Điểm:0

NFSv4 và kerberos: truy cập bị từ chối 50% thời gian

lá cờ bd

Chúng tôi đang cố gắn các cổ phiếu NFSv4 trên máy khách RHEL 8, với kerberos.Chúng tôi có một thiết lập rất giống nhau trên một môi trường khác và nó hoạt động tốt. Nhưng trên thiết lập này, chúng tôi nhận được truy cập bị từ chối khoảng 50% số lần chúng tôi cố gắng chia sẻ:

# thất bại

bash-4.4$ sudo mount -t nfs -o sec=krb5 server.com:/homes/francis test -vvvv
mount.nfs: thời gian chờ được đặt cho Sat ngày 2 tháng 4 16:28:32 2022
mount.nfs: thử các tùy chọn dựa trên văn bản 'sec=krb5,vers=4.2,addr=192.168.1.89,clientaddr=192.168.2.29'
mount.nfs: mount(2): Giao thức không được hỗ trợ
mount.nfs: thử các tùy chọn dựa trên văn bản 'sec=krb5,vers=4,minorversion=1,addr=192.168.1.89,clientaddr=192.168.2.29'
mount.nfs: mount(2): Giao thức không được hỗ trợ
mount.nfs: thử các tùy chọn dựa trên văn bản 'sec=krb5,vers=4,addr=192.168.1.89,clientaddr=192.168.2.29'
mount.nfs: mount(2): Quyền bị từ chối
mount.nfs: thử các tùy chọn dựa trên văn bản 'sec=krb5,vers=4,addr=192.168.1.88,clientaddr=192.168.2.29'
mount.nfs: mount(2): Quyền bị từ chối
mount.nfs: thử các tùy chọn dựa trên văn bản 'sec=krb5,addr=192.168.1.89'
mount.nfs: prog 100003, đang thử phiên bản 3, prot=6
mount.nfs: đang thử 192.168.1.89 prog 100003 so với 3 cổng TCP prot 2049
mount.nfs: prog 100005, thử phiên bản 3, prot=17
mount.nfs: đang thử 192.168.1.89 prog 100005 so với 3 cổng UDP prot 32767
mount.nfs: mount(2): Quyền bị từ chối
mount.nfs: thử các tùy chọn dựa trên văn bản 'sec=krb5,addr=192.168.1.88'
mount.nfs: prog 100003, đang thử phiên bản 3, prot=6
mount.nfs: đang thử 192.168.1.88 prog 100003 phiên bản 3 cổng TCP prot 2049
mount.nfs: prog 100005, thử phiên bản 3, prot=17
mount.nfs: đang thử 192.168.1.88 prog 100005 so với 3 cổng UDP prot 32767
mount.nfs: mount(2): Quyền bị từ chối
mount.nfs: truy cập bị máy chủ từ chối khi đang cài đặt hypatia.uio.no:/uioit-usit-drift-homes/francis

# nỗ lực làm việc hai giây sau
bash-4.4$ sudo mount -t nfs -o sec=krb5 server.com:/homes/francis test -vvvv
mount.nfs: thời gian chờ được đặt cho Sat ngày 2 tháng 4 16:30:09 2022
mount.nfs: thử các tùy chọn dựa trên văn bản 'sec=krb5,vers=4.2,addr=192.168.1.88,clientaddr=192.168.2.29'
mount.nfs: mount(2): Giao thức không được hỗ trợ
mount.nfs: thử các tùy chọn dựa trên văn bản 'sec=krb5,vers=4,minorversion=1,addr=192.168.1.88,clientaddr=192.168.2.29'
mount.nfs: mount(2): Giao thức không được hỗ trợ
mount.nfs: thử các tùy chọn dựa trên văn bản 'sec=krb5,vers=4,addr=192.168.1.88,clientaddr=192.168.2.29'
mount.nfs: mount(2): Quyền bị từ chối
mount.nfs: thử các tùy chọn dựa trên văn bản 'sec=krb5,vers=4,addr=192.168.1.89,clientaddr=192.168.2.29'

Tôi đã kiểm tra nhật ký ở phía máy khách và không có nhiều điểm chỉ ra nguyên nhân dẫn đến lỗi không thể gắn kết. Nó hoạt động một lần và nó sẽ không hoạt động sau hai giây. Hoặc ngược lại.

