トップページ⇒unix
982コメント306KB

【NFS】Network File System

■ このスレッドは過去ログ倉庫に格納されています
0001名無しさん＠お腹いっぱい。2006/03/28(火) 11:42:41
nfsに関する話題を扱うスレ
0460名無しさん＠お腹いっぱい。2008/07/23(水) 18:48:04
>>459
クライアントごとにあるのは / (/var /etc /sbin等)のみ。
/usrは共有してる。共有後にパッケージ管理もしてる。

あ、/sbinのバイナリは個別にハードリンク共有してる。
0461名無しさん＠お腹いっぱい。2008/08/07(木) 14:41:19
賢い人はyumを使うような環境で/usrをmountしたりはしない
0462名無しさん＠お腹いっぱい。2008/08/07(木) 23:56:53
aufs+NFSで/ごとマウントしてマウント先で個別にyumしてもいいし、
逆にyumは一切しないで元ツリー側でのyumに任せる運用をしてもいいぞ。
0463名無しさん＠お腹いっぱい。2008/08/13(水) 08:19:45
CentOS5.2入れて、mount -t nfs したんだけど
flock()使ってるPerlのCGI動かすと1分くらい無反応になって終了しちゃう
ファイルロックかからなくていいから、flock使っても無視するmount方法ってないかな?
ちょっと前のLinuxだと、ふつーにmountしてflockつかっても問題ないんだけど
0464名無しさん＠お腹いっぱい。2008/08/13(水) 08:43:04
>>463
mount -o nolock
0465名無しさん＠お腹いっぱい。2008/08/13(水) 11:17:26
>>463
ちょっと前っていつ頃？
0466名無しさん＠お腹いっぱい。2008/08/13(水) 11:38:34
おれが夕焼けだったころ
0467名無しさん＠お腹いっぱい。2008/08/13(水) 13:00:34
a)flockが動かないのに、なぜ動かないのか調べない
b)ファイルロックかからなくていい
c)スクリプトの方を書き換えようとしない
d)デフォルトでNFSマウントされたディレクトリでflockしようとする

いずれも俺には理解できない発想の集合体だ。

a)システムが正常に動いてないんだから、まずどこが異常なのか調べてくれ。
statdとかlockdとか動いてないんじゃないのか。他のアプリケーションの動作にも
支障があるだろう。
b)競合すればデータが壊れる。同時実行しないという仮定でCGI運用したって
必ずいつかどこかで隙を突かれる。
c)なんのためのスクリプト言語なんだ
d)たとえhomeとかNFSマウントしてても、CGIを実行するホストが単一なら
/varのようなローカルマウントしてるディレクトリ上のファイルに対する
ロックで排他するのが筋。
0468名無しさん＠お腹いっぱい。2008/08/13(水) 14:12:26
cとdは連鯖なら普通だろ。
aはNFS鯖がFreeBSDとかじゃねーの？
0469名無しさん＠お腹いっぱい。2008/08/13(水) 14:23:57
>>468
> cとdは連鯖なら普通だろ。

動かない規定scriptがあるレンタルサーバが普通なのか?

> aはNFS鯖がFreeBSDとかじゃねーの？

（　ﾟдﾟ）ﾎﾟｶｰﾝ
0470名無しさん＠お腹いっぱい。2008/08/13(水) 14:30:07
>>469
おまいさんは客のスクリプトを勝手に書き換えるのか？

>（　ﾟдﾟ）ﾎﾟｶｰﾝ
このすれを>>1から読んでこい
0471名無しさん＠お腹いっぱい。2008/08/13(水) 14:43:34
質問に回答して、解決すればそれでいいんだよ。
質問主からの結果報告がないようだけど。
>>464 の回答で解決でしょ。
0472名無しさん＠お腹いっぱい。2008/08/13(水) 16:08:43
「苦しいんです。いっそ殺して楽にしてください」って患者に言われて、 言われるままに青酸カリを処方する医者は薮なんだぜ。
0473名無しさん＠お腹いっぱい。2008/08/13(水) 16:15:24
たとえになってない。
ハイ次。
0474名無しさん＠お腹いっぱい。2008/08/13(水) 16:19:56
>>472
Linuxの -o nolock オプション付でmountした場合、
rpc.lockd経由の異ホスト間のロックがかからなくなるだけで、
同一ホスト上だと、(たとえロック対象ファイルがNFS上でも)ちゃんとlockがかかるよ。
なので、-o nolock が質問者に対する適切な回答と思われる。
0475名無しさん＠お腹いっぱい。2008/08/13(水) 17:08:08
「まず壊れているものを直す」これが問題解決の原則。
この場合、壊れているのはロック要求に応えないNFSサーバであり、
ロックの必要がないのに獲得しようとしているスクリプトだ。

