mount usando portas inseguras para nfs

Question

O título diz isso. O mount ocasionalmente faz o NFS montar / desmontar solicitações de portas inseguras. Acredito que o problema esteja sendo causado por todas as portas seguras estarem presas em TIME_WAIT após períodos de atividade de montagem muito alta (amd). Existe alguma maneira de mudar esse comportamento? Não quero que solicitações sejam enviadas de portas inseguras, independentemente de haver portas seguras disponíveis ou não. Eu prefiro que a montaria fique suspensa enquanto aguarda por uma porta segura. Permitir solicitações de portas inseguras nos servidores NFS não é uma opção.

Eu não vi nada nas páginas man para mount, nfs ou mount.nfs para controlar isso. Para aliviar o problema, eu tentei net.ipv4.tcp_tw_reuse = 1, mas não parece ajudar.

Obrigado antecipadamente.

    

Answer 1

Por que não usar o iptables para bloquear essas portas (intervalos) que você não deseja usar. Certifique-se de torná-la uma regra de rejeição e não descartá-la; no último caso, pode levar mais tempo porque a tentativa de conexão está expirando.

Uma regra típica poderia ser assim:

    /sbin/iptables -I OUTPUT -d 0/0 -j REJECT --reject-with icmp-net-prohibited -p tcp --dport XX -o ethX
    /sbin/iptables -I OUTPUT -d 0/0 -j REJECT --reject-with icmp-net-prohibited -p udp --dport XX -o ethX

Para uso do intervalo de portas:

--dport XX:YY

Para entrada:

    /sbin/iptables -I INPUT -s 0/0 -j REJECT --reject-with icmp-net-prohibited -p tcp --dport XX -i ethX
    /sbin/iptables -I INPUT -s 0/0 -j REJECT --reject-with icmp-net-prohibited -p udp --dport XX -i ethX

Atualização: talvez adicionar as opções certas ao rpc.mountd funcionará para você, no manual:

-p  or  --port num
          Force rpc.mountd to bind to the specified port num, instead of using the random port number assigned by the portmapper.

No Debian você faz isso em / etc / default / nfs-kernel-server, adiciona opções a esta linha:

# Options for rpc.mountd.
# If you have a port-based firewall, you might want to set up
# a fixed port here using the --port option. For more information, 
# see rpc.mountd(8) or http://wiki.debian.org/?SecuringNFS
RPCMOUNTDOPTS=--manage-gids