/public    nfs4       17G  3.7G   14G  22% /mnt/public
192.168.245.128:/protected nfs4       17G  3.7G   14G  22% /mnt/data
123456789101112
```

# 在Window上挂载NFS

第一步：在控制面板–>添加程序和功能–>添加NFS组件。
![在这里插入图片描述](http://pic.nexopera.tech/20181018144130862)

第二步：在此电脑，映射驱动器中添加nfs地址，和要共享的文件夹。

![在这里插入图片描述](http://pic.nexopera.tech/20181018144138483)

第三步：如果权限有问题，打开注册表：regedit, 在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ClientForNFS\CurrentVersion\Default 下新建两个OWORD（64）位值，添加值AnonymousGid，值默认为0，AnonymousUid，值默认为0。

NFS服务器搭建与配置

本文展示如何使用 realmd ,sssd将 Ubuntu 20.04加入到 Active Directory 域。本文还进一步为通过 AD 登录的域用户配置 sudo 规则。

**设置主机名和DNS**

下面命令用来设置正确的主机名和dns服务器地址：

```
bpang@Ubuntu-1:~$ sudo hostnamectl set-hostname Ubuntu-1.pangzb.com
bpang@Ubuntu-1:~$ hostnamectl
```

![image-20230524141510083](http://pic.nexopera.tech/image-20230524141510083.png)


配置可以和AD域控制器通信的DNS地址：

```
bpang@Ubuntu-1:~$ sudo vim /etc/netplan/00-installer-config.yaml
bpang@Ubuntu-1:~$ cat /etc/netplan/00-installer-config.yaml
# This is the network config written by 'subiquity'
network:
  ethernets:
    enp1s0:
      dhcp4: false
      addresses: [10.111.127.141/18]
      gateway4: 10.111.127.254
      nameservers:
        addresses: [10.111.87.200]
  version: 2
bpang@Ubuntu-1:~$ sudo netplan apply
```

![image-20230524141514792](http://pic.nexopera.tech/image-20230524141514792.png)


可以使用`resolvectl`查看当前的dns服务器地址：

```
bpang@Ubuntu-1:~$ resolvectl --no-pager | grep -i server
         DNS Servers: 10.111.87.200
```

**安装需要用到的软件包**

如果想要加入AD域，在Linux中需要安装一些软件包才行：

```
bpang@Ubuntu-1:~$ sudo apt update -y
bpang@Ubuntu-1:~$ sudo apt -y install realmd libnss-sss libpam-sss sssd sssd-tools adcli samba-common-bin oddjob oddjob-mkhomedir packagekit
```

![image-20230524141519989](http://pic.nexopera.tech/image-20230524141519989.png)

**发现域**

`realm discover` 命令会显示完整的域配置和需要安装的软件包列表，只有安装了系统才能在域中注册。

```
bpang@Ubuntu-1:~$ sudo realm discover pangzb.com
pangzb.com
  type: kerberos
  realm-name: PANGZB.COM
  domain-name: pangzb.com
  configured: no
  server-software: active-directory
  client-software: sssd
  required-package: sssd-tools
  required-package: sssd
  required-package: libnss-sss
  required-package: libpam-sss
  required-package: adcli
```

可以看到图中`required-package`列出的软件包就是刚刚我们安装的。

![image-20230524141526051](http://pic.nexopera.tech/image-20230524141526051.png)

**将操作系统加入域中**

使用`realm join`命令将系统加入域中。`realm join --help`可以看到相关帮助，里面有许多选项可供使用，下面使用`-U`选项来指定域控管理员账号，然后输入密码：

```
bpang@Ubuntu-1:~$ sudo realm join -U administrator pangzb.com
Password for administrator:
```

查看是否成功加入域：

```
bpang@Ubuntu-1:~$ realm list
pangzb.com
  type: kerberos
  realm-name: PANGZB.COM
  domain-name: pangzb.com
  configured: kerberos-member
  server-software: active-directory
  client-software: sssd
  required-package: sssd-tools
  required-package: sssd
  required-package: libnss-sss
  required-package: libpam-sss
  required-package: adcli
  required-package: samba-common-bin
  login-formats: %U@pangzb.com
  login-policy: allow-realm-logins
```

可以看到加入域之后的相关信息了。

![image-20230524141531358](http://pic.nexopera.tech/image-20230524141531358.png)


在域控里面也可以看到该计算机了。

![image-20230524141535813](http://pic.nexopera.tech/image-20230524141535813.png)

**登录域用户来测试一下吧**

下面通过切换至域用户测试一下：

