CE(NFS服务器)

创建 NFS 共享目录并设置本地文件系统权限：

# 创建共享目录（路径可自定义，需与后续配置文件一致）
mkdir /nfsfile

# 向共享目录写入测试文件，用于后续客户端验证
echo "welcome to www.openlab.com" > /nfsfile/readme.txt

# 设置共享目录权限为777，确保客户端匿名账户可读写（生产环境可根据实际需求调整）
chmod -R 777 /nfsfile

# 验证目录和文件状态
ll -d /nfsfile
ll /nfsfile/readme.txt

编写 NFS 主配置文件/etc/exports：

# 编辑配置文件
vim /etc/exports

# 添加以下配置（允许192.168.48.0/24网段访问，读写权限，同步传输，所有账户映射为nobody）
/nfsfile 192.168.48.0/24(rw,sync,all_squash,no_subtree_check)

# 保存退出（vim编辑器：按ESC，输入:wq回车）

启动 NFS 和 RPC 服务并设置开机自启：

# 先启动RPC服务（rpcbind），再启动NFS服务，顺序不可颠倒
systemctl start rpcbind
systemctl start nfs-server

# 设置开机自启，避免系统重启后服务失效
systemctl enable rpcbind
systemctl enable nfs-server

# 验证服务状态（确保服务正常运行，无报错）
systemctl status rpcbind
systemctl status nfs-server

验证 NFS 共享配置：

# 查看当前NFS服务的共享状态
exportfs -v

# 预期输出（类似如下内容，表明共享目录已生效）
/nfsfile 192.168.48.0/24(sync,wdelay,hide,no_subtree_check,sec=sys,rw,secure,root_squash,all_squash)

安装 NFS 客户端依赖（若未安装）：

# 客户端仅需安装nfs-utils即可（rpcbind通常默认已安装）
yum install nfs-utils -y

查看服务端 NFS 共享目录：

# 语法：showmount -e NFS服务端IP
showmount -e 192.168.48.130

# 预期输出（表明客户端可正常发现服务端共享目录）
Export list for 192.168.48.130:
/nfsfile 192.168.48.0/24

手动挂载 NFS 共享目录到客户端本地：

# 创建客户端本地挂载目录（路径可自定义）
mkdir /nfs1

# 执行挂载命令：mount -t nfs 服务端IP:共享目录 本地挂载目录
mount -t nfs 192.168.48.130:/nfsfile /nfs1

# 验证挂载结果
df -h | grep nfs
# 预期输出（类似如下内容，表明挂载成功）
192.168.48.130:/nfsfile 27G 1.6G 24G 7% /nfs1

# 访问共享目录，验证文件可读性
cd /nfs1
cat readme.txt
# 预期输出：welcome to www.openlab.com

# 验证写入权限（若服务端配置rw权限）
touch test_client.txt
ll test_client.txt
# 预期输出：文件所有者为nobody（因配置了all_squash）

配置开机自动挂载（永久生效，避免重启后需手动重新挂载）：客户端重启后，手动挂载的 NFS 目录会失效，需通过/etc/fstab文件配置开机自动挂载：

# 编辑/etc/fstab文件
vim /etc/fstab

# 在文件末尾添加以下内容（每行代表一个挂载配置）
192.168.48.130:/nfsfile /nfs1 nfs defaults 0 0

# 配置说明：
# 192.168.48.130:/nfsfile：NFS服务端共享目录路径
# /nfs1：客户端本地挂载目录
# nfs：文件系统类型
# defaults：挂载参数（默认包含rw、suid、dev等，可根据需求添加如noatime等参数）
# 0：dump备份参数（0表示不备份，1表示备份）
# 0：fsck检查参数（0表示不检查，1表示优先检查，2表示次要检查）

# 保存退出后，测试挂载配置是否生效（无需重启系统）
mount -a

# 再次验证挂载结果（若无报错，表明配置正常）
df -h | grep nfs1

服务端操作：修改共享目录的本地文件系统权限为只读（444），即使 NFS 配置为 rw 权限：

# 服务端执行：将/nfsfile目录权限改为444（只读）
chmod -R 444 /nfsfile

# 验证权限
ll -d /nfsfile
ll /nfsfile/readme.txt
# 预期输出：权限均为r–r–r–

客户端操作：尝试访问和写入共享目录：

# 客户端尝试进入挂载目录
cd /nfs1
# 预期结果：提示"权限不够"（因服务端目录权限为444，即使NFS配置rw也无法访问）

# 若已进入目录，尝试创建文件
touch test_perm.txt
# 预期结果：提示"权限不够"

结论：NFS 的最终访问权限由 “文件系统本地权限” 和 “NFS 配置权限” 共同决定，且文件系统权限优先级更高—— 即使 NFS 配置为 rw，若本地目录权限为只读，客户端也无法写入。

服务端修改 NFS 配置：

vim /etc/exports
# 修改为以下配置
/nfsfile 192.168.48.0/24(rw,sync,root_squash,no_subtree_check)

