9.3. Configuration du serveur NFS

9.3.1. Fichier de configuration de /etc/exports

Le fichier /etc/exports permet non seulement de contr�ler les syst�mes de fichiers sp�cifiques qui sont export�s vers des h�tes distants, mais il permet �galement de sp�cifier des options. Les lignes blanches ne sont pas prises en compte, des commentaires peuvent �tre mentionn�s en ajoutant un symbole di�se (#) en d�but de ligne et un retour � la ligne peut �tre introduit gr�ce � une barre oblique inverse (\). Chaque syst�me de fichiers export� doit avoir sa propre ligne et toutes les listes d'h�tes autoris�s plac�es apr�s un syst�me de fichiers export� doivent �tre s�par�es par des espaces. Les options pour chacun des h�tes doivent �tre plac�es entre parenth�ses directement apr�s l'identifieur d'h�te, sans espace entre l'h�te et la premi�re parenth�se.

La ligne pour un syst�me de fichiers export� a la structure suivante�:

<export> <host1>(<options>) <hostN>(<options>)...

Dans cette structure, remplacez <export> par le r�pertoire devant �tre export�, remplacez <host1> par l'h�te ou le r�seau vers lequel l'export est partag� et remplacez <options> par les options pour cet h�te ou ce r�seau. Des h�tes suppl�mentaires peuvent �tre sp�cifi�s dans une liste d�limit�e par des espaces.

Les m�thodes suivantes peuvent �tre utilis�es pour sp�cifier des noms d'h�tes�:

• h�te simple — O� un h�te particulier est sp�cifi� avec un nom de domaine pleinement qualifi�e, un nom d'h�te ou une adresse IP.

• caract�res g�n�riques — O� les caract�res * ou ? sont utilis�s pour prendre en compte un groupement de noms de domaines pleinement qualifi�s qui correspondent � une cha�ne de lettres donn�e. Les caract�res g�n�riques (aussi appel�s wildcards) ne devraient pas �tre utilis�s avec les adresses IP�; il est toutefois possible qu'ils fonctionnent par accident, si les recherches inverses de DNS �chouent.

  Soyez toutefois prudent lors de l'utilisation de caract�res g�n�riques avec des noms de domaines pleinement qualifi�s, car ils sont souvent plus exacts que ce que vous escomptez. Par exemple, si vous utilisez *.example.com comme caract�re g�n�rique, sales.example.com sera autoris� � acc�der au syst�me de fichiers export�, mais pas bob.sales.example.com. Pour une correspondance incluant les deux noms de domaine, vous devrez sp�cifier *.example.com et *.*.example.com.

• r�seaux IP — Autorisent la mise en correspondance d'h�tes en fonction de leur adresse IP dans un r�seau plus grand. Par exemple, 192.168.0.0/28 autorisera les 16 premi�res adresses IP, de 192.168.0.0 � 192.168.0.15, � acc�der au syst�me de fichiers export�, mais pas 192.168.0.16 ou une adresse IP sup�rieure.

• groupes r�seau — Attribuent un nom de groupe r�seau NIS, �crit ainsi�: @<group-name>. Cette option attribue au serveur NIS la charge du contr�le d'acc�s pour ce syst�me de fichier export�, o� les utilisateurs peuvent �tre ajout�s et supprim�s dans un groupe NIS sans affecter /etc/exports.

Dans sa forme la plus simple, le fichier /etc/exports pr�cise seulement le r�pertoire export� et les h�tes autoris�s � y acc�der, comme dans l'exemple suivant�:

/exported/directory bob.example.com

Dans cet exemple, bob.example.com peut monter /exported/directory/. �tant donn� qu'aucune option n'est sp�cifi�e dans cet exemple, les options NFS par d�faut prennent effet�:

• ro — Les montages du syst�me de fichiers export� sont en lecture-seule. Les h�tes distants ne peuvent pas modifier les donn�es partag�es sur le syst�me de fichiers. Pour autoriser les h�tes � apporter des modifications au syst�me de fichiers, l'option rw (lecture-�criture) doit �tre sp�cifi�e.

