万字吃透NFS服务原理详解CentOS7实战部署全程标签#NFS #网络文件系统 #Linux运维 #集群存储 #实战教程简介NFS是企业内网、服务器集群中最常用的轻量级共享存储方案部署简单、稳定性高、跨平台性强。本文从零梳理NFS核心原理、版本差异、优缺点及应用场景搭配完整CentOS7环境实操部署、权限测试、持久化挂载实战零基础也能轻松落地。一、NFS服务核心概述1.1 什么是NFSNFSNetwork File System网络文件系统是一款经典的跨主机文件共享协议诞生于20世纪80年代由Sun Microsystems公司研发。其核心核心价值实现跨设备、跨系统的透明文件共享。客户端可将远程NFS服务器的共享目录挂载到本地操作远程文件的方式和读写本地磁盘完全一致极大简化了集群、内网环境的数据共享与统一管理。目前NFS是Linux集群、Web集群、企业内网文件共享、嵌入式设备交互的主流轻量存储方案。1.2 NFS起源与版本迭代对比NFS最初专为UNIX系统跨机文件共享设计凭借架构简洁、部署便捷、跨平台兼容的优势快速成为行业通用标准历经多次版本迭代目前主流使用NFSv3和NFSv4。NFSv3生产主流无状态协议服务器不保存客户端连接状态容错性强、故障恢复简单同时支持UDP/TCP传输协议适配各类内网环境支持超大文件传输性能稳定、兼容性极佳架构轻量化资源占用低运维成本极低NFSv4新一代版本摒弃传统RPC多端口机制统一单端口通信防火墙配置更简单升级为状态化连接配套完善的文件锁机制规避多客户端数据冲突原生支持Kerberos安全认证解决旧版本安全性短板适配复杂网络、云环境、公网场景安全性与稳定性大幅提升1.3 NFS核心架构C/S架构NFS采用标准的客户端-服务器架构结构简单清晰分工明确服务端NFS-Server核心存储节点负责本地目录共享、权限管控、响应客户端请求。通过专属守护进程监听网络请求处理客户端的文件读写、创建、删除等操作是共享资源的核心载体。客户端NFS-Client无需复杂配置仅需安装工具包通过挂载命令将服务端共享目录关联到本地。挂载后远程目录完全融入本地文件系统用户无需感知文件真实存储位置。1.4 NFS工作原理RPC机制核心NFS本身不具备独立的端口通信能力所有通信均依赖RPC远程过程调用机制实现完整工作流程分为5个核心步骤服务注册NFS服务端启动后主动向RPC服务注册自身功能与通信端口等待客户端调用。端口查询客户端启动后先向RPC服务查询NFS的工作端口获取端口信息。连接挂载客户端向NFS服务端发起挂载请求服务端校验客户端IP、权限合法性。数据交互挂载成功后客户端所有文件操作都会转化为RPC远程调用服务端执行操作并返回结果。权限控制服务端依托系统UID/GID用户权限结合共享配置规则管控客户端访问权限。1.5 传输特性、优势与局限性核心传输特性无状态性NFSv3及以下版本无状态故障重启后无需恢复会话直接重连即可使用容错性优秀。双协议兼容UDP低延迟、低开销适配实时性场景TCP可靠传输、支持大数据量为现代环境默认协议。NFS核心优势访问透明远程文件访问体验与本地完全一致零学习成本。跨平台性强支持Linux、UNIX、macOS等主流系统适配多系统组网。高效轻量化传输效率高、资源占用少满足绝大多数内网共享需求。运维简单配置文件简洁、命令易懂集中管理难度低。NFS局限性早期版本安全性弱NFSv3无原生加密与强认证机制易被监听、伪造需配合防火墙、VPN加固。网络依赖度高网络延迟、丢包会直接影响传输速度与服务稳定性。多客户端锁机制复杂多节点同时读写同一文件时配置不当易出现数据不一致问题。1.6 典型应用场景企业内网文件共享共享办公文档、软件安装包、资源文件实现团队协同访问。服务器集群存储为Web集群、数据库集群提供统一共享存储保证多节点数据一致性。嵌入式设备交互路由器、网络存储设备等嵌入式设备通过NFS实现与服务器的数据交互。二、实验环境规划基于CentOS7系统克隆3台服务器搭建NFS集群实验环境节点规划如下节点名称IP地址核心作用nfs-server10.1.8.20/24NFS服务端提供共享存储目录nfs-client110.1.8.21/24NFS客户端挂载共享目录测试nfs-client210.1.8.22/24NFS客户端多节点同步测试三、全套实战部署流程3.1 环境初始化所有节点执行修改主机名、配置静态IP保证节点网络互通1nfs-server节点配置# 修改主机名执行bash刷新当前终端让主机名立刻显示生效[rootserver ~18:24:46]# hostnamectl set-hostname nfs-server[rootserver ~18:25:06]# bash# 配置静态IP[rootnfs-server ~18:25:09]# nmcli connection modify ens33 ipv4.method manual ipv4.addresses 10.1.8.20/24 ipv4.gateway 10.1.8.2 ipv4.dns 10.1.8.2 autoconnect yes# 重启网卡生效[rootnfs-server ~18:27:35]# nmcli connection up ens33# 查询修改后的ip[rootnfs-server ~18:27:45]# ip -br alo UNKNOWN127.0.0.1/8 ::1/128 ens33 UP10.1.8.20/24 fe80::76d6:7ba1:73c9:e084/64 virbr0 DOWN192.168.122.1/24 virbr0-nic DOWN2nfs-client1节点配置[rootserver ~18:29:00]# hostnamectl set-hostname nfs-client1[rootserver ~18:30:15]# bash[rootnfs-client1 ~18:30:17]# nmcli connection modify ens33 ipv4.method manual ipv4.addresses 10.1.8.21/24 ipv4.gateway 10.1.8.2 