Re: [gentoo-user-de] "Sicherer" Ersatz für NFS

[Pablo Yanez Trujillo]

Hallo

auf der Uni haben wir ein ähnliches System, wie du aufbauen möchtest. Wir benutzen NFS und damit kommen wir prima zurecht.

Die HOMEs haben wir auf einem Server (der sich nur um die HOMEs kümmert) und die Clients mounten die HOMES per NFS. Das 
geschieht automatisch, wenn der Benutzer sich einloggt, wir benutzen net-fs/autofs und funktioniert echt zuverlässig.

Root auf den Client kann nicht auf die gemountete HOMES zugreifen. Wenn der Benutzer ein chmod 700 ~ gemacht hat oder 
so, dann kann keiner außer der Benutzer selber auf seine Daten zugreifen. Weitere Schutzmechanismen haben wir nicht, 
weil man sie selber mittels chmod einstellen kann.

Wir haben an sich keine Authentifizierung auf den NFS Server, aber nur Uni Rechner dürfen überhaupt etwas über NFS 
mounten. Dabei haben wir auf dem NFS Server folgendes:

/etc/hosts.deny:
cat /etc/hosts.deny
ALL:ALL EXCEPT localhost:DENY

und

/etc/hosts.allow:
sshd: .uni-freiburg.de
mountd: informatik.uni-freiburg.de
portmap: informatik.uni-freiburg.de

damit können nur unsere Clients etwas über NFS mounten.

Da wir sehr viele Clients (mind. 200 über die ganze Fakultät) die auf diese HOMES zugreifen, haben wir eine zentrale 
/etc/groups, /etc/passwd, /etc/shadow, die auf jedem Client gleich ist. Diese Dateien werden in 15 Minuten Takt überall 
verteilt und somit haben wir auch keine Probleme mit den Rechten auf den Clients.

Somit ist es möglich verschiedene Systeme zur Userverwaltung benutzt werden. Momentan benutzen wir eine Eigenentwicklung 
(basiert auf Oracle Datenbanken, glaub ich), aber ein LDAP Einsatz ist nach wie vor möglich. Ich hatte vor letztes Jahr 
in LDAP umzusteigen, aber am Ende hat es sich nicht durchgesetzt.

Im Rechenzentrum unser Uni haben wir LDAP für die Benutzerverwaltung und auch einen NFS + autofs Lösung und die scheint 
gut zu funktionieren (ich habe mit dem Rechenzentrum nichts zu tun, deswegen kenn ich keine weitere Details).

Ich hoffe, ich konnte dir helfen, vielleicht ist ein Umstieg von NFS auf OpenAFS gar nicht nötig.

Gruss
Pablo

Pablo Yánez Trujillo
http://klingsor.informatik.uni-freiburg.de/


Fabian Steiner wrote:
> Hallo!
>
> Erstmal einige Infos vorweg:
> Ich administriere zusammen mit zwei weiteren Lehrern die rund 30
> Linux-Rechner an unserer Schule. Im Moment läuft die Benutzerverwaltung
> auf einem eher unkonventionellen, aber gut funktionierendem Weg auf
> Basis selbstgestrickter Skripte und Programme. Die Home-Verzeichnisse
> der Benutzer werden dabei mittels NFS vom Server exportiert und bei den
> Clients eingebunden.
> Im Rahmen einiger Neuerungen wollen wir zukünftig eine mehr oder weniger
> standardisierte Lösung einsetzen, wobei uns insbesondere OpenLDAP
> anspricht. Nun suchen wir jedoch einen "sicheren" Ersatz für NFS und
> dies ist der Punkt, wo ihr ins Spiel kommt ;-)
>
> Dabei sollen vor allem folgende Punkte sichergestellt werden:
> -> es soll eine Authentifizierung der Maschine stattfinden, d.h. darf
> der jeweilige Rechner sich überhaupt in das Schulnetz einhängen
> -> wenn möglich, sollte nur bei Bedarf etwas gemountet werden, d.h.
> meldet sich Schüler XYZ an, soll das Homeverzeichnis von XYZ gemountet
> werden
> -> lokaler root sollte keinen Zugriff bzw. kaum Rechte auf den Export
> haben (ähnlich wie bei NFS: root_squash/no_root_squash)
>
> Wir haben uns natürlich schon etwas informiert, sind jedoch nur auf
> OpenAFS gestoßen, was ansich zwar nett aussieht, aber auch viele
> zusätzliche Baustellen mit ins Boot zieht (Kerberos, etc.), was wir
> eigentlich vermeiden möchten. Zudem scheint es, als ob man in diesem
> Fall um eine zweifach vorhandene Benutzerverwaltung nicht herumkommt,
> was wir unter allen Umständen vermeiden möchte, da dies den
> Administrationsaufwand erheblich steigert.
>
> Kennt jemand noch andere Alternativen, die sich für einen solchen Fall
> anbieten würden?
>
> Vielen Dank schon mal für eure Antworten!
>
> Viele Grüße,
> Fabian Steiner
-- 
gentoo-user-de@g.o mailing list