加强Linux用户网络访问权限的安全控制能力.docVIP

M6-3 加强Linux用户网络访问权限的平安控制能力 1.1场景描述 1.1.1 学习目的 学生通过该能力模块的学习,能够独立完成和熟练掌握平安设置NFS和SAMBA效劳，从而实现文件平安访问的能力。。 1.1.2 学习要求 理解:NFS和SAMBA根本概念。 掌握:NFS与SAMBA平安配置。 1.1.3 学习重点和难点 1.学习重点 平安设置NFS 平安设置SAMBA 2.学习难点 平安设置SAMBA：理解SAMBA效劳器平安访问级别。 1.2 知识准备 1.2.1 NFS NFS是分布式计算机系统的一个组成局部，可实现在异构网络上共享和装配远程文件系统。 NFS简介 NFS由SUN公司开发，目前已经成为文件效劳的一种标准〔RFC1904，RFC1813〕。其最大功能是可以通过网络让不同操作系统的计算机可以共享数据，所以也可以将其看做是一台文件效劳器，如图1-1所示。NFS提供了除Samba之外，Windows与Linux及UNIX与Linux之间通信的方法。 客户端PC可以挂载NFS效劳器所提供的目录并且挂载之后这个目录看起来如同本地的磁盘分区一样，可以使用cp、cd、mv、rm及df等与磁盘相关的命令。NFS有属于自己的协议与使用的端口号，但是在传送资料或者其他相关信息时候，NFS效劳器使用一个称为远程过程调用〔Remote Procedure Call，RPC〕的协议来协助NFS效劳器本身的运行。 为何使用NFS NFS的目标是使计算机共享资源，在其开展过程中〔即20世纪80年代〕，计算机工业飞速开展，廉价CPU及客户端/效劳器技术促进了分布式计算环境的开展。然而当处理器价格下降时，大容量的存储系统相对而言价格仍居高不下。因此必须采用某种机制在充分发挥单个处理器性能的同时使计算机可共享存储资源和数据，于是NFS应运而生。 NFS协议 使用NFS，客户端可以透明地访问效劳器中的文件系统，这不同于提供文件传输的FTP协议。FTP会产生文件一个完整的副本；NFS只访问一个进程引用文件局部，并且一个目的就是使得这种访问透明。这就意味着任何能够访问一个本地文件的客户端程序不需要做任何修改，就应该能够访问一个NFS文件。 NFS是一个使用SunRPC构造的客户端/效劳器应用程序，其客户端通过向一台NFS效劳器发送RPC请求来访问其中的文件。尽管这一工作可以使用一般的用户进程来实现，即NFS客户端可以是一个用户进程，对效劳器进行显式调用，而效劳器也可以是一个用户进程。因为两个理由，NFS一般不这样实现。首先访问一个NFS文件必须对客户端透明，因此NFS的客户端调用是由客户端操作系统代表用户进程来完成的；其次，出于效率的考虑，NFS效劳器在效劳器操作系统中实现。如果NFS效劳器是一个用户进程，每个客户端请求和效劳器应答〔包括读和写的数据〕将不得不在内核和用户进程之间进行切换，这个代价太大。第3版的NFS协议在1993年发布。 〔1〕访问一个本地文件还是一个NFS文件对于客户端来说是透明的，当文件被翻开时，由内核决定这一点。文件被翻开之后，内核将本地文件的所有引用传递给名为本地文件访问的框中，而将一个NFS文件的所有引用传递给名为NFS客户端的框中。 〔2〕NFS客户端通过其TCP/IP模块向NFS效劳器发送RPC请求，NFS主要使用UDP，最新的实现也可以使用TCP。 〔3〕NFS效劳器在端口2049接收作为UDP数据包的客户端请求，尽管NFS可以被实现为使用端口映射器，允许效劳器使用一个临时端口，但是大多数实现都是直接指定UDP端口2049。 〔4〕当NFS效劳器收到一个客户端请求时，它将这个请求传递给本地文件访问例程，然后访问效劳器主机上的一个本地的磁盘文件。 〔5〕NFS效劳器需要花一定的时间来处理一个客户端的请求，访问本地文件系统一般也需要一局部时间。在这段时间间隔内，效劳器不应该阻止其他客户端请求。为了实现这一功能，大多数的NFS效劳器都是多线程的--效劳器的内核中实际上有多个NFS效劳器在NFS本身的加锁管理程序中运行，具体实现依赖于不同的操作系统。既然大多数UNIX内核不是多线程的，一个共同的技术就是启动一个用户进程〔常被称为nfsd〕的多个实例。这个实例执行一个系统调用，使其作为一个内核进程保存在操作系统的内核中。 〔6〕在客户端主机上，NFS客户端需要花一定的时间来处理一个用户进程的请求。NFS客户端向效劳器主机发出一个RPC调用，然后等待效劳器的应答。为了给使用NFS的客户端主机上的用户进程提供更多的并发性，在客户端内核中一般运行着多个NFS客户端，同样具体实现也依赖于操作系统。 NFS效劳器面临的平安隐患 因为NFS在网络上明文传输所有信息，按照默认设置，NFS共享把根用户改成用户nfs