• wdelay — Cette option entra�ne un retard des op�rations d'�criture sur le disque par NFS, s'il suspecte qu'une autre requ�te d'�criture est imminente. Ce faisant, les performances peuvent �tre am�lior�es gr�ce � une r�duction du nombre d'acc�s au disque par des commandes d'�criture s�par�es, r�duisant ainsi le temps d'�criture. L'option no_wdelay quant � elle, d�sactive cette fonction mais n'est disponible que lors de l'utilisation de l'option sync.

• root_squash — Cette option retire au super-utilisateur en connexion distante tous les privil�ges de son statut en lui assignant l'ID d'utilisateur nfsnobody (personne). Ce faisant, le pouvoir du super-utilisateur distant est r�duit au niveau d'utilisateur le plus bas, l'emp�chant d'apporter des modifications non autoris�es dans des fichiers sur le serveur distant. Sinon, l'option no_root_squash annule cette fonction de r�duction des privil�ges du super-utilisateur. Afin de limiter le champ d'action de chaque utilisateur distant, y compris le super-utilisateur, utilisez l'option all_squash. Pour sp�cifier les ID d'utilisateur et de groupe � utiliser avec des utilisateurs distants d'un h�te particulier, utilisez respectivement les options anonuid et anongid. Dans ce cas, un compte utilisateur sp�cial peut �tre cr�� pour que les utilisateurs NFS distants le partagent et sp�cifient (anonuid=<uid-value>,anongid=<gid-value>), o� <uid-value> correspond au num�ro de l'ID d'utilisateur et <gid-value> repr�sente le num�ro de l'ID de groupe.

Important

Par d�faut, les listes de contr�le d'acc�s (LCA aussi appel�es ACL de l'anglais Access Control Lists) sont prises en charge par NFS sous Red Hat Enterprise Linux. Pour d�sactiver cette fonction, sp�cifiez l'option no_acl lors de l'export du syst�me de fichiers. Pour obtenir davantage d'informations sur cette fonction, reportez-vous au chapitre intitul� Syst�me de fichiers r�seau (NFS) du Guide d'administration syst�me de Red Hat Enterprise Linux.

Toutes les valeurs par d�faut de chaque syst�me de fichiers export� doivent �tre explicitement �cras�es. Par exemple, si l'option rw n'est pas sp�cifi�e, le syst�me de fichiers export� est partag� en lecture-seule. L'exemple suivant est une ligne de /etc/exports qui �crase les deux options par d�faut�:

/another/exported/directory 192.168.0.3(rw,sync)

Dans cet exemple, 192.168.0.3 peut monter /another/exported/directory/ en lecture/�criture et tous les transferts vers le disque sont valid�s avant que la requ�te d'�criture par le client ne soit achev�e.

De plus, d'autres options sont disponibles l� o� il n'existe pas de valeur par d�faut. Elles permettent d'annuler la v�rification de la sous-arborescence, l'acc�s � des ports non-s�rs et les verrouillages non-s�rs de fichiers (n�cessaires pour certaines impl�mentations anciennes de client NFS). Consultez la page de manuel de exports pour obtenir deplus amples informations sur ces options moins souvent utilis�es.

Avertissement

Le format du fichier /etc/exports est tr�s pr�cis, particuli�rement en ce qui concerne l'utilisation des caract�res d'espacement. Rappelez-vous bien de toujours s�parer les syst�mes de fichiers export�s des h�tes, et les h�tes entre eux � l'aide d'un caract�re d'espacement. Toutefois, aucun autre caract�re d'espacement ne doit figurer dans le fichier, sauf sur des lignes de commentaire. Par exemple, les deux lignes suivantes n'ont pas la m�me signification�: /home bob.example.com(rw) /home bob.example.com (rw) La premi�re ligne autorise seulement les utilisateurs de bob.example.com � avoir un acc�s en lecture/�criture au r�pertoire /home/. La deuxi�me ligne elle autorise les utilisateurs de bob.example.com � monter le r�pertoire en lecture-seule (la valeur par d�faut), alors que tout autre utilisateur peut le monter en lecture/�criture.