ipv4.dns 10.1.8.2 autoconnect yes[rootnfs-client1 ~18:31:18]# nmcli connection up ens33[rootnfs-client1 ~18:31:42]# ip -br alo UNKNOWN127.0.0.1/8 ::1/128 ens33 UP10.1.8.21/24 fe80::76d6:7ba1:73c9:e084/64 fe80::76f9:10cf:1511:e48a/64 virbr0 DOWN192.168.122.1/24 virbr0-nic DOWN3nfs-client2节点配置[rootserver ~18:34:13]# hostnamectl set-hostname nfs-client2[rootserver ~18:34:52]# bash[rootnfs-client2 ~18:34:54]# nmcli connection modify ens33 ipv4.method manual ipv4.addresses 10.1.8.22/24 ipv4.gateway 10.1.8.2 ipv4.dns 10.1.8.2 autoconnect yes[rootnfs-client2 ~18:36:00]# nmcli connection up ens33[rootnfs-client2 ~18:36:10]# ip -br alo UNKNOWN127.0.0.1/8 ::1/128 ens33 UP10.1.8.22/24 fe80::76f9:10cf:1511:e48a/64 fe80::76d6:7ba1:73c9:e084/64 fe80::4679:5086:6522:a6a8/64 virbr0 DOWN192.168.122.1/24 virbr0-nic DOWN[rootnfs-client2 ~18:36:13]#3.2 服务端部署配置nfs-server1安装依赖包NFS服务依赖nfs-utils工具包同时安装httpd用于后续网页共享测试[rootnfs-server ~18:42:06]# yum -y install httpd nfs-utils2创建共享目录并授权# 创建共享目录[rootnfs-server ~18:42:17]# mkdir -p /shares/webapp# 授权apache用户拥有目录权限适配网页服务[rootnfs-server ~18:46:42]# chown apache /shares/webapp# 查询apache的uid和gid后续服务端也使用该# [rootnfs-server ~ 19:22:37]# id apacheuid48(apache)gid48(apache)组48(apache)注意NFS 默认依靠 UID、GID 数字值 校验文件权限不识别用户名 / 组名。服务端存储文件时记录的是创建者数字 UID/GID客户端操作文件时传递本机当前用户的数字 UID/GID服务端对比数字判断读写权限和两边用户名是否相同无关。3启动并设置开机自启[rootnfs-server ~18:47:09]# systemctl enable nfs-server.service --now# 查看nfs服务状态[rootnfs-server ~18:48:42]# systemctl status nfs-server.service4配置防火墙放行规则放行NFS、RPC绑定、挂载服务端口保证客户端正常连接# 临时生效[rootnfs-server ~18:49:04]# firewall-cmd --add-servicenfs --add-servicemountd --add-servicerpc-bind# 永久生效[rootnfs-server ~18:51:11]# firewall-cmd --add-servicenfs --add-servicemountd --add-servicerpc-bind --permanent5NFS核心配置/etc/exportsNFS主配置文件/etc/exports同时支持/etc/exports.d/*.exports子配置文件推荐子文件配置避免误修改主配置。配置语法共享目录 客户端地址(权限参数)常用权限参数rw读写权限默认ro只读no_root_squash不压制客户端root权限默认root_squash客户端root会被压制为nobody用户配置示例配置写法中文解析示例主机名DNS 可解析指定单个客户端必须能通过 DNS 反向解析到/shares/webapp nfs-client1.laofang.cloud主机名 通配符\*匹配整个域下的所有主机*代表任意字符/shares/webapp *.laofang.cloud单个 IPv4 地址精确指定某一台客户端 IP/shares/webapp 10.1.8.21IPv4 网段CIDR允许整个子网访问最常用写法/shares/webapp 10.1.8.0/24IPv4 网段掩码用子网掩码表示网段效果同 CIDR/shares/webapp 10.1.8.0/255.255.255.0单个 IPv6 地址精确指定某台 IPv6 客户端/shares/webapp fde2:6494:1e09:2::20IPv6 网段允许整个 IPv6 子网访问/shares/webapp fde2:6494:1e09:2::/64多客户端空格分隔一行同时指定多个客户端混合写法都行/shares/webapp 10.1.8.0/24 client.laofang.cloud *.example.net编辑配置文件允许全网段客户端读写访问[rootnfs-server ~18:56:52]# vim /etc/exports# 写入配置/shares/webapp10.1.8.0/24(rw)6重载配置并查看共享状态# 修改文件后有3个命令可以执行重新加载配置文件# 重载配置仅更新修改过的共享不打印详情适合日常改配置后刷新[rootnfs-server ~18:58:16]# exportfs -r# -a:加载/etc/exports /etc/exports.d/*.exports 中所有共享配置生效全部共享;-v:打印完整执行过程、每条共享目录、配套权限参数[rootnfs-server ~18:59:52]# exportfs -avexporting10.1.8.0/24:/shares/webapp# 重新加载配置文件[rootnfs-server ~19:00:03]# systemctl reload nfs-server# 查看简洁共享列表[rootnfs-server ~19:00:34]# exportfs/shares/webapp10.1.8.0/24# -v选项列出导出项包括缺省选项[rootnfs-server ~19:05:28]# exportfs -v/shares/webapp10.1.8.0/24(sync,wdelay,hide,no_subtree_check,secsys,rw,secure,root_squash,no_all_squash)NFS 默认导出参数完整释义表参数详细含义配套反向参数生产使用建议sync同步写入模式客户端下发写请求后服务端必须将数据真正写入物理磁盘才返回操作成功。断电 / 宕机不会丢失文件数据。async异步写入先写缓存再落盘速度快但有丢数据风险生产环境强制保留数据优先场景禁用 asyncwdelay写延迟合并收集短时间内多个小型 IO 写入请求批量一次性落盘减少磁盘寻道次数提升硬盘性能。no_wdelay不合并每次写直接刷盘IO 开销大内网文件共享默认开启大量高并发小文件可关闭hide子挂载隐藏若共享目录内部还有其他分区 / 磁盘挂载点客户端挂载后看不到内部挂载的内容。nohide客户端可见共享目录内所有子挂载磁盘Web 站点、普通文件共享推荐开启多 LUN 嵌套共享用 nohideno_subtree_check关闭子树校验NFS 默认会校验文件是否在共享目录子树内关闭后跳过校验降低 CPU 开销、提升访问速度。subtree_check开启子树校验严格限制文件路径绝大多数业务保留 no_subtree_check严格权限隔离场景开启 subtree_checksecsys认证方式使用系统 UID/GID 身份认证依靠客户端传递的用户 ID 做权限判断无需额外密码 / 证书。seckrb5/krb5iKerberos 加密认证内网局域网默认公网、高安全环境改用 Kerberosrw读写权限允许客户端对共享目录读、新建、修改、删除文件。不写 rw 则默认 ro 只读ro仅只读无法修改文件需要业务写入添加静态资源共享只用 rosecure端口限制仅允许客户端使用1024 以上非特权端口发起挂载请求防止低端口伪造攻击insecure允许 1024 以下特权端口连接内网默认开启部分老旧嵌入式客户端需加 insecureroot_squashroot 压缩核心安全参数客户端 root 用户访问共享时自动映射为服务端 nobody 匿名用户禁止客户端 root 篡改服务端文件。no_root_squash不映射客户端 root 等同于服务端 root生产环境默认开启严禁随意删除仅测试环境临时关闭no_all_squash普通用户不压缩客户端普通 UID/GID 用户保持原有身份映射到服务端文件权限正常继承。all_squash所有用户含普通用户全部压缩为 nobody业务站点、多用户共享保留公共匿名下载目录使用 all_squash补充关键总结不带任何自定义参数时NFS 会自动加载上面一整套默认配置root_squash是 NFS 最核心安全防护开启后能避免客户端 root 越权破坏存储sync是数据安全保障追求速度使用async会存在宕机丢文件隐患若需要修改其中某一项规则直接在/etc/exports括号内覆盖即可。3.3 客户端挂载与权限测试1客户端通用配置client1、client2均执行# 安装工具包[rootnfs-client1 ~18:41:20]# yum -y install httpd nfs-utils# 启动网页服务,同时查看状态[rootnfs-client1 ~19:16:04]# systemctl enable httpd --now[rootnfs-client1 ~19:17:45]# systemctl status httpd# 防火墙放行[rootnfs-client1 ~19:23:15]# firewall-cmd --add-servicehttp --add-servicemountd --add-servicenfs --add-servicerpc-bind[rootnfs-client1 ~19:20:39]# firewall-cmd --add-servicehttp --add-servicemountd --add-servicenfs --add-servicerpc-bind --permanent# 临时关闭 SELinux 安全强制模式切换为宽容模式Permissive[rootnfs-client1 ~19:24:44]# setenforce 0# 查看apache用户UID/GID保证权限一致[rootnfs-client1 ~19:23:26]# id apacheuid48(apache)gid48(apache)组48(apache)2nfs-client1挂载测试# 查询服务端共享资源[rootnfs-client1 ~19:49:53]# showmount -e 10.1.8.20Export listfor10.1.8.20: /shares/webapp10.1.8.0/24# 挂载远程目录到本地网页根目录[rootnfs-client1 ~19:51:26]# mount -t nfs 10.1.8.20:/shares/webapp /var/www/html[rootnfs-client1 ~19:53:02]# df -hT /var/www/html文件系统 类型 容量 已用 可用 已用% 