```
bpang@Ubuntu-1:~$ su - user01@pangzb.com
Password:
su: warning: cannot change directory to /home/user01@pangzb.com: No such file or directory
user01@pangzb.com@Ubuntu-1:/home/bpang$ pwd
/home/bpang
```

![image-20230524141540910](http://pic.nexopera.tech/image-20230524141540910.png)


看到上面提示，发现域用户没有自动创建home目录，通过`pwd`命令查看以下，用户当前不在自己的home目录。

下面使用`pam-auth-update`来加载`mkhomedir`模块。

```
bpang@Ubuntu-1:~$ sudo pam-auth-update
```

选中`Create home directory on login`，点OK，更新之后，再次使用域用户登录，就可以自动创建目录了。

![image-20230524141545048](http://pic.nexopera.tech/image-20230524141545048.png)

```
bpang@Ubuntu-1:~$ su - user02@pangzb.com
Password:
Creating directory '/home/user02@pangzb.com'.
```

![image-20230524141549692](http://pic.nexopera.tech/image-20230524141549692.png)

**设置访问控制列表**

可以通过realm工具自带的访问控制列表来禁止或允许用户和组的登录访问。

例如：拒绝user02@pangzb.com登录本机：

```
bpang@Ubuntu-1:~$ sudo realm deny user02@pangzb.com
```

如下图，登录时提示permission denied

![image-20230524141554293](http://pic.nexopera.tech/image-20230524141554293.png)


允许用户组登录就是`sudo realm permit -g 'Domain Users'`

允许用户登录就是`sudo realm permit Adinistrator`

允许或拒绝所有用户登录：`sudo realm permit --all` / `sudo realm deny --all`

**配置用户sudo访问**

加入域之后重要的事情是限制域用户使用sudo命令提权。这可以通过使用`visudo`命令添加`%domain^admins ALL=(ALL) ALL`来完成，这样只允许域管理员用户才能使用sudo命令：

```
bpang@Ubuntu-1:~$ sudo visudo
# 打开之后，在配置文件中添加如下行
%domain^admins ALL=(ALL) NOPASSWD: ALL
```

![image-20230524141558597](http://pic.nexopera.tech/image-20230524141558597.png)

**测试域用户SSH登录**

通过域用户登录时，`@和.`使用转义符转义一下。

```
bpang@Ubuntu-1:~$ ssh user01\@pangzb\.com@127.0.0.1
```

![image-20230524141603516](http://pic.nexopera.tech/image-20230524141603516.png)

**总结**

本文展示如何使用 realmd ,sssd将 Ubuntu 20.04加入到 Active Directory 域。本文还进一步为通过 AD 登录的域用户配置 sudo 规则。

Ubuntu 20.04 使用realmd加入AD域

## mkcert 使用方法

mkcert 是一个开源工具，用于快速生成有效的本地开发证书。它可以帮助开发人员在本地环境中使用 HTTPS 加密来模拟真实的生产环境。

![image-20230524141124067](http://pic.nexopera.tech/image-20230524141124067.png)

## 安装

首先，你需要安装 mkcert 工具。以下是在常见操作系统上安装的命令：

### macOS

使用 Homebrew 安装 mkcert：

```
brew install mkcert
```

### Linux

在 Ubuntu 上使用 apt 安装 mkcert：

```
sudo apt install mkcert
```

### Windows

在 PowerShell 中以管理员身份运行以下命令：

```
choco install mkcert
```

## 生成单域名证书

要生成一个单域名证书，可以使用以下命令：

```
mkcert create example.com
```

该命令将在当前目录下生成两个文件：`example.com.pem` 和 `example.com-key.pem`。其中，`example.com.pem` 是证书文件，`example.com-key.pem` 是私钥文件。

## 生成多域名证书

如果你需要生成一个支持多个域名的证书，可以使用 `--cert-file` 参数指定证书文件的名称，以及 `--key-file` 参数指定私钥文件的名称。然后，使用 `--ecdsa` 参数生成 ECDSA 密钥对，以提供更高的安全性。