-o nolockは逆に、壊れていないNFSクライアントを壊してしまう。
(ネットワークワイドでのlockを無効にし、アプリケーションにエラーも返さない)。
そのサイトで動作するアプリケーション全体に影響が及ぶことを考えれば、
他で対処できないときの次善の策と考えた方がよい。
0476名無しさん＠お腹いっぱい。2008/08/13(水) 17:29:56
「まず質問者が質問していることに答える」これが問題解決の原則。
0477名無しさん＠お腹いっぱい。2008/08/13(水) 17:39:09
自分のやり方を押しつけちゃいかんよ。
どっちも。
0478名無しさん＠お腹いっぱい。2008/08/13(水) 17:54:02
「自分のやり方を押しつけちゃいかん」という考えも押しつけちゃいかんよ。
3人とも。
0479名無しさん＠お腹いっぱい。2008/08/13(水) 21:31:45
ありがとう　-o nolock で無視できた
でもしっくりいかないなあ
statdやlockd走しらせてmountしたファイルシステムにflockかけただけで半ストール状態になっちゃうものなの?
サーバー側がおかしいのかな
0480名無しさん＠お腹いっぱい。2008/08/13(水) 23:43:29
質問者はその問題に関する知識がない(これは質問者なんだから当たり前)。
だから、質問者が発した質問が適切に組み立てられるとは期待出来ない。
質問の裏にある、質問者が抱えている真の問題を見抜いて解決法を回答するのが、
知識のある回答者の側の責務。

>>479
サーバ側、もしくはサーバとの通信がおかしい。
たとえばdaemonは動いていてもどこかのレイヤでパケットがフィルタリングされている、等。
0481名無しさん＠お腹いっぱい。2008/08/14(木) 07:01:31
>>480
質問者はその問題に関する知識がないからこそ、
直接の回答なしに質問以外のことに対する余分な指図と思われる返答があっても
それを受け入れない、または理解できない。
まずは質問に対する直接の回答をするべき。
一旦その回答を質問者が試した上でさらに質問や疑問点があれば
再度質問すればいいことだから。
0482名無しさん＠お腹いっぱい。2008/08/14(木) 11:07:21
>>479
パケットフィルタのせい？
フィルタが原因で、そういう現象が結果として出てくるのかは知らないけど。
0483名無しさん＠お腹いっぱい。2008/08/14(木) 11:16:29
エスパーすると、lockd/statdは、クライアント、サーバー、双方で起動必要。
そのどちらかを忘れてるとか。NFS鯖がFreeBSDの場合はlockはうまく動かないのが普通。
0484名無しさん＠お腹いっぱい。2008/08/14(木) 11:54:33
理解できるように説明してやればいいんじゃね
0485名無しさん＠お腹いっぱい。2008/08/14(木) 22:41:52
フィルタリングはiptablesくらいしかしてないので
サーバー、クライアント両方切ってmountしてみたけど、、、同じだった。
statd走らせたうえで-o nolockで問題ないようなので
これで様子みてみます。
きっとたぶん忘れた頃にぽっと原因がわかったりするとおもう
ありがとー
0486名無しさん＠お腹いっぱい。2008/08/14(木) 23:01:57
あ、あとexportfs -aしてもそのクライアントだけハングしちゃう
やっぱりちょっと気味悪いイ
0487名無しさん＠お腹いっぱい。2008/08/15(金) 01:15:45
>>481
そんな劣悪な質問者だと直接の回答なのかどうかすら
判断できないんじゃねーの。
0488名無しさん＠お腹いっぱい。2008/08/15(金) 12:22:31
>>479
斜めにしか過去レス読んでないのではずしてるかもしれんが、
NFSってパケットが普通にフラグメントして飛ぶので、
フィルタリングしてる機械がアホだと刺さるよ。