挂载点10.1.8.20:/shares/webapp nfs4 50G9.0G 42G18% /var/www/html访问测试权限测试默认root_squash# 客户端root用户无法创建文件权限压制[rootnfs-client1 ~19:53:11]# touch /var/www/html/root-1touch: 无法创建/var/www/html/root-1:权限不够# 切换apache用户可正常创建文件[rootnfs-client1 ~19:54:30]# su -l -s /bin/bash apache-bash-4.2$echoapache webapp/var/www/html/web.html3服务端修改权限开启no_root_squash取消客户端root权限压制允许root用户直接操作共享文件[rootnfs-server ~22:27:27]# vim /etc/exports# 修改配置/shares/webapp10.1.8.0/24(rw,no_root_squash)# 重载配置[rootnfs-server ~22:30:33]# systemctl reload nfs-server.service# 验证权限参数[rootnfs-server ~22:30:54]# exportfs -v/shares/webapp10.1.8.0/24(sync,wdelay,hide,no_subtree_check,secsys,rw,secure,no_root_squash,no_all_squash)权限复测# 客户端root可正常创建文件[rootnfs-client1 ~22:29:55]# touch /var/www/html/root-f1[rootnfs-client1 ~22:32:20]# ls /var/www/htmlroot-f1 web.html4nfs-client2挂载同步测试# 查询共享[rootnfs-client2 ~22:37:41]# showmount -e 10.1.8.20Export listfor10.1.8.20: /shares/webapp10.1.8.0/24# 挂载目录[rootnfs-client2 ~22:38:35]# mount -t nfs 10.1.8.20:/shares/webapp /var/www/html/# 查看挂载[rootnfs-client2 ~22:38:42]# df -hT /var/www/html/文件系统 类型 容量 已用 可用 已用% 挂载点10.1.8.20:/shares/webapp nfs4 50G9.0G 42G18% /var/www/html多节点数据同步验证在client1创建文件client2实时查看验证共享存储一致性# client1执行[rootnfs-client1 ~22:40:23]# touch /var/www/html/xiyangyang[rootnfs-client1 ~22:41:49]# echo haha /var/www/html/index.html# client2查看可同步看到所有文件[rootnfs-client2 ~22:38:49]# ls -l /var/www/html总用量8-rw-r--r--.1root root58月622:42 index.html -rw-r--r--.1root root08月622:32 root-f1 -rw-r--r--.1apache apache148月619:55 web.html -rw-r--r--.1root root08月622:41 xiyangyang实验结论多客户端挂载同一NFS共享目录数据实时同步可实现集群节点数据统一。3.4 永久挂载配置开机自动挂载临时挂载重启失效需写入/etc/fstab实现持久化挂载两个客户端均配置[rootnfs-client2 ~22:43:12]# vim /etc/fstab# 末尾添加_netdev(正规 NFS 常用_netdev重点标记该挂载依赖网络系统等网卡就绪后再挂载 NFS)10.1.8.20:/shares/webapp /var/www/html nfs defaults,_netdev00重启验证# 两台客户端重启[rootnfs-client2 ~22:48:54]# reboot# 重启后查看自动挂载状态[rootnfs-client2 ~22:49:59]# df -hT /var/www/html文件系统 类型 容量 已用 可用 已用% 挂载点10.1.8.20:/shares/webapp nfs4 50G9.0G 42G18% /var/www/html挂载自动生效实验全部完成。四、核心总结NFS依托RPC协议实现跨主机文件共享架构简单、部署便捷是内网集群最优轻量存储方案NFSv3稳定兼容、NFSv4安全高效生产环境可根据安全需求灵活选择版本root_squash是NFS核心安全机制默认压制客户端root权限生产环境不建议随意开启no_root_squash集群场景下NFS可实现多节点数据统一同步广泛用于Web集群、内网文件共享场景reboot重启后查看自动挂载状态[rootnfs-client2 ~ 22:49:59]# df -hT /var/www/html文件系统 类型 容量 已用 可用 已用% 挂载点10.1.8.20:/shares/webapp nfs4 50G 9.0G 42G 18% /var/www/html挂载自动生效实验全部完成。 # 四、核心总结 1. NFS依托RPC协议实现跨主机文件共享架构简单、部署便捷是内网集群最优轻量存储方案 2. NFSv3稳定兼容、NFSv4安全高效生产环境可根据安全需求灵活选择版本 3. root_squash 是NFS核心安全机制默认压制客户端root权限生产环境不建议随意开启 no_root_squash 4. 集群场景下NFS可实现多节点数据统一同步广泛用于Web集群、内网文件共享场景 5. 生产环境需配合防火墙、权限管控、定期巡检弥补NFS原生安全性短板。