Pour obtenir de plus amples informations sur la configuration d'un serveur NFS par le biais du fichier /etc/exports, reportez-vous au chapitre intitul� Syst�me de fichiers r�seau (NFS) du Guide d'administration syst�me de Red Hat Enterprise Linux.

9.3.2. La commande exportfs

Chaque fichier export� vers les utilisateurs distants via NFS ainsi que les droits d'acc�s li�s � ces syst�mes de fichiers sont �num�r�s dans le fichier /etc/exports. Lorsque le service nfs d�marre, la commande /usr/sbin/exportfs se lance et lit ce fichier, passe le contr�le � rpc.mountd (si NFSv2 ou NFSv3 sont utilis�s) pour le processus de montage proprement dit et ensuite � rpc.nfsd o� les syst�mes de fichiers sont alors disponibles pour les utilisateurs distants.

Lorsqu'elle est ex�cut�e manuellement, la commande /usr/sbin/exportfs permet au super-utilisateur d'exporter ou de d�sexporter s�lectivement des r�pertoires sans red�marrer le service NFS. Avec les options appropri�es, la commande /usr/sbin/exportfs �crit les syst�mes de fichiers export�s dans /var/lib/nfs/xtab. Puisque rpc.mountd se r�f�re au fichier xtab lorsqu'il d�cide des privil�ges d'acc�s � un syst�me de fichiers, les changements apport�s � la liste des syst�mes de fichiers export�s prennent effet imm�diatement.

Ci-dessous figure une liste des options couramment utilis�es pour /usr/sbin/exportfs�:

• -r — Provoque l'export de tous les r�pertoires list�s dans /etc/exports en dressant une nouvelle liste d'exports dans /etc/lib/nfs/xtab. Cette option rafra�chit effectivement la liste des exports avec les changements quelconques apport�s � /etc/exports.

• -a — Provoque l'export ou le d�sexport de tous les r�pertoires, selon les autres options de la commande /usr/sbin/exportfs. Si aucune autre option n'est sp�cifi�e, /usr/sbin/exportfs exporte tous les syst�mes de fichiers sp�cifi�s dans /etc/exports.

• -o file-systems — Sp�cifie les r�pertoires � exporter qui ne sont pas �num�r�s dans /etc/exports. Remplacez file-systems par les syst�mes de fichiers suppl�mentaires � exporter. Ces derniers doivent �tre format�s selon le type sp�cifi� dans /etc/exports. Reportez-vous � la Section 9.3.1 afin d'obtenir davantage d'informations sur la syntaxe de /etc/exports. Cette option est souvent utilis�e pour tester un syst�me de fichiers export� avant de l'ajouter de fa�on permanente � la liste des syst�mes de fichiers � exporter.

• -i — Ne prend pas en compte /etc/exports�; seules les options donn�es par la ligne de commande sont utilis�es pour d�finir les syst�mes de fichiers export�s.

• -u — D�sexporte tous les r�pertoires partag�s. La commande /usr/sbin/exportfs -ua suspend le partage de fichiers NFS alors que tous les d�mons NFS restent actifs. Pour activer � nouveau le partage NFS, tapez exportfs -r.

• -v — Repr�sente une op�ration prolixe o� les syst�mes de fichiers � exporter ou � d�sexporter sont affich�s avec beaucoup de d�tails lorsque la commande exportfs est ex�cut�e.

Si aucune option n'est transmise � la commande /usr/sbin/exportfs, elle affiche une liste des syst�mes de fichiers actuellement export�s.

Pour obtenir davantage d'informations sur la commande /usr/sbin/exportfs, reportez-vous � la page de manuel d'exportfs.

mkdir /exports
mkdir /exports/opt
mkdir /exports/etc
mount --bind /usr/local/opt /exports/opt
mount --bind /usr/local/etc /exports/etc
exportfs -o fsid=0,insecure,no_subtree_check gss/krb5p:/exports
exportfs -o rw,nohide,insecure,no_subtree_check gss/krb5p:/exports/opt
exportfs -o rw,nohide,insecure,no_subtree_check gss/krb5p:/exports/etc