FreeBSDのpfでもscrub入れてないと刺さる。
0489名無しさん＠お腹いっぱい。2008/08/15(金) 20:16:19
TCPでマウントしても？
0490名無しさん＠お腹いっぱい。2008/08/18(月) 23:53:43
>>483
そういえば、FreeBSD+ZFSのNFSサーバでもlockできないのかな？
0491名無しさん＠お腹いっぱい。2008/08/19(火) 09:00:54
>>490
ZFS、一体何の関係があるんだ？
04924902008/08/20(水) 20:56:11
>>491
ZFSはexportfsを使わないexportを行うから、lockも自前で行うのかなと思って。
0493名無しさん＠お腹いっぱい。2008/09/04(木) 02:17:41
板違い覚悟で質問します。ご迷惑をおかけしますが、なにとぞご協力をお願いします。

物理ファイアウォール経由でNFSマウントをする構成なんですが、その物理FWがIPとポート番号をガチンコ指定なため、
NFSクライアント側の浮動するポート番号をなんとか固定しないといけないです。
すごくアホな話ですが、S側、D側のIPとポートを全制御できるパケットしか許可しないなんて言われてます。

環境：RHEL5　NFSv3
なんとか、NFSクライアントのポート番号を固定化する方法を教えてください。
せめてmount.nfs(サーバ側892ポートと通信するモジュール)のポート番号が特権ポートを使わないようにする
設定を教えてください。
0494名無しさん＠お腹いっぱい。2008/09/04(木) 02:23:09
ちなみに、サーバ側の/etc/exportsにinsecureオプションを付与したりもしました。
portmapの使用するポート番号の指定もしました。(/proc/sys/net/ipv4/ip_local_range)
mount.nfsは、NFSマウントをかけに行ったときにnetstatを打つと892と通信していたモジュールです。
111とか2049はお行儀よくエフェメナルポートを使用しているのに、こいつだけウェルノウンポートを使用します。
本当は固定できれば最高なんですが、1024:65535のポート全開放しないとどの道sshやらできないよ
なんて方向で切り込めば押し込めるかなと思ってます。若干デスマーチ気味な構築になってますが、
なかなかデカいプロジェクトなので、重ねてご教示お願いします。
0495名無しさん＠お腹いっぱい。2008/09/04(木) 03:36:48
ググレカス
0496名無しさん＠お腹いっぱい。2008/09/04(木) 03:50:36
　　　　　　　　,．-─ ─-､─-､
　　　　　　, イ)ィ　-─ ──- ､ﾐヽ
　　　 　 ノ ／,．-‐'"´ ｀ヾj ii /　 Λ
　　　 ,ｲ／／ ^ヽj(二ﾌ'"´￣｀ヾ､ﾉｲ{
　　 ノ/,／ミ三ﾆｦ´　　　　　　　 ﾞ､ﾉi!
　　{V /ミ三二,ｲ　, -─　 　 　 　 Yｿ
　　ﾚ'/三二彡ｲ　 .:ィこﾗ 　 ;:こﾗ 　j{
　　V;;;::. ;ｦヾ!V　　　 ｰ '′　i ｰ '　ｿ
　　 Vﾆﾐ( 入　､　　 　 　r　　j　　,′
　　　ヾﾐ､｀ゝ　　｀ ｰ--‐'ゞﾆ<‐-イ
　　　　　ヽ　ヽ　　　　 -''ﾆﾆ‐　 /
　 　 　 　 |　　｀､　　　　 ⌒　 ,/
　　　 　 　|　　　 ＞ ---- r‐'´
　　　　　　ヽ＿ 　 　 　 　 |
　　　　　　　　　ヽ ＿ ＿ 」

　　　　　ググレカス [ gugurecus ]
　　　（西暦一世紀前半〜没年不明）

よく読めカス!
http://www.redhat.com/docs/manuals/enterprise/RHEL-5-manual/Deployment_Guide-en-US/s2-sysconfig-nfs.html
0497名無しさん＠お腹いっぱい。2008/09/04(木) 04:19:49
　 　　　 　　 　＿＿＿_
　　　　　　 ／ ＼　　／＼　 ｷﾘｯ
.　　　　　／　（ー） 　（ー）＼
　　　　／　　 ⌒（__人__）⌒ ＼　　　　＜若干デスマーチ気味な構築になってますが、
　　　　|　　 　　　|r┬-|　　　　|　　　 なかなかデカいプロジェクトなので、重ねてご教示お願いします。
　　　　 ＼　　　　 `ー'´　　 ／
　　　　ノ　　　　　　　　　　 　＼
　 ／´　　　　　　　　　　　　 　　ヽ
　|　　　　ｌ　　　　　　　　　　　　　　＼
　ヽ　　　 -一''''''"~~｀`'ー--､　　　-一'''''''ー-､.
　　ヽ ＿＿＿＿(⌒)(⌒)⌒)　)　　(⌒＿(⌒)⌒)⌒))