万字吃透NFS服务原理详解CentOS7实战部署全程标签#NFS #网络文件系统 #Linux运维 #集群存储 #实战教程简介NFS是企业内网、服务器集群中最常用的轻量级共享存储方案部署简单、稳定性高、跨平台性强。本文从零梳理NFS核心原理、版本差异、优缺点及应用场景搭配完整CentOS7环境实操部署、权限测试、持久化挂载实战零基础也能轻松落地。一、NFS服务核心概述1.1 什么是NFSNFSNetwork File System网络文件系统是一款经典的跨主机文件共享协议诞生于20世纪80年代由Sun Microsystems公司研发。其核心核心价值实现跨设备、跨系统的透明文件共享。客户端可将远程NFS服务器的共享目录挂载到本地操作远程文件的方式和读写本地磁盘完全一致极大简化了集群、内网环境的数据共享与统一管理。目前NFS是Linux集群、Web集群、企业内网文件共享、嵌入式设备交互的主流轻量存储方案。1.2 NFS起源与版本迭代对比NFS最初专为UNIX系统跨机文件共享设计凭借架构简洁、部署便捷、跨平台兼容的优势快速成为行业通用标准历经多次版本迭代目前主流使用NFSv3和NFSv4。NFSv3生产主流无状态协议服务器不保存客户端连接状态容错性强、故障恢复简单同时支持UDP/TCP传输协议适配各类内网环境支持超大文件传输性能稳定、兼容性极佳架构轻量化资源占用低运维成本极低NFSv4新一代版本摒弃传统RPC多端口机制统一单端口通信防火墙配置更简单升级为状态化连接配套完善的文件锁机制规避多客户端数据冲突原生支持Kerberos安全认证解决旧版本安全性短板适配复杂网络、云环境、公网场景安全性与稳定性大幅提升1.3 NFS核心架构C/S架构NFS采用标准的客户端-服务器架构结构简单清晰分工明确服务端NFS-Server核心存储节点负责本地目录共享、权限管控、响应客户端请求。通过专属守护进程监听网络请求处理客户端的文件读写、创建、删除等操作是共享资源的核心载体。客户端NFS-Client无需复杂配置仅需安装工具包通过挂载命令将服务端共享目录关联到本地。挂载后远程目录完全融入本地文件系统用户无需感知文件真实存储位置。1.4 NFS工作原理RPC机制核心NFS本身不具备独立的端口通信能力所有通信均依赖RPC远程过程调用机制实现完整工作流程分为5个核心步骤服务注册NFS服务端启动后主动向RPC服务注册自身功能与通信端口等待客户端调用。端口查询客户端启动后先向RPC服务查询NFS的工作端口获取端口信息。连接挂载客户端向NFS服务端发起挂载请求服务端校验客户端IP、权限合法性。数据交互挂载成功后客户端所有文件操作都会转化为RPC远程调用服务端执行操作并返回结果。权限控制服务端依托系统UID/GID用户权限结合共享配置规则管控客户端访问权限。1.5 传输特性、优势与局限性核心传输特性无状态性NFSv3及以下版本无状态故障重启后无需恢复会话直接重连即可使用容错性优秀。双协议兼容UDP低延迟、低开销适配实时性场景TCP可靠传输、支持大数据量为现代环境默认协议。NFS核心优势访问透明远程文件访问体验与本地完全一致零学习成本。跨平台性强支持Linux、UNIX、macOS等主流系统适配多系统组网。高效轻量化传输效率高、资源占用少满足绝大多数内网共享需求。运维简单配置文件简洁、命令易懂集中管理难度低。NFS局限性早期版本安全性弱NFSv3无原生加密与强认证机制易被监听、伪造需配合防火墙、VPN加固。网络依赖度高网络延迟、丢包会直接影响传输速度与服务稳定性。多客户端锁机制复杂多节点同时读写同一文件时配置不当易出现数据不一致问题。1.6 典型应用场景企业内网文件共享共享办公文档、软件安装包、资源文件实现团队协同访问。服务器集群存储为Web集群、数据库集群提供统一共享存储保证多节点数据一致性。嵌入式设备交互路由器、网络存储设备等嵌入式设备通过NFS实现与服务器的数据交互。二、实验环境规划基于CentOS7系统克隆3台服务器搭建NFS集群实验环境节点规划如下节点名称IP地址核心作用nfs-server10.1.8.20/24NFS服务端提供共享存储目录nfs-client110.1.8.21/24NFS客户端挂载共享目录测试nfs-client210.1.8.22/24NFS客户端多节点同步测试三、全套实战部署流程3.1 环境初始化所有节点执行修改主机名、配置静态IP保证节点网络互通1nfs-server节点配置# 修改主机名执行bash刷新当前终端让主机名立刻显示生效[rootserver ~18:24:46]# hostnamectl set-hostname nfs-server[rootserver ~18:25:06]# bash# 配置静态IP[rootnfs-server ~18:25:09]# nmcli connection modify ens33 ipv4.method manual ipv4.addresses 10.1.8.20/24 ipv4.gateway 10.1.8.2 ipv4.dns 10.1.8.2 autoconnect yes# 重启网卡生效[rootnfs-server ~18:27:35]# nmcli connection up ens33# 查询修改后的ip[rootnfs-server ~18:27:45]# ip -br alo UNKNOWN127.0.0.1/8 ::1/128 ens33 UP10.1.8.20/24 fe80::76d6:7ba1:73c9:e084/64 virbr0 DOWN192.168.122.1/24 virbr0-nic DOWN2nfs-client1节点配置[rootserver ~18:29:00]# hostnamectl set-hostname nfs-client1[rootserver ~18:30:15]# bash[rootnfs-client1 ~18:30:17]# nmcli connection modify ens33 ipv4.method manual ipv4.addresses 10.1.8.21/24 ipv4.gateway 10.1.8.2 