NFS und 16-Gruppen-Limit

[mhille]

Hallo erst mal - ich bin der Neue hier ;-)

Mein System: openSuSE 10.3
Ich hab hier NFS und NIS eingerichtet. Beide openSuSE 10.3. Soweit funktioniert auch alles einwandfrei. Über das NIS können sich ca. 20 Benutzer auf einem kleinen Netzwerk anmelden, ihre $HOMEs und einige "Arbeitsverzeichnisse" werden per NFS exportiert bzw. auf den Client Rechnern eingebunden. Tut auch fast, was es soll.

Nur ist es so, dass das Berechtigungskonzept ein wenig.... schwierig ist und sich so ca. 20 Benutzergruppen ergeben haben. Eigentlich kein Problem, war halt Fleißarbeit, das einmal ein zu hacken.

Nun kommt der Haken an der Sache: Laut folgendem Link (Eisler's NFS Blog) hat NFS ein klitzekleines Problem, wenn man mehr als 16 zusätzliche Gruppen hat (d.h. 16 Gruppen, die über NFS authentifiziert werden sollen): Jede Gruppe, die nach der 16. folgt, wird einfach ignoriert. Da bedeutet, dass der User zwar mehr als 16 Gruppen zugeordnet sein kann (und die auch ordentlich per NIS an den Client mitgeteilt werden), aber NFS zu dusselig ist die weiteren Gruppen zu erkennen. Will ich auf ein entsprechendes Verzeichnis zugreifen, so bekomme ich vom NFS ein "Access Denied" um die Ohren.

Ich hab den obigen Artikel jetzt so im Groben verstanden - es liegt wohl an der sehr einfachen Authentifizierung (AUTH_SYS), die NFS "per default" verwendet. Nun kann mal das wohl mit Hilfe von Kerberos umgehen, d.h. wenn man Kerberos zur Authentifizierung verwendet, kann man auch mehr als 16 Gruppen verwenden. Zudem bekommt man eine sichere Authentifizierung geschenkt.

Wohl an - her damit. Nur: Ich kapier es nicht. :roll: HÜLFÄ!!!! Ich schein irgendwie zu doof zu sein, den Kerberos richtig auf zu setzen.

Hat mir irgendjemand eine deppensichere Anleitung, wie ich unter 10.3 einen Kerberos aufsetze, das auch noch schön erklärt, idealerweise auf deutsch ist und (als super-duper-spitze) das mit NFS kombiniert?

Wäre für Hinweise und Links dankbar!

Grüße - Martin.

 

[whois]

Hat mir irgendjemand eine deppensichere Anleitung, wie ich unter 10.3 einen Kerberos aufsetze, das auch noch schön erklärt, idealerweise auf deutsch ist und (als super-duper-spitze) das mit NFS kombiniert?

Hi Martin

Sieh dir das mal an ich finde das ganz gut.

http://www.fire-gate.de/ebooks/suselinux-adminguide_de/html/ch19s03.html

Vielleicht finde ich noch mehr dazu in meiner Link Liste.

cu

/Edit: Etwas älter

http://sman.informatik.htw-dresden.de/doc/manual/suselinux-adminguide_de/html/ch19s03.html

 

[rolle]

Hm, ein Blogeintrag von 2005 ist schon antik in Bezug auf Software. Wenn ich ihn richtig überflogen habe, geht es auch nicht um Linux und NFS, sondern um Sun RPC.

* Use NFSv4
* Use RPCSEC_GSS authentication
* Use ACLs

Obige drei einfache Auswege bietet der Blog ja schon zentral an. ACLs finde ich persönlich den elegantesten Weg, Rechte zu setzen, das dürfte aber alles nicht notwendig sein, da die openSuSE 10.3 meines Wissens NFS4 standardmäßig nutzt und deshalb nicht unter dem Problem leidet. Probiere es doch erst einmal aus, bevor Du jetzt wieder von vorne anfängst.

 

[mhille]

Hallo.

@Rolle: openSuSE hat zwar die Software vom Stand v4 drin, aber als Protokoll wird das per default nicht verwendet. Default ist immer noch v3, wenn man einen NFS Server aufsetzt.

NFSv4 ist nur die Voraussetzung, damit man bpsw. ACLs oder RPCSEC_GSS nutzen kann, welches wiederum die Limitierung auf 16 Gruppen nicht hat, aber eben Kerberos V5 voraussetzt. Ich hab das schon ausprobiert, so isses ja nicht ;-)

Für ACLs habe ich aber auch noch keine vernünftige Beschreibung gefunden.

@whois: Danke für den Link, den werd' ich mir dann mal 'reinziehen.