　 　　　　 　　　＿＿＿_
　　　　　　　 ／_ノ 　ヽ､_＼
　ﾐ　ﾐ　ﾐ　　oﾟ(（●）) (（●）)ﾟo　　　　　　ﾐ　ﾐ　ﾐ　　　　＜だっておｗｗｗ
/⌒)⌒)⌒. ::::::⌒（__人__）⌒:::＼　　　/⌒)⌒)⌒)
|　/　/　/　　　　　|r┬-|　　　　|　(⌒)/　/ / /／
|　:::::::::::(⌒)　　　　|　|　 |　　 ／ 　ゝ　　:::::::::::/
|　　　　　ノ　　 　　|　|　 |　 　＼　　/　　）　　/
ヽ　　　　/　　　　　`ー'´ 　 　 　ヽ /　　　　／
　|　　　　|　　 l||l　从人 l||l 　　　　 l||l 从人 l||l
　ヽ　　　 -一''''''"~~｀`'ー--､　　　-一'''''''ー-､
　　ヽ ＿＿＿＿(⌒)(⌒)⌒)　)　　(⌒＿(⌒)⌒)⌒))
0498名無しさん＠お腹いっぱい。2008/09/04(木) 04:21:59
【お前の頭はくるくるパーだおｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ】

　　　　∩ _rﾍ　　　　　　 / ヽ∩
　　.　／＿ノυ＿＿＿ιヽ＿ ＼
　　／ ／　　／⌒　　⌒＼　　 ヽ ＼
　 ( 　く　　／（ ●） 　（●）＼　　 >　）　　お前の頭は
　　＼　｀／::::::⌒（__人__）⌒:::::＼'　／
　　　 ヽ|　　　　　|r┬-|　　　　　|/
　　　 　 ＼ 　　 　 `ー'´ 　 　 ／


　((　(ヽ三/)　　　　　　　　(ヽ三/)　））
　　.　 (((i )　　　＿＿＿　　　( i)))
　　／ ／　　／_ノ 　 ヽ_＼　　 ヽ ＼
　 ( 　く　　／（ ●） 　（●）＼　　 >　）　　くるくる
　　＼　｀／::::::⌒（__人__）⌒:::::＼'　／
　　　 ヽ|　　　　　　 ￣　 　　　　|/
　　　 　 ＼ 　　 　 　　　 　 　 ／


　　　∩∩∩　　　　.　　　 ∩∩∩
　　.∩_:||_:|_:|　　　　　　　　|_:||_:|_:∩
　　│　___　 つ 　　　　　⊂ 　___　│
　　 ヽ　　 ノ　　＿＿＿　 　ヽ　　ノ
　　／ ／　　／_ノ 　ヽ､_＼　　 ヽ ＼
　 ( 　く　　 oﾟ(（●）) (（●）)ﾟo　 　>　）　　パーだおｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ
　　＼　｀／::::::⌒（__人__）⌒:::::＼'　／
　　　 ヽ|　　　　　|r┬-|　　　　　|/
　　　 　 ＼ 　　　|　|　 | 　 　 ／
　　　　　　　　　　|　|　 |
　　　　　　　　　　 `ー'´
0499名無しさん＠お腹いっぱい。2008/09/04(木) 04:27:03
　　　　　　　　　　　,, -──- ､._
　　　　　　　　．-"´　　　　 　 　 ＼．
　　　　　　 　：/　　　_ノ 　　　ヽ､_　ヽ.：
　　　　 　 　：/ 　　oﾟ(（●）) (（●）)ﾟoヽ：
　　　　　　：|　　　　 　　（__人__）　　　 |： 　プギャー！！！
　　　　　　：l　　　　　　　 )　 (　　　 　 l：
　　　　　　：` ､　　　　　　 `ー'　　 　 /：
　　　　　　　：, -‐ (_).　　　　　　　 ／
　　　　　　　：ｌ_ｊ_ｊ_ｊ と)丶─‐┬．''´
　　　　　　　　　　：ヽ　　　：i　|：
　　　 　 　 　 　 　：/　　：⊂ノ|：
0500名無しさん＠お腹いっぱい。2008/09/04(木) 04:47:54
┐(´д｀)┌ やしやし
0501名無しさん＠お腹いっぱい。2008/09/04(木) 09:23:04
>>496
早速のレスあざす。ただし、私の説明が良くなくて申し訳無いです。
/etc/sysconfig/nfsを編集してサーバ側のポートを固定することは成功しています。
説明が悪くすみません。マウントしにいく側のポートを固定したいと考えています
0502名無しさん＠お腹いっぱい。2008/09/04(木) 09:31:26
デカいプロジェクトやデスマーチプロジェクトのサポート役を2chに
求めるって時点でその会社は終わってるな。
0503名無しさん＠お腹いっぱい。2008/09/04(木) 10:23:52
>>502
だってメーカーサポートがないんだもーん
0504名無しさん＠お腹いっぱい。2008/09/04(木) 10:43:26
フェドラなんかのフォーラムでも質問をなげたのですが、
良い答えはない感じでした。皆ファイアウォールの構成を変えろといいます。
それが正しいと思いますが。
クライアント側のポート番号のみブラックボックス化しているように見えます。
portmapが制御しているのは間違いないと思っていますが。
それこそ新たにモジュールを自作して噛ませる必要があるのでしょうか。