# 重新加载配置（无需重启服务）
exportfs -r

# 恢复共享目录权限为777
chmod -R 777 /nfsfile

客户端操作：

# 客户端以root账户创建文件
cd /nfs1
touch test_root_squash.txt
ll test_root_squash.txt
# 预期输出：文件所有者为nobody（root账户被映射）

# 客户端切换为普通用户（如fox）创建文件
su fox
cd /nfs1
touch test_user_squash.txt
ll test_user_squash.txt
# 预期输出：文件所有者为fox（普通用户身份原样映射，因配置了no_all_squash默认值）

服务端修改 NFS 配置：

vim /etc/exports
# 修改为以下配置
/nfsfile 192.168.48.0/24(rw,sync,all_squash,no_subtree_check)

# 重新加载配置
exportfs -r

客户端操作：

# 客户端root账户创建文件
cd /nfs1
touch test_all_squash_root.txt
ll test_all_squash_root.txt
# 预期输出：所有者为nobody

# 客户端普通用户创建文件
su fox
cd /nfs1
touch test_all_squash_user.txt
ll test_all_squash_user.txt
# 预期输出：所有者为nobody（所有账户均被映射）

服务端操作：创建自定义 UID/GID 的账户，并修改 NFS 配置：

# 服务端创建用户（UID=2000，GID=2000）
groupadd -g 2000 nfsuser
useradd -u 2000 -g 2000 nfsuser

# 修改NFS配置
vim /etc/exports
/nfsfile 192.168.48.0/24(rw,sync,all_squash,anonuid=2000,anongid=2000,no_subtree_check)

# 重新加载配置
exportfs -r

客户端操作：

# 客户端任意账户创建文件
cd /nfs1
touch test_anonuid.txt
ll test_anonuid.txt
# 预期输出：所有者为2000:2000（即服务端的nfsuser账户）

主配置文件/etc/auto.master格式：

挂载父目录 子配置文件路径

• 挂载父目录：客户端本地的目录（无需提前创建，autofs 会自动创建），所有自动挂载的子目录均位于该目录下；
• 子配置文件路径：自定义的子配置文件（需手动创建），用于存储该父目录下的所有挂载规则。

示例：

/nfs /etc/auto.nfs # 父目录/nfs下的自动挂载规则由/etc/auto.nfs文件定义
/media /etc/auto.iso # 父目录/media下的自动挂载规则由/etc/auto.iso文件定义

子配置文件格式：

本地挂载子目录 [-挂载参数] 服务端资源路径

• 本地挂载子目录：位于主配置文件定义的 “挂载父目录” 下的子目录（无需提前创建，autofs 会自动创建）；
• 挂载参数：可选，用于控制挂载行为（如读写权限、网络超时策略等），多个参数用逗号分隔；
• 服务端资源路径：NFS 共享目录（格式：服务端IP:共享目录）或本地设备路径（如:/dev/sr0为光盘设备）。

示例（NFS 自动挂载）：

testmnt -rw,soft,intr 192.168.48.130:/data # 父目录为/nfs时，完整挂载路径为/nfs/testmnt

恢复基础环境（若之前做过其他实验，建议恢复系统快照或重新配置）：

setenforce 0
systemctl stop firewalld
yum install nfs-utils rpcbind -y

创建共享目录并配置 NFS：

# 创建共享目录
mkdir /data
chmod -R 777 /data

# 写入测试文件
echo "this is autofs test file" > /data/auto_test.txt

# 配置/etc/exports
vim /etc/exports
/data *(rw,sync,all_squash,no_subtree_check) # 允许所有主机访问

# 启动服务并设置自启
systemctl start rpcbind && systemctl enable rpcbind
systemctl start nfs-server && systemctl enable nfs-server

# 验证共享状态
exportfs -v

安装依赖包（若未安装）：

yum install nfs-utils autofs -y

编辑 autofs 主配置文件/etc/auto.master：

vim /etc/auto.master

# 在文件末尾添加以下内容（定义挂载父目录和子配置文件）
/nfs /etc/auto.nfs

# 保存退出

创建并编辑 autofs 子配置文件/etc/auto.nfs：

# 创建子配置文件
touch /etc/auto.nfs
vim /etc/auto.nfs

# 添加以下挂载规则
testmnt -rw,soft,intr,rsize=8192,wsize=8192 192.168.48.130:/data

# 规则说明：
# testmnt：本地挂载子目录（完整路径为/nfs/testmnt）
# -rw,soft,intr,…：挂载参数（读写、soft模式、允许中断、读写块大小8192字节）
# 192.168.48.130:/data：NFS服务端共享目录