Lúc đầu, tôi nghĩ rằng đó có thể là sự cố liên kết chéo, nhưng tôi cũng đã thử với thư mục trên của phần chia sẻ và đó cũng là vấn đề tương tự.

Bất kỳ gợi ý về những gì có thể là vấn đề?

stark avatar
lá cờ mu
Máy khách và máy chủ trên các mạng con khác nhau? Bạn đã kiểm tra nhật ký bộ định tuyến và tường lửa chưa?
lá cờ fr
`server.com` của bạn dường như phân giải thành hai địa chỉ IP: 192.168.1.88 & 192.168.1.89. Hai địa chỉ này có ánh xạ DNS ngược chính xác, trỏ lại `server.com` không? Kerberos khá kén chọn khi nói đến cấu hình DNS chính xác.
lá cờ bd
Có một điểm tốt @Tomek. Cả hai địa chỉ đều có hai bản ghi PTR và đó có thể là vấn đề.Mặc dù tôi có một thiết lập mà máy chủ không có PTR và nó hoạt động khá tốt, nhưng PTR không phân giải được với máy chủ mà tôi đang sử dụng có thể khiến mọi thứ trở nên tồi tệ hơn.
lá cờ bd
@stark vâng, các mạng con khác nhau, nhưng về mặt mạng, tất cả đều tốt.
lá cờ fr
Nếu bạn không thể giải quyết vấn đề DNS (mà bạn nên làm), bạn có thể thử đặt cài đặt `rdns` trong `krb5.conf` thành `false` và xem nó có giúp ích gì không (đôi khi nó có thể bị ghi đè ở cấp ứng dụng, tôi tin rằng OpenSSH làm được điều đó nếu được cấu hình để làm như vậy).
lá cờ bd
@Tomek Tôi đã thử điều đó với các lần chạy (Có bất cứ điều gì cần phải khởi động lại không?), Và nó không hoạt động. Tôi đang xem liệu tôi có thể xóa các bản ghi PTR không phân giải trở lại tên máy chủ của hiệu trưởng để gắn nfs hay không để xem điều đó có hữu ích hay không.
lá cờ fr
Có thể là rpc.gssd... Nhưng tôi không chắc.
Điểm:0
lá cờ bd

Trong trường hợp của tôi, vấn đề là có hai PTR được cấu hình cho máy chủ. Ngay cả khi sử dụng rdns=false đã không giúp đỡ. Khi xóa PTR không phân giải trở lại tên máy chủ khớp với tên gốc cho máy chủ, mọi thứ hoạt động tốt hơn nhiều.

Cảm ơn @Tomek về mẹo.

Đăng câu trả lời

Hầu hết mọi người không hiểu rằng việc đặt nhiều câu hỏi sẽ mở ra cơ hội học hỏi và cải thiện mối quan hệ giữa các cá nhân. Ví dụ, trong các nghiên cứu của Alison, mặc dù mọi người có thể nhớ chính xác có bao nhiêu câu hỏi đã được đặt ra trong các cuộc trò chuyện của họ, nhưng họ không trực giác nhận ra mối liên hệ giữa câu hỏi và sự yêu thích. Qua bốn nghiên cứu, trong đó những người tham gia tự tham gia vào các cuộc trò chuyện hoặc đọc bản ghi lại các cuộc trò chuyện của người khác, mọi người có xu hướng không nhận ra rằng việc đặt câu hỏi sẽ ảnh hưởng—hoặc đã ảnh hưởng—mức độ thân thiện giữa những người đối thoại.