0505名無しさん＠お腹いっぱい。2008/09/04(木) 10:45:55
自力で調べられる人とか、構築経験のある人とかがいないから終わってるって
ことだと思うのだが……そりゃデスマーチ状態になるわな的な意味で。
0506名無しさん＠お腹いっぱい。2008/09/04(木) 11:10:47
Linux板行けよ。
0507名無しさん＠お腹いっぱい。2008/09/04(木) 11:13:57
>>504
> portmapが制御しているのは間違いないと思っていますが。

違います。
ポートの範囲を狭められたとしても、固定は無理です。
lockdやstatdにも言及してないし、あなたには無理な仕事なんじゃないでしょうか?

0508名無しさん＠お腹いっぱい。2008/09/04(木) 11:35:06
あ、確かにportmapではありませんでした。rpcbindですね。
0509名無しさん＠お腹いっぱい。2008/09/04(木) 12:02:05
NFSクライアントの送信元ポート番号は実装による。普通は固定しない。
1024以下の番号を利用する事が多い。(UNIXの世界では1024以下はrootというお決まりなので)

ファイヤーウォールの設定を SrcPort 1-1024 DstPort 111,2049 と
status lockmgr mountd が使うポートを開放してもらえばよろしい。

ネットワーク管理者からすると、暗号化もされてない通信路でファイヤーウォール越しに
NFSなんてふざけてる奴だ、こう言っておけば諦めるだろうという意図だろう。
どうしてもやりたいなら VPN してやれや。
0510名無しさん＠お腹いっぱい。2008/09/04(木) 12:06:15
色々なご意見、ご回答ありがとうございます。
実力不足はいまさらながら痛感しています。
熟達した技術をお持ちの皆様に不快感を与えてしまい申し訳ない気持です。
今後は今以上の精進を持って学習いたしますので、なにとぞご協力お願いしたい所存です。
/etc/sysconfig/nfsの設定ファイルで、lockdやstatdのポートを固定するよう設定しています。
確かにログなどを確認してもそれらのポートが使用されていないので
設定が足りないのかもしれません。rpcinfoでは固定されていることは確認できます。
クライアント側は、使用ポートを固定できなくとも、狭める事ができれば
それでもクローズは可能です。なにとぞ御教示お願いします。

公式ドキュメントなどでportmapが制御しているものと判断しておりました。
それが違うとのこと、了解致しました。ありがとうございます。別のアプローチをトライしてみます。
0511名無しさん＠お腹いっぱい。2008/09/04(木) 12:09:26
>>510
このスレの人間は誰もやったことがないから答えられないんだよ。
実際のところはそんなとこｗ
0512名無しさん＠お腹いっぱい。2008/09/04(木) 12:12:27
>>509
貴重なアドバイスありがとうございます。FWの構成もNFSマウントもすべて客先による指示であるため、ベストエフォートである必要があります。
そのため、VPNの検討もしてみます。ありがとうございます
0513名無しさん＠お腹いっぱい。2008/09/04(木) 12:33:24
>物理ファイアウォール経由でNFSマウントをする構成なんですが、

