... eth0 Link encap:Ethernet HWaddr 00:60:8C:96:D5:56 inet addr:192.168.0.254 Bcast:192.168.0.255 Mask:255.255.255.0 UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:360315 errors:0 dropped:0 overruns:0 TX packets:179274 errors:0 dropped:0 overruns:0 Interrupt:10 Base address:0x320 ...
并且 netstat -rn 应该显示
Kernel routing table Destination Gateway Genmask Flags Metric Ref Use Iface ... 192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 174412 eth0 ...
（网络地址在第一列中）。

这些/etc/hosts.deny和/etc/hosts.allow文件在同名手册页中描述。

重要提示：不要在这些文件的 portmap 行中放入任何 IP NUMBER 以外的内容。主机名查找可能会间接导致 portmap 活动，这将触发主机名查找，这可能会间接导致 portmap 活动，这将触发...

nfs-utils 软件包的 0.2.0 及更高版本也使用hosts.allow和hosts.deny文件，因此您也应该在这些文件中放入 lockd、statd、mountd 和 rquotad 的条目。有关完整示例，请参见第 3.2.2 节。

以上操作应该使您的服务器更安全。唯一剩下的问题是，如果有人获得对您受信任的客户端机器之一的管理访问权限，并且能够发送伪造的 NFS 请求。下一节将讨论针对此问题的安全措施。

6.2. 服务器安全性：nfsd 和 mountd

在服务器上，我们可以决定不信任客户端上以 root 身份发出的任何请求。我们可以通过使用root_squash在/etc/exports:
/home slave1(rw,root_squash)

中的选项来实现。事实上，这是默认设置。除非您有非常好的理由关闭它，否则应该始终将其打开。要关闭它，请使用no_root_squash选项导出的，也可以写入这些文件。

现在，如果客户端上具有 UID 0（即 root 的用户 ID 号）的用户尝试访问（读取、写入、删除）文件系统，服务器会替换服务器“nobody”帐户的 UID。这意味着客户端上的 root 用户无法访问或更改只有服务器上的 root 才能访问或更改的文件。这很好，您可能应该在您导出的所有文件系统上使用root_squash。 “但是客户端上的 root 用户仍然可以使用 su 成为任何其他用户并访问和更改该用户的文件的！” 你说。对此的答案是：是的，这就是 Unix 和 NFS 的方式，而且必须如此。这有一个重要的含义：所有重要的二进制文件和文件都应该由 root 拥有，而不是 bin 或其他非 root 帐户，因为客户端 root 用户无法访问的唯一帐户是服务器的 root 帐户。在 exports(5) 手册页中，列出了几个其他的 squash 选项，以便您可以决定不信任客户端上的任何人。

TCP 端口 1-1024 保留供 root 使用（因此有时称为“安全端口”）。非 root 用户无法绑定这些端口。将secure选项添加到/etc/exports意味着它只会监听来自客户端上端口 1-1024 的请求，因此客户端上的恶意非 root 用户不能在非保留端口上打开欺骗的 NFS 对话。默认情况下会设置此选项。

6.3. 客户端安全

6.4. NFS 和防火墙（ipchains 和 netfilter）

IPchains（在 2.2.X 内核下）和 netfilter（在 2.4.x 内核下）提供了良好的安全级别 - 无需依赖守护程序（或其 TCP 包装器）来确定哪些计算机可以连接，连接尝试会在更低的级别被允许或禁止。在这种情况下，你可以更早、更全局地阻止连接，从而保护你免受各种攻击。

描述如何设置 Linux 防火墙超出了本文档的范围。感兴趣的读者可以阅读 Firewall-HOWTO 或 IPCHAINS-HOWTO。对于使用 2.4 及更高版本内核的用户，你可能需要访问 netfilter 网页：http://netfilter.filewatcher.org。如果你已经熟悉 ipchains 或 netfilter 的工作原理，本节将为你提供一些有关如何更好地设置 NFS 守护程序以更轻松地进行防火墙保护的技巧。

防火墙配置的一个好规则是拒绝所有连接，只允许一些连接 - 这有助于防止你意外地允许超出你预期的连接。

为了理解如何对 NFS 守护程序进行防火墙保护，简要回顾一下它们如何绑定到端口会有所帮助。

当守护程序启动时，它会向 portmapper 请求一个空闲端口。 portmapper 获取守护程序的端口并跟踪该守护程序当前使用的端口。当其他主机或进程需要与守护程序通信时，它们会从 portmapper 请求端口号以查找该守护程序。因此，端口将永久浮动，因为不同的端口可能在不同的时间空闲，因此 portmapper 每次都会以不同的方式分配它们。这对于设置防火墙来说是一个麻烦。如果你永远不知道守护程序将在哪里，那么你就不确切地知道允许访问哪些端口。对于许多在受保护或隔离的 LAN 上运行的人来说，这可能不是什么大问题。但是，对于那些在公共网络上的人来说，这太可怕了。

在内核 2.4.13 和更高版本以及 nfs-utils 0.3.3 或更高版本中，你不再需要担心 portmapper 中端口的浮动。现在，与 nfs 相关的所有守护程序都可以“固定”到某个端口。大多数守护程序在启动时都接受 -p 选项；由内核启动的那些守护程序需要一些内核参数或模块选项。下面将介绍它们。

