LINUX.ORG.RU

nfs и порты mountd nlockmgr status


0

0

debian lenny, установлен nfs-server.
в /etc/exports прописаны шары. Все одинаковые, пример одной:
/mnt/movies 10.0.0.1/24(rw,async,subtree_check,secure,root_squash)

далее:
debian:/etc# /etc/init.d/nfs-kernel-server restart
Stopping NFS kernel daemon: mountd nfsd.
Unexporting directories for NFS kernel daemon....
Exporting directories for NFS kernel daemon....
Starting NFS kernel daemon: nfsd mountd.
debian:/etc# rpcinfo -p
прог-ма верс прото порт
100000 2 tcp 111 portmapper
100000 2 udp 111 portmapper
100024 1 udp 51667 status
100024 1 tcp 40827 status
100003 2 udp 2049 nfs
100003 3 udp 2049 nfs
100003 4 udp 2049 nfs
100021 1 udp 42139 nlockmgr
100021 3 udp 42139 nlockmgr
100021 4 udp 42139 nlockmgr
100003 2 tcp 2049 nfs
100003 3 tcp 2049 nfs
100003 4 tcp 2049 nfs
100021 1 tcp 54214 nlockmgr
100021 3 tcp 54214 nlockmgr
100021 4 tcp 54214 nlockmgr
100005 1 udp 54203 mountd
100005 1 tcp 49643 mountd
100005 2 udp 54203 mountd
100005 2 tcp 49643 mountd
100005 3 udp 54203 mountd
100005 3 tcp 49643 mountd
debian:/etc#

---
Вопросы:
почему mountd висит на портах 54203 и 49643? При этом один из них открыт, а второй закрыт (в iptables правила написаны только для 1:1024). Проверял сайтом http://www.speed-tester.info/check_port.php
Указана опция secure в exports, почему mountd не повис на привилигированные порты?
На сколько небезопасно, что nlockmgr и status тоже висят на непривилигированных портах?

Спасиба.

> На сколько небезопасно, что nlockmgr и status тоже висят на непривилигированных портах?

без разницы где они висят. Внешний сервис будет на них стучаться только когда узнает их адрес постучавшись на «привилегированный» порт 111. Так что можно не опасаться того что какой-то локальный пользователь запустит nfs-шару — прописать свои сервисы в portmapper он всё равно не сможет. Не помню где в Lenny прописываются эти порты для mountd и остальных, в CentOS они явно прописываются в /etc/sysconfig/nfs. После этого надо в правилах для iptables явно прописать что эти порты открыты.

pupok ★★
()
Ответ на: комментарий от pupok

Шары прописывать только я буду.

Меня просто смущает само по себе наличие сервисов, слушающих внешний мир. Вчера нагуглил записки какого-то кУлХацКера который рассказывал про эксплоиты к mountd, вот и заволновался :)

pupkin_1c
() автор топика
Ответ на: комментарий от pupkin_1c

> про эксплоиты к mountd, вот и заволновался :)

«непривилегированный» порт отличается от «привилегированного» только тем что user не может использовать последний. Так что mountd висящий на порте 7 представляет ровно такую же опасность как и висящий на порте 60007.

pupok ★★
()
Ответ на: комментарий от pupkin_1c

Закрой доступ к портам в iptables или хотя бы доступ к службам в /etc/hosts.deny

Насчет настройки слушаемых портов:
$ ps aux | grep mountd
root 12329 0.0 0.0 2064 876 ? Ss Jun27 0:01 /usr/sbin/rpc.mountd --port 765
$ grep 765 /etc/default/nfs-kernel-server
RPCMOUNTDOPTS="--port 765"

YAR ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.