どうでもいいけど、物理ファイアウォールといったら
ビルとかに設置してある防火壁のことなんじゃないだろうか。

iptables じゃなくてアプライアンス箱を使っているという意味は
わかるからいいけど。
0514名無しさん＠お腹いっぱい。2008/09/04(木) 12:37:07
Linuxカーネルのソース書き換えろ。> 範囲固定
0515名無しさん＠お腹いっぱい。2008/09/04(木) 12:48:42
送信元のポート番号を固定したら、NAPTできないじゃん。
0516名無しさん＠お腹いっぱい。2008/09/04(木) 12:54:04
2chなんかで質問してしまうなんて、よっぽど気が狂ってるんだろうな。
全て客先による指示なら、客に聞けばいいだろ。
できる事と、できない事の区別もつかないなら、仕事向いてないよ。
0517名無しさん＠お腹いっぱい。2008/09/04(木) 12:55:43
うるせーなクソカス
0518名無しさん＠お腹いっぱい。2008/09/04(木) 14:10:48
>FWの構成もNFSマウントもすべて客先による指示であるため、

・・・・・客の指示だったら物理的に保証がないとか誰もやったこと無いような事まで
「できますって言っちゃったらやる」って言うの？

さすが出来る技術者は違いますね〜（棒
0519名無しさん＠お腹いっぱい。2008/09/04(木) 15:35:06
客が死ねと言ったらお前も死ぬんだな!
0520名無しさん＠お腹いっぱい。2008/09/04(木) 16:19:09
だまれボンクラニート
0521名無しさん＠お腹いっぱい。2008/09/04(木) 16:49:43
皆様の痛烈なご指摘通り、客先指示には原則従う事が前提です。
そのため、今回のようなケースでも可能性を地獄の果てまで追いかける必要があります。
もし不可能と言うことであれば、不可能である根拠や証跡が必要になります。
現段階ではまだ不可能と断定可能な材料がないため、調査及び有識者各位にお問い合わせしている次第です。
当然皆様に対して不可能な根拠や証跡まで要求する気はございませんが、
それでも図々しいお問い合わせをしていると認識しております。
皆様に置かれましては、私の見苦しい発言の数々でご迷惑の事と存じますが、
今一度のお力添えをお願いしたい所存です。
0522名無しさん＠お腹いっぱい。2008/09/04(木) 16:51:38
>>521
>>514 が方法を回答してるじゃん。
0523名無しさん＠お腹いっぱい。2008/09/04(木) 17:06:08
>>514
>>522
ご回答が遅くなり申し訳ありません。
その手段はOS自体や他APへの影響範囲が評価不可能なため、先ほど客先より却下されました。
申し訳ありません。
0524名無しさん＠お腹いっぱい。2008/09/04(木) 17:24:14
技術力がないから「出来ない」といっても客に信用してもらえないんだな。

「うちは技術がないのでそんなこと出来ません」と正直に言っちゃえば
客も流石に飲むしかないと思うがな。
0525名無しさん＠お腹いっぱい。2008/09/04(木) 17:32:06
できない仕事とるなよ。
0526名無しさん＠お腹いっぱい。2008/09/04(木) 18:04:16
技術がないからできるとかできないとかで仕事選べないんじゃね
0527名無しさん＠お腹いっぱい。2008/09/04(木) 18:12:35
既に取っちまったもんを、エンジニアだけでどうこう出来ないだろうて。
自分が同じ立場だったとして「出来ない」と突っぱねられるか？
0528名無しさん＠お腹いっぱい。2008/09/04(木) 18:14:13
「2chで聞いたけどできないといわれました。」と答えればいい。
0529名無しさん＠お腹いっぱい。2008/09/04(木) 18:14:48
そんなこと言われてもできるようにはならん。
0530名無しさん＠お腹いっぱい。2008/09/04(木) 18:16:20
NFSプロキシ建てれば? プロキシ側でソースポート固定と。
0531名無しさん＠お腹いっぱい。2008/09/04(木) 18:25:23
自分が同じ立場なら? なぜNFSが必要なのか、なぜソースポートまで固定した
厳格なファイアウォールが必要なのか、そういったところからヒアリングして、
できるだけ客の「やりたい事」に沿った解法を探るだろうな。
客はファイル共有やネットワークの保護がやりたいんであって、
客自身がNFSそのものがやりたい、ソースポート固定そのものがやりたい、ということは稀だ。
当たり前だが。
0532名無しさん＠お腹いっぱい。2008/09/04(木) 18:29:38
なんだ、>>512 で「VPN検討する」って言ってるじゃん。それでFAだろ。