Gruß, Martin.

 

[Tooltime]

Moin moin,

ich muss leider lautstark protestieren. NFS-Dateisysteme wie sie heute verwendet werden authentifizieren weder Benutzer noch Gruppen!! Server- und Client-Rechner gehen eine Vertrauensbeziehung ein, wobei die gegenseitige Authentifizierung nur durch IP- und MAC-Adressen erfolgt (NFS2 u. NFS3). Behauptet der Client-Rechner eine Datei sollt einer bestimmten Benutzer- und Gruppennummer zugeordnet werden, so glaubt der Server diese Angaben. Der Server besitzt nur einen Schutzmechanismus, das Ummappen der Benutzer- und Gruppen-ID`s, so das ein Zugriff auf ein NFS-Dateisystem mit administrativen Serveraccounts nicht möglich ist. Anderseits ist NFS durch den direkten Zugriff auf die Filesystemstruktur sehr schnell. Man darf halt nicht vergessen das dieses System aus einer Zeit stammt wo Server, Client und auch alle Netzwerkanschlüsse zu 100% von Administratoren kontrolliert werden konnten. Diese "hohen" Sicherheitsvorkehrungen erklären, warum auch in Linux-Netzen cifs sehr beliebt ist.

Unter NFS Version 4 gehen Server und Client wieder diese Vertrauensbeziehung ein, jedoch wurden sichere Methoden zur Authentifizierung von Clients bei den Servern eingeführt, was in der Praxis wohl immer auf Keberos heraus läuft. Ach ja, Keberos Authentifiziert nur einen Benutzernamen (Benuzer@Domäne) mit einen Passwort und kennt überhaupt gar keine Gruppen und kann auf derartige Probleme keinen Einfluss nehmen.

Die Einschränkung mit 16 Gruppen gilt nur für NFS Version 1!!!

Hat mir irgendjemand eine deppensichere Anleitung, wie ich unter 10.3 einen Kerberos aufsetze, das auch noch schön erklärt, idealerweise auf deutsch ist und (als super-duper-spitze) das mit NFS kombiniert?

• 
  openSUSE-Dokumentation
  Teil VI. Sicherheit / Kapitel 39. Installation und Administration von Kerberos
  Zurück 38.4. Weiterführende Informationen 39.2. Auswählen der Kerberos-BereicheWeiter
  Kapitel 39. Installation und Administration von Kerberos
  Inhaltsverzeichnis
  39.1. Kerberos-Netzwerktopologie
  39.2. Auswählen der Kerberos-Bereiche
  39.3. Einrichten der KDC-Hardware
  39.4. Konfiguration der Zeitsynchronisierung
  39.5. Konfigurieren des KDC
  39.6. Konfigurieren von Kerberos-Clients
  39.7. Konfigurieren der Kerberos-Remoteverwaltung
  39.8. Erstellen der Kerberos-Dienst-Prinzipale
  39.9. Aktivieren der PAM-Unterstützung für Kerberos
  39.10. Konfigurieren von SSH für die Kerberos-Authentifizierung
  39.11. Verwenden von LDAP und Kerberos

• 
  Kapitel 28. Verteilte Nutzung von Dateisystemen mit NFS
  Inhaltsverzeichnis
  28.1. Konfiguration des NFS-Client
  28.2. Exportieren von Dateisystemen über NFS
  28.3. Manuelles Exportieren von Dateisystemen
  28.4. NFS mit Kerberos
  28.5. Weiterführende Informationen

Wieso kucken die meisten Leute eigentlich nie in die Handbücher?

 

[stka]

16 in Worten sechzehn Gruppen die einem Verzeichnis zugeordnet sind? :shock: Da hat der Admin seinen Job aber nicht verstanden. Wenn ich die drei Rechte r w x nehme und mir die Anzahl der Kombinationen ausrechne und davon die schwachsinnigen abrechen, bleiben da nicht viele über.

 

[moenk]

Ich mags auch kaum sagen: Schade um den Aufwand den Du da getrieben hast, aber wenn schon so viele User da mitspielen dass man 16 Gruppen haben kann ist NFS wohl doch zu unsicher. Samba dürfte das die einfacherer Lösung sein und das klappt dann auch mit Windows-Kisten, die da doch noch recht verbreitet sind.

 

[rolle]

Wenn die Rechte sauber im Dateisystem gesetzt sind, ist es doch völlig schnuppe, welcher Dienst die Daten ins Netz stellt.

 

[stka]

Und wem es um das Thema Sicherheit geht, der setzt BESTIMMT KEIN NIS ein sondern LDAP.