如何在不受信任的客戶端環境中保護 NFS

如果我了解它是如何工作的，那麼 NFS 安全性依賴於客戶端可以信任的事實。

我擔心某些使用者會訪問其他人的文件。是的，root_squash選項避免客戶端上的 root 使用者訪問文件，但是如果有人在任何客戶端上具有 root 權限，他可以 su 進入任何使用者，然後訪問他們想要的文件。

我目前正在將文件導出到所有本地網路。我正在考慮僅導出到受信任客戶端的網路組——但維護起來可能會很痛苦，而且它只會稍微掩蓋問題，如果某些受信任的客戶端獲得 root 訪問權限，問題仍然存在。

NFS 是一個具有文件訪問權限的安全漏洞——您實際上無法採取任何措施來緩解這種情況。您能做的最好的事情就是只允許導出到您所描述的受信任的客戶端，並且可以選擇使用防火牆規則來防止其他人偷偷通過並與您的 NFS 伺服器交談（即使他們理論上無法做任何您可能做的事情以及確保它們被鎖定）。

如果您只使用 NFSv4，您可以對您的 NFS 環境進行 Kerberize，這在驗證客戶端方面提供了一些更好的安全選項，但是維護 Kerberos 環境的工作可能等於（或大於）維護網路組導出列表——如果您無論如何都要重新使用 Kerberos，儘管它對您來說可能是一個更好的解決方案。

引用自：https://serverfault.com/questions/431973