NFS identificatie - Linux en overige clients

donderdag 27 februari 2003 14:38

Acties:

Verwijderd

Topicstarter

Ik ben momenteel bezig een Linuxserver op te zetten (stage) waarbij allereerst onderzocht moet worden wat er precies geïnstalleerd gaat worden (betreffende applicaties, bestandssystemen, fileservers...etc.). Momenteel ben ik bezig te kiezen welk Netwerk File System het beste is en daarbij twijfel ik tussen NFS en Samba.

Na veel te hebben gelezen en de na- en voordelen van deze twee tegenover elkaar uit te hebben gezet ben ik één merkwaardig iets tegen gekomen:

[rml][ nfs] Is het nou zo onveilig of is dat een feature?[/rml]

Hier wordt gezegd dat NFS authenticeert op basis van slechts UID en NIET op basis van gebruikersnaam - wachtwoord! (Post: "Creepy"). Als je dan door redeneert klopt het inderdaad dat wanneer iemand zn laptop aan 't netwerk plugt en root op zijn laptop is (UID 0) dat hij door NFS ook als Root wordt gezien en zodoende root rechten heeft (UID 0).

Nu is voor mij de grote vraag, klopt het dat NFS authenticeert op basis van ALLEEN de UID?! Of checkt hij hierbij wel UID- PWD! Ik kan me haast NIET voorstellen dat NFS alleen UID checkt, maar wil het toch zeker weten...

donderdag 27 februari 2003 14:42

Acties:

Verwijderd

NFS doet authenticatie op basis van UID en ip address. Standaard word root gemapped naar user nobody, en moet je de optie no_root_squash meegeven per share (onder linux) om root te mappen naar uid 0. Wat imo veel belangrijker is in de keuze voor network filesystem is het type client wat je er aan wilt hangen. Als dit overwegend windows boxen zijn, dan is samba ideaal. NFS zou je sowiso alleen maar moeten gebruiken op netwerken die je volledig onder controle hebt.

[ Voor 4% gewijzigd door Verwijderd op 27-02-2003 14:43 ]

donderdag 27 februari 2003 14:47

Acties:

Verwijderd

NFS is inderdaad niet te doen met Windows- of Mac-omgevingen. Alleen met Unix is dat verantwoord. Wat r3boot hierboven zegt klopt, en als je écht met password wil authen, dan kan je makkelijker Samba nemen.

donderdag 27 februari 2003 14:57

Acties:

jep

Verwijderd schreef op 27 February 2003 @ 14:47:
NFS is inderdaad niet te doen met Windows- of Mac-omgevingen.

Toch draaien alle Dell Powervaults op win2k, en werkt NFS perfect. Toch wel een beetje te doen dus.

donderdag 27 februari 2003 15:00

Acties:

Verwijderd

jep schreef op 27 February 2003 @ 14:57:
[...]

Toch draaien alle Dell Powervaults op win2k, en werkt NFS perfect. Toch wel een beetje te doen dus.

Het kán technisch gezien wel, mar erg lekker werkt het IMO niet.. Maar laat de TS maar even melden hoe en wat in dat netwerk, dat maakt het makkelijker

offtopic:
Jep, de phpBB database van één van je klanten doet het niet!

(Galactica)

[ Voor 13% gewijzigd door Verwijderd op 27-02-2003 15:12 ]

donderdag 27 februari 2003 15:12

Acties:

Wilke

Als de omgeving gemixt is kun je het best beide ondersteunen volgens mij (dus Linux/UNIX-machines laten mounten als NFS, en Windows via samba).

Moet je wel goed opletten dat de rechten zo komen te staan dat zowel via NFS als SMB de bestanden van de juiste user worden en de juiste rechten hebben etc, maar het kan prima.

SMB is weer minder ideaal om onder Linux te gebruiken....maar als je clients eigenlijk allemaal Windows draaien, is Samba de 'way to go' zoals hierboven al wordt uitgelegd

donderdag 27 februari 2003 15:12

Acties:

Verwijderd

Topicstarter

ok dat is een heel duidelijk antwoord, thnx r3b00t.
Het zijn zowel windowscliënts als linuxcliënts, maar verreweg het meeste Windows. Het voordeel van NFS vond ik de snelheid en het is ook van buitenaf bereikbaar. Het klopt idd dat NFS totaal niet compatible is met Windows maar er bestaan diverse applicaties op de markt waarmee je in windows NFS kan bereiken/ gebruiken, niet onmogelijk dus. Nu is dit niet een oplossing die een schoonheidsprijs zal verdienen, maar toch de moeite waard om te onderzoeken.

