Resumiendo ... cómo bastionamos NFS

Resumiendo la entrada sobre NFS, se pasa a describir los pasos para bastionar un servicio NFS instalado:

1.- Instalar la versión 4 de NFS con un sistema de autenticación basado en Active Directory, ya que se ganaría la autenticación por usuario. Si no fuera así, se sigue recomendando el uso de la versión 4 de NFS, aunque el bastionado de la versión implicaría la NO autenticación por usuario.

2.- Incluir en el archivo: /etc/exports, los directorios que se van a compartir, así como los hosts que van a tener permiso para acceder a dichos directorios y los permisos que tendrán estos son el directorio compartido.

La estructura de la línea sería la siguiente:

directorio equipo1(opcion11,...) equipo2(opcion21,...)

Donde:

·               directorio: es el nombre del directorio que se comparte

·               equipo<1...n>: es la dirección IP o nombre DNS del hosts que tendrá acceso al recurso compartido

NOTA: 

Se permite el uso de los comodines: "*" y "?", aunque no se recomienda su uso

·               opcion <11 ... nn>: son las diferentes permisos de acceso que se tendrán por parte del hosts en el directorio compartido.

De las opciones más significativas que se pueden ver en la entrada NFS , las más adecuadas para bastionar nuestro servicio NFS es:

A.      ([ro | rw], root_squash,anonuid=<digito del usuario>,anongid=<digito del grupo del usuario>)

Está opción implica crear un usuario y su grupo dentro del sistema/s que contenga/n el/los directorio/s a los que el usuario pueda acceder, y vincularlo con la IP o nombre DNS de la máquina desde donde se puede realizar la conexión.

B.      ([ro | rw], root_squash)

Está opción implica crear un usuario dentro del sistema/s que contenga/n el/los directorio/s a los que el usuario pueda acceder y vincularlo con la IP o nombre DNS de la máquina desde donde se puede realizar la conexión. El usuario a crear debe tener el mismo nombre de usuario con el que se trabaja desde la máquina desde donde se realiza la conexión.

Si el usuario con el que se conecta el cliente no existe en el servidor, dicho usuario trabajará con los permisos del usuario “nobody”.

Ejemplo:

/home                     vale(rw,root_squash) vstout(rw,root_squash)

/usr/X11R6              vale(ro,root_squash) vstout(ro,root_squash)

/home/ftp                (ro,root_squash)

3.- Administrar los permisos de cada uno de los usuarios dentro de los directorios que se van a compartir.

IMPORTANTE:

Esto implica una gran carga de administración debido a la creación de los usuarios y la configuración de los permisos en la estructura del servidor. Eso sí, esta administración no permite tener un pseudo-control  basado en usuarios.

4.- Incluir dentro del archivo: /etc/hosts.deny, la sentencia:

portmap: ALL

nfs: ALL

NOTAS:

Con la primera línea se denegará el acceso al puerto 111/TCP (Portmap) a toda máquina.

Con la segunda línea se denegará el acceso al puerto 2049/TCP (NFS) a toda máquina.

5.- Incluir dentro del archivo: /etc/hosts.allow, la sentencia:

Portmap: host [o red/mascara_subred], host [o red/mascara_subred]

NFS: host [o red/mascara_subred], host [o red/mascara_subred]

Ejemplo:

portmap:192.168.0.0/255.255.255.0,10.20.30.40

nfs:192.168.0.0/255.255.255.0  

NOTAS:

Con la primera línea se permitirá el acceso al puerto 111/TCP (Portmap) a toda máquina declarada.

Con la segunda línea se permitira el acceso al puerto 2049/TCP (NFS) a toda máquina declarada.

Estos dos últimos puntos pueden ser sustituidos/complementados con el uso de un firewall de equipo, como pueda ser IPTABLES.

6.- Como las comunicaciones a través de NFS se realizan en texto claro, se procedería a bastionar las comunicaciones tunelizando a través del protocolo SSH, mediante la característica del “port forwarding”

Para lo cual será necesario tener algún programa que nos permita utilizar dicho protocolo, como por ejemplo, OpenSSH.

RECOMENDACIÓN:

Lectura del apartado 6.4, de la URL: http://nfs.sourceforge.net/nfs-howto/ar01s06.html