web-dev-qa-db-ja.com

16.04でnfs共有を許可するには、どのiptablesルールが必要ですか？

/etc/iptables/rules.v4ファイルに追加する必要がある正確な言葉遣い/コーディングを誰でも提供できますか？私が作業しているサーバーには多くの複雑なファイアウォールルールがあり、iptablesがダウンしている場合にマウントできるため、iptablesがnfsマウントを防止していると判断しました。 NFSバージョンは4です。ポート111と2049でトラフィックを許可する必要があることを理解していますが、ルールを正しく入力していないように感じます。共有はプライベートネットワーク経由です。 NFS共有のIPは172.16.10.25で、16.04サーバーのプライベートIPは172.16.10.20です。

注：いくつかのフィルターが用意されているため、ルールを正確に配置する場所についてのアドバイスは大歓迎です。

私はネット上で見つかったこれらの2つの別々の答えを試してみましたが、喜びはありません。

# Portmap ports
-A INPUT -m state –state NEW -p tcp –dport 111 -j ACCEPT    
-A INPUT -m state –state NEW -p udp –dport 111 -j ACCEPT    
# NFS daemon ports    
-A INPUT -m state –state NEW -p tcp –dport 2049 -j ACCEPT    
-A INPUT -m state –state NEW -p udp –dport 2049 -j ACCEPT

もう一つは

 iptables -P INPUT DROP    
   iptables -P OUTPUT DROP    
   iptables -A INPUT -s 192.168.1.0/24 -d 192.168.1.0/24 -p udp -m multiport --sports 10053,111,2049,32769,875,892 -m state --state ESTABLISHED -j ACCEPT 
   iptables -A INPUT -s 192.168.1.0/24 -d 192.168.1.0/24 -p tcp -m multiport --sports 10053,111,2049,32803,875,892 -m state --state ESTABLISHED -j ACCEPT 
   iptables -A OUTPUT -s 192.168.1.0/24 -d 192.168.1.0/24 -p udp -m multiport --dports 10053,111,2049,32769,875,892 -m state --state NEW,ESTABLISHED -j ACCEPT 
   iptables -A OUTPUT -s 192.168.1.0/24 -d 192.168.1.0/24 -p tcp -m multiport --dports 10053,111,2049,32803,875,892 -m state --state NEW,ESTABLISHED -j ACCEPT 
   iptables -I INPUT  -i lo -d 127.0.0.1 -j ACCEPT
   iptables -I OUTPUT  -o lo -s 127.0.0.1 -j ACCEPT
   iptables -L -n --line-numbers

上記の例の代わりに自分のIPを使用します。

networkingservermountiptablesnfs
1
gormantg

これが将来の質問者にとって私にとってうまくいったことです。

-A INPUT -s 172.16.10.25/32 -d 172.16.10.40/32 -i eth0 -p tcp --sport 111 -j ACCEPT
-A INPUT -s 172.16.10.25/32 -d 172.16.10.40/32 -i eth0 -p tcp --sport 2049 -j ACCEPT
-A INPUT -s 172.16.10.25/32 -d 172.16.10.40/32 -i eth0 -p udp --sport 111 -j ACCEPT
-A INPUT -s 172.16.10.25/32 -d 172.16.10.40/32 -i eth0 -p udp --sport 2049 -j ACCEPT
-A OUTPUT -s 172.16.10.40/32 -d 172.16.10.25/32 -o eth0 -p tcp --dport 111 -j ACCEPT
-A OUTPUT -s 172.16.10.40/32 -d 172.16.10.25/32 -o eth0 -p tcp --dport 2049 -j ACCEPT
-A OUTPUT -s 172.16.10.40/32 -d 172.16.10.25/32 -o eth0 -p udp --dport 111 -j ACCEPT
-A OUTPUT -s 172.16.10.40/32 -d 172.16.10.25/32 -o eth0 -p udp --dport 2049 -j ACCEPT

IP = .40はクライアントで、.25はサーバーです。 .40にマウントされる.25。これをより少ないルールで行うことができれば、将来、誰かがその答えを見つけることを願っています。

1
gormantg