Maar NFS is in dit geval niks wegens het feit dat gebruikers (leerlingen, schoolomgeving) veel plek wisselen en daarom niet aan een vast IP gekoppeld kunnen worden, wat weer als gevolg zou hebben dat het niet veilig is (zie post r3b00t).

Daarom lijkt Samba de beste oplossing.

Stel:
We zitten in een schoolomgeving met allemaal linuxclients (niet zeer waarschijnlijk, maar stel

) zou je dan WEL voor NFS kiezen? Volgens mij zit je dan nogsteeds met beveiligingsrisicos omdat je geen UID's aan IP's kan koppelen?

donderdag 27 februari 2003 15:15

Acties:

Verwijderd

Verwijderd schreef op 27 February 2003 @ 15:12:
Daarom lijkt Samba de beste oplossing.

Mee eens, goede keuze!

Stel:
We zitten in een schoolomgeving met allemaal linuxclients (niet zeer waarschijnlijk, maar stel ) zou je dan WEL voor NFS kiezen? Volgens mij zit je dan nogsteeds met beveiligingsrisicos omdat je geen UID's aan IP's kan koppelen?

Hangt ervanaf of mensen inloggen voor gebruik. Als ze dat doen is het redelijk makkelijk, je wijst andere UID's toe, zodat iedereen zijn eigen rechten heeft. Zo wordt er toch met passwords gewerkt

Als er één user steeds ingelogd staat, is het moeilijk om dit te realiseren lijkt me..

En daarbij komt nog eens: hoe belangrijk is snelheid bij die schoolsystemen? Voor een beetje tekst uitwisselen kan je best Unix <-> Unix met Samba doen, pas bij grote transfers ( > 150MB) wordt dat irritant..

[ Voor 15% gewijzigd door Verwijderd op 27-02-2003 15:17 ]

donderdag 27 februari 2003 15:23

Acties:

Verwijderd

Topicstarter

Maar dan zit je toch nogsteeds met een beveiligingsprobleem? Wanneer iemand op een client (/ergens op het netwerk) als root (UID 0) inlogd is hij ook op de server root (UID 0). (Dit is natuurlijk heel makkelijk met een laptop of knoppix.)

donderdag 27 februari 2003 15:37

Acties:

Loesje

UID 0 kan je standaard naar nobody laten mappen. Wat wel een probleem is dat scholieren UID's van andere scholieren kunnenn aannemen.

Is het bij jullie mogelijk om een eigen laptop aan het netwerk te hangen en knoppix te gebruiken? Dan is het niet echt handig, nee. Root-access heb je echter niet zomaar.

Leven is meervoud van lef

donderdag 27 februari 2003 15:44

Acties:

Verwijderd

Yorg, zie mijn post. Standaard word root gemapped naar nobody. Pas als je de optie no_root_squash defineerd voor een nfs export word uid0 (client) gelijk aan uid0 (server). Tevens, als je niet toestaat dat er externe devices worden aangesloten op het netwerk (laptops, pda's etc), zou je kunnen overwegen om een ldap database op te zetten waarin je alle users defineerd. Op die manier (er zijn nog een paar andere, nis en radius ter voorbeeld) kun je op een centrale manier uid's beheren.

[ Voor 49% gewijzigd door Verwijderd op 27-02-2003 15:50 ]

donderdag 27 februari 2003 16:14

Acties:

Verwijderd

Topicstarter

Ohja ok, ik snap. Maar dat wordt dus duidelijk Samba..

donderdag 27 februari 2003 16:28

Acties:

imdos

I use FreeNAS and Ubuntu

Er zijn nog andere topics hierover geweest met andere Network FS'en o.a. coda en andere varianten die wel een degelijke security hebben!!! Misschien is dat nog een optie

pvoutput. Waarom makkelijk doen, als het ook moeilijk kan! Every solution has a new problem