ハイ次の質問どうぞ。
↓
0533名無しさん＠お腹いっぱい。2008/09/04(木) 18:44:00
>>531 客がｷﾁｶﾞｲだったってことは漏れ経験したｗ
0534名無しさん＠お腹いっぱい。2008/09/04(木) 18:50:20
板違いだから。その話題は。
0535名無しさん＠お腹いっぱい。2008/09/04(木) 22:02:21
現状　nfsd---|FW|---nfs client

解決　WiFi---nfsd---|FW|---nfs client---WiFi

これで桶w
0536名無しさん＠お腹いっぱい。2008/09/04(木) 22:44:20
iptablesでそのサーバ宛のNFS関係パケットのソースポートを書き換える、とか？
0537名無しさん＠お腹いっぱい。2008/09/05(金) 13:10:02
あんまりこねくり回すと、意味不明でメンテ不能になるぜ。
VPNして終了でいいじゃん。
0538名無しさん＠お腹いっぱい。2008/09/05(金) 15:27:01
あっさりVPNで穴あける前に、なんでVPNなんてものが必要になるのか、
ファイアウォールの意味をもう一度考えようぜ。
0539名無しさん＠お腹いっぱい。2008/09/05(金) 16:51:46
単なる釣だろ。
0540名無しさん＠お腹いっぱい。2008/09/05(金) 17:21:54
A「お前さん、一杯喰わされたな。ありゃ単なる釣りだぜ」
B「そうか、なら良かった」
A「なに?」
B「ファイアウォールにNFS通そうとする馬鹿な客と馬鹿なSEは、いないんだ」
♪ダンダンドゥヴィ、ドゥヴィダダン……
0541名無しさん＠お腹いっぱい。2008/09/05(金) 18:40:32
VPNが最強なんだぜ？
0542名無しさん＠お腹いっぱい。2008/09/05(金) 19:56:56
VPNは、先ほど客先より却下されました。
申し訳ありません。
引続き解決策の議論をお願いします。
0543名無しさん＠お腹いっぱい。2008/09/05(金) 20:09:13
>>542
SSHで繋がせてもらう
で SSH over PPP でトンネリング。
http://nakagami.blog.so-net.ne.jp/2005-07-21
客には、「VPNなんて使ってませんよ。telnetみたいなのしか使ってませんよ」とか言う
0544名無しさん＠お腹いっぱい。2008/09/05(金) 20:21:57
客に却下されたからダメ、じゃなくて、
そうするよりマシな実現方法はないからこれでやらせろ、
それじゃなきゃやらない、ぐらいのアピールしろよ。
構築だけじゃなくて後の運用もどうせ請け負ってるんだろうから、
客の奴隷になるのは不幸になるだけだ。
そういう客の言いなりで作ると、けっきょく gdgd なものしかできなくて
後々まで泣くことになるぞ。
0545名無しさん＠お腹いっぱい。2008/09/05(金) 21:49:11
送信元ポートを固定するようなアプリケーションの設計は
あまりよくない、むしろバカな設計なのだよ。
議論(藁)なんてする必要すらない。
だいたいNFSは信用できるネットワーク内で使う事を前提とされているし
ましてやWANを経由する事も考えられていない。
スレ違いのプロトコルと言ってもいいな。

0546名無しさん＠お腹いっぱい。2008/09/05(金) 23:14:27
>客に却下されたからダメ、じゃなくて、
>そうするよりマシな実現方法はないからこれでやらせろ、
>それじゃなきゃやらない、ぐらいのアピールしろよ。

そーだ、その通りだー。

ファイアウオールにNFSを通すなんて（客がどっから実例拾ってきて提示してるか知らないけど）
元々の仕様を超えた使い方に対してはもう議論（苦笑）の余地さえも残っていないと思うけどね。

どうせ却下されるだろうけど試しにｗ
つ【業務用のネットワークとは別にNFS専用のネットワークを用意する】
0547名無しさん＠お腹いっぱい。2008/09/05(金) 23:34:14
>>531 客がｷﾁｶﾞｲだったってことは漏れ経験したｗ
0548ななし2008/09/06(土) 01:42:37
少なからずFireWall-1やNetScreenを使っているならNFSでも簡単かつセキュアに
通せるわけだが、その辺りのファイアウォールは使っていないって事？
だったら、そこそこでかいプロジェクトとは思えないんだけど。