通过 nfs 共享数据涉及的一些守护程序已经绑定到一个端口。 portmap 始终在端口 111 (tcp 和 udp) 上。 nfsd 始终在端口 2049 (TCP 和 UDP) 上（但是，从内核 2.4.17 开始，基于 TCP 的 NFS 被认为是实验性的，不适用于生产机器）。

其他守护程序，statd、mountd、lockd 和 rquotad，通常会移动到 portmapper 通知它们的第一个可用端口。

要强制 statd 绑定到特定端口，请使用-p 端口号选项。要强制 statd 在特定端口上响应，请在启动时额外使用-o 端口号选项。

要强制 mountd 绑定到特定端口，请使用-p 端口号选项。

例如，要使 statd 在端口 32765 上广播并在端口 32766 上侦听，以及使 mountd 在端口 32767 上侦听，你可以键入

# statd -p 32765 -o 32766
# mountd -p 32767

lockd 由内核在需要时启动。因此，你需要传递模块选项（如果它是作为模块构建的）或内核选项以强制 lockd 仅在某些端口上侦听和响应。

如果你使用的是可加载模块，并且想在你的/etc/modules.conf文件中指定这些选项，请向该文件添加如下一行

options lockd nlm_udpport=32768 nlm_tcpport=32768

上面这行将为 lockd 指定 udp 和 tcp 端口为 32768。

如果你没有使用可加载模块，或者如果你已将 lockd 编译到内核中而不是将其构建为模块，则需要在内核引导行上向其传递一个选项。

它应该看起来像这样

 vmlinuz 3 root=/dev/hda1 lockd.udpport=32768 lockd.tcpport=32768

端口号不必匹配，但如果不匹配，只会增加不必要的混乱。

如果你正在使用配额并使用 rpc.quotad 通过 nfs 使这些配额可查看，那么在设置防火墙时也需要将其考虑在内。有两个 rpc.rquotad 源代码树。其中一个维护在 nfs-utils 树中。另一个在 quota-tools 树中。它们的操作方式不一样。 nfs-utils 提供的那个支持使用-p指令将守护程序绑定到端口。 quota-tools 中的那个不支持。请查阅你的发行版的文档以确定你的发行版是否支持。

为了便于讨论，让我们描述一个网络并设置一个防火墙来保护我们的 nfs 服务器。我们的 nfs 服务器是 192.168.0.42，我们的客户端只有 192.168.0.45。如上面的示例中所示，已启动 statd，以便它仅绑定到端口 32765 以进行传入请求，并且必须在端口 32766 上响应。强制 mountd 绑定到端口 32767。 lockd 的模块参数已设置为绑定到 32768。当然，nfsd 在端口 2049 上，并且 portmapper 在端口 111 上。

我们没有使用配额。

使用 IPCHAINS，一个简单的防火墙可能看起来像这样

ipchains -A input -f -j ACCEPT -s 192.168.0.45
ipchains -A input -s 192.168.0.45 -d 0/0 32765:32768 -p 6 -j ACCEPT
ipchains -A input -s 192.168.0.45 -d 0/0 32765:32768 -p 17 -j ACCEPT
ipchains -A input -s 192.168.0.45 -d 0/0 2049 -p 17 -j ACCEPT
ipchains -A input -s 192.168.0.45 -d 0/0 2049 -p 6 -j ACCEPT
ipchains -A input -s 192.168.0.45 -d 0/0 111 -p 6 -j ACCEPT
ipchains -A input -s 192.168.0.45 -d 0/0 111 -p 17 -j ACCEPT
ipchains -A input -s 0/0 -d 0/0 -p 6 -j DENY -y -l
ipchains -A input -s 0/0 -d 0/0 -p 17 -j DENY -l

netfilter 中的等效命令集是

iptables -A INPUT -f -j ACCEPT -s 192.168.0.45
iptables -A INPUT -s 192.168.0.45 -d 0/0 32765:32768 -p 6 -j ACCEPT
iptables -A INPUT -s 192.168.0.45 -d 0/0 32765:32768 -p 17 -j ACCEPT
iptables -A INPUT -s 192.168.0.45 -d 0/0 2049 -p 17 -j ACCEPT
iptables -A INPUT -s 192.168.0.45 -d 0/0 2049 -p 6 -j ACCEPT
iptables -A INPUT -s 192.168.0.45 -d 0/0 111 -p 6 -j ACCEPT
iptables -A INPUT -s 192.168.0.45 -d 0/0 111 -p 17 -j ACCEPT
iptables -A INPUT -s 0/0 -d 0/0 -p 6 -j DENY --syn --log-level 5
iptables -A INPUT -s 0/0 -d 0/0 -p 17 -j DENY --log-level 5

第一行表示接受所有数据包片段（除了将被视为普通数据包的第一个数据包片段）。理论上，在重新组装之前，没有任何数据包会通过，并且除非通过第一个数据包片段，否则不会重新组装。当然，存在通过数据包片段使机器过载而产生的攻击。但是，除非你允许片段通过，否则 NFS 将无法正常工作。有关详细信息，请参见第 7.8 节。

其他行允许从客户端主机上的任何端口到服务器上已提供的特定端口的特定连接。这意味着，如果例如 192.158.0.46 尝试联系 NFS 服务器，它将无法挂载或查看有哪些挂载可用。

有了新的端口固定功能，显然更容易控制允许哪些主机挂载你的 NFS 共享。值得一提的是，NFS 不是加密协议，同一物理网络上的任何人都可能嗅探流量并重新组装来回传递的信息。