```
mkcert --cert-file cert.pem --key-file key.pem --ecdsa example.com *.example.com
```

上述命令将生成一个包含 `example.com` 和 `*.example.com` 两个域名的证书，并将其保存为 `cert.pem` 和 `key.pem`。

## 其他核心用法

### 安装证书

要安装生成的证书，可以使用以下命令：

```
mkcert install
```

这将安装生成的证书到系统的信任存储中。

### 指定证书存储路径

默认情况下，mkcert 将证书文件保存在当前目录下。你可以使用 `--cert-file` 和 `--key-file` 参数指定自定义的证书文件路径：

```
mkcert --cert-file /path/to/cert.pem --key-file /path/to/key.pem create example.com
```

### 清理证书

要清理之前生成的证书，可以使用以下命令：

```
mkcert clean
```

这将从系统中移除由 mkcert 安装的证书。

## 结论

mkcert 是一个简单而强大的工具，用于在本地开发环境中生成有效的证书。你可以使用它来模拟 HTTPS 加密，使你的应用程序在本地环境中与真实的生产环境更加接近。通过遵循上述使用方法，你可以轻松地生成单域名和多域名证书，并在需要时进行安装和清理操作。

项目地址：

> - https://github.com/FiloSottile/mkcert

创建本地LocalHost-SSL证书

###  序言

在生活中，我们需要用到大量的密码，这些密码最好不要统一，否则万一泄漏的话，所有账号都暴露在风险之下。而在工作中，我们同样也需要用到大量密码，比如批量添加用户，批量设置服务器密码等。

如果靠自己去想的话，想到的密码可以不够强大，而且比较费力。下面就介绍一种方法来批量生成高强度的密码。

所谓的高强度密码，就是包含了大小写、数字、符号的密码。

### 目录

配置 EPEL 源

安装pwgen

pwgen参数规则

pwgen的使用

###  配置 EPEL 源

```
# wget -O /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo
# yum clean all
# yum makecache
```

###  安装pwgen

```
# yum install pwgen -y
```

###  pwgen参数规则

用法: pwgen 选项参数 长度 生成个数

Usage: pwgen [OPTIONS] [Length(password) ] [ pwd_number ]

```
# pwgen --help

# 密码中至少包含一个大写字母
-c or –capitalize

# 密码中不包含大写字母
-A or –no-capitalize

# 密码中至少包含一个数字
-n or –numerals

# 密码中不包含数字
-0 or –no-numerals

# 密码中至少包含一个特殊符号
-y or –symbols

# 生成完全随机密码
-s or –secure

# 密码中不包含歧义字符（例如1,l,O,0）
-B or –ambiguous

# 使用SHA1 hash给定的文件作为一个随机种子
-H or –sha1=path/to/file[#seed]

# 在列中打印生成的密码
-C

# 不要在列中打印生成的密码，即一行一个密码
-1

# 不要使用任何元音，以避免偶然的脏话
-v or –no-vowels
```

###  pwgen的使用

生成长度8，含有数字，含有大小写字母的密码4个，列打印

```
# pwgen -ncC 8 4
queeph1I IeDeiR6h Eo5dai9u xieVahv6
```

生成长度8，含有数字，含有小写字母，不包含歧义的密码6个，列打印

```
# pwgen -nABC 8 6
rae7quus iex4we3m tiequoh7 oox7iehe xu3du3oo ueyie3za
```

生成长度10，含有大写字母，有数字，不含歧义的完全随机密码3个，行打印

```
# pwgen -cnBs1 10 3
zYVgWTgmy3
fsT7XimYEV
jmrMXkU4CY
```

Linux用专业工具pwgen生成用户密码

Linux 9 自动化配置 Prometheus 监控系统

Nexopera是一个专注于Linux、网络和运维等领域的博客网站。将为读者提供广泛的相关文章，涵盖操作系统、服务器管理、网络配置、安全性等多个主题。如果你是初学者，希望这里有适合你的内容。