ファイアウォールの管理者に地味に嫌がらせされてるだけ？？
0549名無しさん＠お腹いっぱい。2008/09/06(土) 04:21:28
関係会社の作ってるFireWallアプライアンスは
NFSとか通す設定できなかったなぁ。
まあ専業メーカーの製品には太刀打ちできませんな。

>>545の言う通り、NFSは信用できるネットワーク内で使うことが前提。
NFSのパケットを偽装可能って話は聞いたことあるし、
パケットキャプチャすることでNFSサーバの中身を
レプリケーションできてしまうプログラムなんてのも有ったらしい。

その辺の脆弱性を指摘して、
VPNなりSSHトンネルで保護する必要があるんです! とか
主張してみるのはどうかね?
0550名無しさん＠お腹いっぱい。2008/09/06(土) 06:12:27
SecureRPC使えば暗号化/認証できる。
もし必要ならケルベロスも使える。
0551名無しさん＠お腹いっぱい。2008/09/06(土) 12:43:11
中間にL3以上の処理の入る環境でNFS使うのはどうもなあ。
TCPなら若干ましだが、パケット落ちるとろくなことがないし。
0552名無しさん＠お腹いっぱい。2008/09/06(土) 16:53:12
アホな客と無能な業者が馴れあってる分には
どちらも外の世界に出てこないのでありがたい。
これからも唯一無二のシステム構築に挑戦し続けてほしい。永遠に。
0553名無しさん＠お腹いっぱい。2008/09/10(水) 01:46:25
DATA ONTAPの/etcってどこにあるんでしょうか
0554通りすがりのFiler使い2008/09/10(水) 02:16:02
>>553
出荷時のままなら /vol/vol0/etc

何をしたいのか知らんけど、
rc を始めとした設定ファイルを弄りたいなら
setup コマンド流して設定しなおした方が楽かもしれんよ?

既存の設定を確認したいだけなら
autosupport mail に殆どの設定が添付されてくる。
0555名無しさん＠お腹いっぱい。2008/09/14(日) 10:21:59
ていうか
＞引続き解決策の議論をお願いします。
なんでうちらが議論せないかんの？
05565532008/09/14(日) 12:48:47
>>554
おぉ。タンクス。

結局/vol/vol0をlinuxからnfsマウントして編集しました。
/vol/vo0はoffになっていたのでマウントできないのかと思ったらマウントできるし...。
何をしたかったというとhostファイルに項目を追加したかったのですが、FilerViewのhostファイルのマネージャがなぜか「アプレットがない」とか言って起動せず途方にくれてました。
なんか色々方法があるみたいですね。

で、もうひとつご教授ください。

nfsサーバーをsolarisからdataontap搭載のnfsサーバーに乗り換えたいのですがFilerViewからの設定では必ず先頭部分が/vol/vol1となってしまって全ての該当nfsファイルをマウントしているホスト設定ファイルを書き換える必要があります。
現在の設定ファイルをそのまま生かすために/vol/vol0を任意に変更する方法はあるのでしょうか。

0557通りすがりのFiler使い2008/09/14(日) 13:15:22
>>556
FilerViewが部分的にしか使えないのは
options trusted* 回りか
options httpd* あたりかな...
私が管理してる Filer 群は全部 FilerView 停止してあるので
これ以上のコメントはできないかな、すまんね。

先の件だと、exportfs コマンドを手打ちすれば
FilerView は使わなくて済んだかも。

さて、今回の件だけど、
全ボリューム(ファイルシステム)は
/vol 以下に配置されるので
クライアント側が再設定大会になるのは避けられない。
vol1 や vol2 等となっている部分は変更可能

例: vol rename vol1 foobar

ちなみに vol0 (つまり root volume)は、
名前変えると他に変更すべき個所が山盛りなので
この名前だけは固定にするべき。

あと、NOWにはユーザー登録してあるよね?
管理者ガイド等のマニュアル一式が入手できるので
この機会に登録をお勧め。

0558名無しさん＠お腹いっぱい。2008/09/14(日) 14:42:40
>>556
つ
ttp://honokatei.at.webry.info/200703/article_3.html

おまいには試して報告する義務がある。

0559名無しさん＠お腹いっぱい。2008/09/14(日) 18:02:52
すんません質問させてください
exportfsでsyncを指定して
mount -o asyncでマウントした場合、syncは有効になりますか?
exportfsでの設定とmountでの設定の優先順位がわからないであります!!
■ このスレッドは過去ログ倉庫に格納されています