ipv4.dns 10.1.8.2 autoconnect yes[rootnfs-client1 ~18:31:18]# nmcli connection up ens33[rootnfs-client1 ~18:31:42]# ip -br alo UNKNOWN127.0.0.1/8 ::1/128 ens33 UP10.1.8.21/24 fe80::76d6:7ba1:73c9:e084/64 fe80::76f9:10cf:1511:e48a/64 virbr0 DOWN192.168.122.1/24 virbr0-nic DOWN3nfs-client2节点配置[rootserver ~18:34:13]# hostnamectl set-hostname nfs-client2[rootserver ~18:34:52]# bash[rootnfs-client2 ~18:34:54]# nmcli connection modify ens33 ipv4.method manual ipv4.addresses 10.1.8.22/24 ipv4.gateway 10.1.8.2 ipv4.dns 10.1.8.2 autoconnect yes[rootnfs-client2 ~18:36:00]# nmcli connection up ens33[rootnfs-client2 ~18:36:10]# ip -br alo UNKNOWN127.0.0.1/8 ::1/128 ens33 UP10.1.8.22/24 fe80::76f9:10cf:1511:e48a/64 fe80::76d6:7ba1:73c9:e084/64 fe80::4679:5086:6522:a6a8/64 virbr0 DOWN192.168.122.1/24 virbr0-nic DOWN[rootnfs-client2 ~18:36:13]#3.2 服务端部署配置nfs-server1安装依赖包NFS服务依赖nfs-utils工具包同时安装httpd用于后续网页共享测试[rootnfs-server ~18:42:06]# yum -y install httpd nfs-utils2创建共享目录并授权# 创建共享目录[rootnfs-server ~18:42:17]# mkdir -p /shares/webapp# 授权apache用户拥有目录权限适配网页服务[rootnfs-server ~18:46:42]# chown apache /shares/webapp# 查询apache的uid和gid后续服务端也使用该# [rootnfs-server ~ 19:22:37]# id apacheuid48(apache)gid48(apache)组48(apache)注意NFS 默认依靠 UID、GID 数字值 校验文件权限不识别用户名 / 组名。服务端存储文件时记录的是创建者数字 UID/GID客户端操作文件时传递本机当前用户的数字 UID/GID服务端对比数字判断读写权限和两边用户名是否相同无关。3启动并设置开机自启[rootnfs-server ~18:47:09]# systemctl enable nfs-server.service --now# 查看nfs服务状态[rootnfs-server ~18:48:42]# systemctl status nfs-server.service4配置防火墙放行规则放行NFS、RPC绑定、挂载服务端口保证客户端正常连接# 临时生效[rootnfs-server ~18:49:04]# firewall-cmd --add-servicenfs --add-servicemountd --add-servicerpc-bind# 永久生效[rootnfs-server ~18:51:11]# firewall-cmd --add-servicenfs --add-servicemountd --add-servicerpc-bind --permanent5NFS核心配置/etc/exportsNFS主配置文件/etc/exports同时支持/etc/exports.d/*.exports子配置文件推荐子文件配置避免误修改主配置。配置语法共享目录 客户端地址(权限参数)常用权限参数rw读写权限默认ro只读no_root_squash不压制客户端root权限默认root_squash客户端root会被压制为nobody用户配置示例配置写法中文解析示例主机名DNS 可解析指定单个客户端必须能通过 DNS 反向解析到/shares/webapp nfs-client1.laofang.cloud主机名 通配符\*匹配整个域下的所有主机*代表任意字符/shares/webapp *.laofang.cloud单个 IPv4 地址精确指定某一台客户端 IP/shares/webapp 10.1.8.21IPv4 网段CIDR允许整个子网访问最常用写法/shares/webapp 10.1.8.0/24IPv4 网段掩码用子网掩码表示网段效果同 CIDR/shares/webapp 10.1.8.0/255.255.255.0单个 IPv6 地址精确指定某台 IPv6 客户端/shares/webapp fde2:6494:1e09:2::20IPv6 网段允许整个 IPv6 子网访问/shares/webapp fde2:6494:1e09:2::/64多客户端空格分隔一行同时指定多个客户端混合写法都行/shares/webapp 10.1.8.0/24 client.laofang.cloud *.example.net编辑配置文件允许全网段客户端读写访问[rootnfs-server ~18:56:52]# vim /etc/exports# 写入配置/shares/webapp10.1.8.0/24(rw)6重载配置并查看共享状态# 修改文件后有3个命令可以执行重新加载配置文件# 重载配置仅更新修改过的共享不打印详情适合日常改配置后刷新[rootnfs-server ~18:58:16]# exportfs -r# -a:加载/etc/exports /etc/exports.d/*.exports 中所有共享配置生效全部共享;-v:打印完整执行过程、每条共享目录、配套权限参数[rootnfs-server ~18:59:52]# exportfs -avexporting10.1.8.0/24:/shares/webapp# 重新加载配置文件[rootnfs-server ~19:00:03]# systemctl reload nfs-server# 查看简洁共享列表[rootnfs-server ~19:00:34]# exportfs/shares/webapp10.1.8.0/24# -v选项列出导出项包括缺省选项[rootnfs-server ~19:05:28]# exportfs -v/shares/webapp10.1.8.0/24(sync,wdelay,hide,no_subtree_check,secsys,rw,secure,root_squash,no_all_squash)NFS 默认导出参数完整释义表参数详细含义配套反向参数生产使用建议sync同步写入模式客户端下发写请求后服务端必须将数据真正写入物理磁盘才返回操作成功。断电 / 宕机不会丢失文件数据。async异步写入先写缓存再落盘速度快但有丢数据风险生产环境强制保留数据优先场景禁用 asyncwdelay写延迟合并收集短时间内多个小型 IO 写入请求批量一次性落盘减少磁盘寻道次数提升硬盘性能。no_wdelay不合并每次写直接刷盘IO 开销大内网文件共享默认开启大量高并发小文件可关闭hide子挂载隐藏若共享目录内部还有其他分区 / 磁盘挂载点客户端挂载后看不到内部挂载的内容。nohide客户端可见共享目录内所有子挂载磁盘Web 站点、普通文件共享推荐开启多 LUN 嵌套共享用 nohideno_subtree_check关闭子树校验NFS 默认会校验文件是否在共享目录子树内关闭后跳过校验降低 CPU 开销、提升访问速度。subtree_check开启子树校验严格限制文件路径绝大多数业务保留 no_subtree_check严格权限隔离场景开启 subtree_checksecsys认证方式使用系统 UID/GID 身份认证依靠客户端传递的用户 ID 做权限判断无需额外密码 / 证书。seckrb5/krb5iKerberos 加密认证内网局域网默认公网、高安全环境改用 Kerberosrw读写权限允许客户端对共享目录读、新建、修改、删除文件。不写 rw 则默认 ro 只读ro仅只读无法修改文件需要业务写入添加静态资源共享只用 rosecure端口限制仅允许客户端使用1024 以上非特权端口发起挂载请求防止低端口伪造攻击insecure允许 1024 以下特权端口连接内网默认开启部分老旧嵌入式客户端需加 insecureroot_squashroot 压缩核心安全参数客户端 root 用户访问共享时自动映射为服务端 nobody 匿名用户禁止客户端 root 篡改服务端文件。no_root_squash不映射客户端 root 等同于服务端 root生产环境默认开启严禁随意删除仅测试环境临时关闭no_all_squash普通用户不压缩客户端普通 UID/GID 用户保持原有身份映射到服务端文件权限正常继承。all_squash所有用户含普通用户全部压缩为 nobody业务站点、多用户共享保留公共匿名下载目录使用 all_squash补充关键总结不带任何自定义参数时NFS 会自动加载上面一整套默认配置root_squash是 NFS 最核心安全防护开启后能避免客户端 root 越权破坏存储sync是数据安全保障追求速度使用async会存在宕机丢文件隐患若需要修改其中某一项规则直接在/etc/exports括号内覆盖即可。3.3 客户端挂载与权限测试1客户端通用配置client1、client2均执行# 安装工具包[rootnfs-client1 ~18:41:20]# yum -y install httpd nfs-utils# 启动网页服务,同时查看状态[rootnfs-client1 ~19:16:04]# systemctl enable httpd --now[rootnfs-client1 ~19:17:45]# systemctl status httpd# 防火墙放行[rootnfs-client1 ~19:23:15]# firewall-cmd --add-servicehttp --add-servicemountd --add-servicenfs --add-servicerpc-bind[rootnfs-client1 ~19:20:39]# firewall-cmd --add-servicehttp --add-servicemountd --add-servicenfs --add-servicerpc-bind --permanent# 临时关闭 SELinux 安全强制模式切换为宽容模式Permissive[rootnfs-client1 ~19:24:44]# setenforce 0# 查看apache用户UID/GID保证权限一致[rootnfs-client1 ~19:23:26]# id apacheuid48(apache)gid48(apache)组48(apache)2nfs-client1挂载测试# 查询服务端共享资源[rootnfs-client1 ~19:49:53]# showmount -e 10.1.8.20Export listfor10.1.8.20: /shares/webapp10.1.8.0/24# 挂载远程目录到本地网页根目录[rootnfs-client1 ~19:51:26]# mount -t nfs 10.1.8.20:/shares/webapp /var/www/html[rootnfs-client1 ~19:53:02]# df -hT /var/www/html文件系统 类型 容量 已用 可用 已用% 