NFS服务器的安全设置及性能调优海口

背景

虽说现在到处是oss、minio、fastdfs的天下，但NFS对于很多公司来说，还是有其可取之处的，像我们的项目是一直在用的，今天好好研究下相关配置。

安装

略

配置

配置文件 /etc/exports，内容通常如下：

directory machine1(option11,option12)

directory

要共享的目录。如 /data/

machine1

nfs客户端，就是哪些机器可以访问他，可以是指定ip，也可以是一个ip段。

option 重要的权限有如下几种：

ro : 只读，不可写
rw：有读写权限
no_root_squash/root_squash：默认情况下，客户端上的root用户发出的任何请求都会变成服务端的nobody用户权限去执行。如果开启了此项，客户端上的root用户发出的请求等同服务端的root用户权限，会有安全隐患，不建议使用 no_root_squash
async/sync：默认情况下，所有exportfs命令都将使用异步，即使用sync选项文件先保存在内存中，达到触发条件再发往服务端，性能较好，但存在风险。若使用同步async，则实时存到服务端。

举个例子，现在有172.18.11.1、172.18.11.2要访问NFS服务端，/data/ 目录需要读写，/home/ 目录只读权限，示例如下：

/data 172.18.11.1(rw) 172.18.11.2(rw)
/home 172.18.11.1(ro) 172.18.11.2(ro)

如果是整个ip段需要访问的话，示例如下：

/data 172.18.11.0/24(rw)
/home 172.18.11.0/24(ro)

安全

最开始不清楚有多少主机需要使用NFS服务端，所以在 /etc/exports 指定了一个段可以访问，如下

/data 172.18.11.0/24(rw)

但安全部门不允许，要求指定ip，修改 /etc/exports 为：

/data 172.18.11.1(rw) 172.18.11.2(rw)

除了在 /etc/exports 指定ip，也可以通过 /etc/hosts.allow、/etc/hosts.deny 来限制

这两个文件可以指定局域网内有哪些机器可以使用本机的服务。该文件每一行的文件格式如下：

service ip

当有客户端向本机发起请求时，检查流程如下：

检查此次请求是否匹配 /etc/hosts.allow 的规则，若匹配则允许访问。
如果不匹配 hosts.allow ，则检查此次请求是否匹配 /etc/hosts.deny 的规则，若匹配则拒绝访问
若 hosts.allow、hosts.deny 均不匹配，则允许访问。

下面开始操作：

首先在 hosts.deny 拒绝所有

lockd:ALL
mountd:ALL
rquotad:ALL
statd:ALL

然后在 hosts.allow 允许指定ip

lockd: 172.18.11.1
mountd: 172.18.11.1
rquotad: 172.18.11.1
statd: 172.18.11.1

性能

同步/异步

同步就是数据已经写入本地存储后，服务器才会回复客户端说OK了，当NFS服务器或网络出现故障时，文件丢失的可能性较小。

异步则是不等待数据写入存储即回复客户端说OK了，则节省I/O请求的时间并节约性能。但是存在数据丢失的风险。

看你怎么选了。

NFS 守护进程的数量

NFS使用服务器上的线程来处理输入输出的I/O请求，这在进程中显示为nfsd，默认情况下NFS启动8个nfsd进程，而现在的服务器配置都比较高，可以调整为16个或32个。

tcp参数调优

两个参数：系统输入和输出队列

增加输入和输出队列的大小允许通过 NFS 传输更多数据。实际上，正在增加可以存储数据的缓冲区的大小。内存中可以存储的数据越多，NFS 处理它的速度就越快（即，排队的数据越多）。NFS 服务器 NFS 守护进程共享相同的套接字输入和输出队列，因此如果队列更大，所有 NFS 守护进程都有更多的缓冲区并且可以更快地发送和接收数据。对于输入队列，要修改的两个值是/proc/sys/net/core/rmem_default（读取队列的默认大小，以字节为单位）和/proc/sys/net/core/rmem_max（读取队列的最大大小）以字节为单位的读取队列）。这些值很容易修改：

echo 262144 > /proc/sys/net/core/rmem_default
echo 262144 > /proc/sys/net/core/rmem_max

这些命令将读取缓冲区大小更改为 256KiB（以 2 为基数），由 NFS 守护进程共享。您可以对 NFS 守护进程共享的写入缓冲区执行相同的操作：

echo 262144 > /proc/sys/net/core/wmem_default
echo 262144 > /proc/sys/net/core/wmem_max