# 保存退出

启动 autofs 服务并设置开机自启：

systemctl start autofs
systemctl enable autofs

# 验证服务状态（确保无报错）
systemctl status autofs

初始状态验证（未访问挂载目录时）：

# 查看挂载情况，此时autofs未执行挂载
df -h | grep nfs
# 预期输出：无任何相关挂载记录

# 查看父目录/nfs（autofs已自动创建）
ll /nfs
# 预期输出：目录为空，无testmnt子目录（子目录在访问时才创建）

访问挂载目录，触发自动挂载：

# 进入挂载子目录（触发autofs自动挂载）
cd /nfs/testmnt

# 验证挂载结果
df -h | grep nfs
# 预期输出（类似如下内容，表明挂载成功）
192.168.48.130:/data 16G 4.2G 12G 27% /nfs/testmnt

# 访问共享目录中的文件，验证可读性
cat auto_test.txt
# 预期输出：this is autofs test file

# 验证写入权限（服务端配置rw）
touch client_auto.txt
ll client_auto.txt
# 预期输出：所有者为nobody

验证自动卸载功能：

# 退出挂载目录，等待5分钟（默认闲置时间）
cd ~
sleep 300

# 再次查看挂载情况
df -h | grep nfs
# 预期输出：无相关挂载记录，表明已自动卸载

安装 autofs（若未安装）：

yum install autofs -y

编辑 autofs 主配置文件/etc/auto.master：

vim /etc/auto.master

# 在文件末尾添加以下内容
/media /etc/auto.iso

# 保存退出

创建并编辑 autofs 子配置文件/etc/auto.iso：

touch /etc/auto.iso
vim /etc/auto.iso

# 添加以下挂载规则（光盘设备）
cdrom -fstype=iso9660,ro,nosuid,nodev :/dev/sr0

# 规则说明：
# cdrom：本地挂载子目录（完整路径为/media/cdrom）
# -fstype=iso9660：指定文件系统类型为光盘专用的iso9660
# ro：只读模式（光盘为只读设备，必须配置ro）
# nosuid：禁止SUID权限，提升安全性
# nodev：不解析设备文件，避免冲突
# :/dev/sr0：本地光盘设备路径（部分系统为/dev/cdrom，可通过ls /dev | grep cdrom查看）

# 保存退出

重启 autofs 服务：

systemctl restart autofs

插入光盘（物理机插入光盘，虚拟机需挂载 ISO 镜像文件）。

初始状态验证：

df -h | grep cdrom
# 预期输出：无挂载记录

ll /media
# 预期输出：无cdrom子目录

访问挂载目录，触发自动挂载：

cd /media/cdrom

# 验证挂载结果
df -h | grep cdrom
# 预期输出（类似如下内容）
/dev/sr0 8.5G 8.5G 0 100% /media/cdrom

# 查看光盘内容
ls
# 预期输出：光盘中的目录和文件（如AppStream、BaseOS、RPM包等）

验证自动卸载：

# 退出目录，等待5分钟
cd ~
sleep 300

# 查看挂载情况
df -h | grep cdrom
# 预期输出：无挂载记录，已自动卸载

客户端执行showmount -e 服务端IP时提示 “clnt_create: RPC: Port mapper failure – Unable to receive: errno 113 (No route to host)”：

• 原因：服务端或客户端防火墙未关闭，拦截了 111 端口（RPC）的通信；
• 解决：关闭防火墙（systemctl stop firewalld）。

客户端挂载时提示 “mount.nfs: access denied by server while mounting 服务端 IP: 共享目录”：

• 原因：服务端/etc/exports配置中未允许该客户端访问，或权限参数错误；
• 解决：检查/etc/exports中的客户端网段 / IP 配置，执行exportfs -r重新加载配置。

客户端挂载后无法写入文件，提示 “Permission denied”：

• 原因 1：服务端 NFS 配置为ro权限，或未配置rw；
• 原因 2：服务端共享目录的本地文件系统权限不足（如未设置 777）；
• 原因 3：客户端账户被映射为匿名账户（nobody），而服务端目录对 nobody 无写入权限；
• 解决：确认 NFS 配置为rw，服务端目录权限为 777，必要时配置all_squash + anonuid/anongid。

autofs 无法自动挂载，进入挂载目录时提示 “No such file or directory”：

• 原因：主配置文件或子配置文件格式错误（如路径写错、参数分隔符错误）；
• 解决：检查/etc/auto.master和子配置文件的语法，查看 autofs 日志排查错误：journalctl -u autofs。

安全性方面：

• 避免使用*通配符允许所有主机访问，尽量限制具体的客户端网段；
• 禁用no_root_squash参数，防止客户端 root 账户操控服务端文件系统；
• 必要时结合防火墙策略，仅开放 NFS（2049 端口）和 RPC（111 端口）给允许访问的客户端。

性能优化方面：

• NFS 配置中添加no_subtree_check参数，减少权限验证开销；
• 客户端挂载时设置rsize=8192和wsize=8192（或更大值，如 16384），优化传输效率；
• 对于高并发场景，可考虑使用 NFS v4 版本（默认 v3），支持更优的性能和安全性。

稳定性方面：

• 配置 autofs 时优先使用soft + intr参数，避免网络异常导致客户端挂死；
• 定期备份 NFS 共享目录中的数据，防止服务端故障导致数据丢失；
• 避免在 NFS 共享目录中存放频繁读写的小文件（如日志文件），可采用其他方案（如 ELK）存储。