挂载点10.1.8.20:/shares/webapp nfs4 50G9.0G 42G18% /var/www/html访问测试权限测试默认root_squash# 客户端root用户无法创建文件权限压制[rootnfs-client1 ~19:53:11]# touch /var/www/html/root-1touch: 无法创建/var/www/html/root-1:权限不够# 切换apache用户可正常创建文件[rootnfs-client1 ~19:54:30]# su -l -s /bin/bash apache-bash-4.2$echoapache webapp/var/www/html/web.html3服务端修改权限开启no_root_squash取消客户端root权限压制允许root用户直接操作共享文件[rootnfs-server ~22:27:27]# vim /etc/exports# 修改配置/shares/webapp10.1.8.0/24(rw,no_root_squash)# 重载配置[rootnfs-server ~22:30:33]# systemctl reload nfs-server.service# 验证权限参数[rootnfs-server ~22:30:54]# exportfs -v/shares/webapp10.1.8.0/24(sync,wdelay,hide,no_subtree_check,secsys,rw,secure,no_root_squash,no_all_squash)权限复测# 客户端root可正常创建文件[rootnfs-client1 ~22:29:55]# touch /var/www/html/root-f1[rootnfs-client1 ~22:32:20]# ls /var/www/htmlroot-f1 web.html4nfs-client2挂载同步测试# 查询共享[rootnfs-client2 ~22:37:41]# showmount -e 10.1.8.20Export listfor10.1.8.20: /shares/webapp10.1.8.0/24# 挂载目录[rootnfs-client2 ~22:38:35]# mount -t nfs 10.1.8.20:/shares/webapp /var/www/html/# 查看挂载[rootnfs-client2 ~22:38:42]# df -hT /var/www/html/文件系统 类型 容量 已用 可用 已用% 挂载点10.1.8.20:/shares/webapp nfs4 50G9.0G 42G18% /var/www/html多节点数据同步验证在client1创建文件client2实时查看验证共享存储一致性# client1执行[rootnfs-client1 ~22:40:23]# touch /var/www/html/xiyangyang[rootnfs-client1 ~22:41:49]# echo haha /var/www/html/index.html# client2查看可同步看到所有文件[rootnfs-client2 ~22:38:49]# ls -l /var/www/html总用量8-rw-r--r--.1root root58月622:42 index.html -rw-r--r--.1root root08月622:32 root-f1 -rw-r--r--.1apache apache148月619:55 web.html -rw-r--r--.1root root08月622:41 xiyangyang实验结论多客户端挂载同一NFS共享目录数据实时同步可实现集群节点数据统一。3.4 永久挂载配置开机自动挂载临时挂载重启失效需写入/etc/fstab实现持久化挂载两个客户端均配置[rootnfs-client2 ~22:43:12]# vim /etc/fstab# 末尾添加_netdev(正规 NFS 常用_netdev重点标记该挂载依赖网络系统等网卡就绪后再挂载 NFS)10.1.8.20:/shares/webapp /var/www/html nfs defaults,_netdev00重启验证# 两台客户端重启[rootnfs-client2 ~22:48:54]# reboot# 重启后查看自动挂载状态[rootnfs-client2 ~22:49:59]# df -hT /var/www/html文件系统 类型 容量 已用 可用 已用% 挂载点10.1.8.20:/shares/webapp nfs4 50G9.0G 42G18% /var/www/html挂载自动生效实验全部完成。四、核心总结NFS依托RPC协议实现跨主机文件共享架构简单、部署便捷是内网集群最优轻量存储方案NFSv3稳定兼容、NFSv4安全高效生产环境可根据安全需求灵活选择版本root_squash是NFS核心安全机制默认压制客户端root权限生产环境不建议随意开启no_root_squash集群场景下NFS可实现多节点数据统一同步广泛用于Web集群、内网文件共享场景reboot重启后查看自动挂载状态[rootnfs-client2 ~ 22:49:59]# df -hT /var/www/html文件系统 类型 容量 已用 可用 已用% 挂载点10.1.8.20:/shares/webapp nfs4 50G 9.0G 42G 18% /var/www/html挂载自动生效实验全部完成。 # 四、核心总结 1. NFS依托RPC协议实现跨主机文件共享架构简单、部署便捷是内网集群最优轻量存储方案 2. NFSv3稳定兼容、NFSv4安全高效生产环境可根据安全需求灵活选择版本 3. root_squash 是NFS核心安全机制默认压制客户端root权限生产环境不建议随意开启 no_root_squash 4. 集群场景下NFS可实现多节点数据统一同步广泛用于Web集群、内网文件共享场景 5. 生产环境需配合防火墙、权限管控、定期巡检弥补NFS原生安全性短板。
)
