openEuler\银河麒麟\UOS等国产操作系统固定NFS端口和安全加固——筑梦之路_麒麟v10 nfs固定端口-CSDN博客之前已经整理过关于国产操作系统NFS端口固定和安全加固的此处是最近看到了另一种方式提供了一种新的思路做个记录。参考资料银河麒麟高级服务器操作系统V10 使能NFS支持tcp-wrappershosts.deny解决“CVE-1999-0554”问题-CSDN博客该篇文章中通过修改打包脚本重新编译构建rpm二进制文件包来实现增加对tcp-wrappers防火墙的支持也能使用黑白名单的方式进行限制访问弥补了国产操作系统NFS包不支持tcp-wrappers防火墙的问题。接下来我将分为两部分分别重新制作nfs-utils、rpcbind的二进制rpm包并说明如何配置和验证。环境说明说明银河麒麟v10 服务器版本操作系统是基于openEuler开源的商业化版本对应关系可自行查询。NFS包重新制作#下载源码包 wget https://mirrors.huaweicloud.com/openeuler/openEuler-20.03-LTS-SP4/source/Packages/nfs-utils-2.5.1-8.oe2003sp4.src.rpm #安装源码包 rpm -ivh nfs-utils-2.5.1-8.oe2003sp4.src.rpm #修改打包脚本 ##第一处修改编译命令--without-tcp-wrappers \”改为“ --with-tcp-wrappers \ ##第二处修改增加“BuildRequires: tcp_wrappers-devel” ##第三处修改增加“Requires: tcp_wrappers” #安装编译打包需要的依赖 yum install rpm-build autoconf automake device-mapper-devel krb5-devel libcap-devel libevent-devel libtirpc-devel libtool openldap-devel python3-devel rpcgen sqlite-devel tcp_wrappers-devel -y #编译打包 rpmbuild -ba nfs-utils.specRPCBIND包重新制作# 下载源码包 wget https://mirrors.huaweicloud.com/openeuler/openEuler-20.03-LTS-SP4/source/Packages/rpcbind-1.2.5-5.oe2003sp4.src.rpm # 安装源码包 rpm -ivh rpcbind-1.2.5-5.oe2003sp4.src.rpm # 安装缺少的依赖 yum install quota-devel # 修改打包脚本编译参数加上--enable-libwrap # 编译打包rpm rpmbuild -ba rpcbind.spec安装验证# 安装依赖包 yum install gssproxy quota -y # 安装rpcbind nfs rpm -ivh rpcbind-1.2.5-5.ky10.aarch64.rpm rpm -ivh nfs-utils-help-2.5.1-8.ky10.aarch64.rpm nfs-utils-2.5.1-8.ky10.aarch64.rpm # 配置NFS cat /etc/exports /mnt 192.168.200.0/24(rw,sync,no_root_squash,no_subtree_check) # 配置黑名单 cat /etc/hosts.deny EOF portmap:ALL lockd:ALL mountd:ALL rquotad:ALL statd:ALL showmount:ALL EOF # 配置白名单 cat /etc/hosts.allow EOF portmap:192.168.200.100 lockd:192.168.200.100 rquotad:192.168.200.100 mountd:192.168.200.100 statd:192.168.200.100 EOF # 测试 systemctl restart nfs rpcbind showmount -e 192.168.200.99 # 不允许访问的返回 rpc mount export: RPC: Authentication error; why Failed (unspecified error)ldd /sbin/rpcbind | grep libwrap.so.0 libwrap.so.0 /usr/lib64/libwrap.so.0 (0x0000fffecc7e0000)ldd $(which rpc.mountd) | grep libwrap libwrap.so.0 /usr/lib64/libwrap.so.0 (0x0000ffff76260000)
