NFS 与 CIFS 网络文件系统：服务端配置、挂载调优与安全

选择直觉：
  纯 Linux 集群 / Kubernetes PV / HPC  → NFS
  需要和 Windows 客户端互通 / 域认证  → CIFS（Samba）
  两者都要  → Samba 同时提供 SMB 与 NFS（或各跑一个）

# 查服务端与客户端支持的版本
nfsstat -s        # 服务端统计
nfsstat -c        # 客户端统计
cat /proc/fs/nfsd/versions   # 服务端启用的版本（如 +4.2 +4.1 +4 +3 +2）

# 只启用 v4.2（服务端，/etc/nfs.conf 或发行版对应文件）
# [nfsd]
# vers4.2=y
# vers3=n

# 安装
sudo apt install nfs-kernel-server      # Debian/Ubuntu
sudo dnf install nfs-utils              # RHEL 系

# /etc/exports
/data/shared    192.168.1.0/24(rw,sync,no_subtree_check)
/data/ro        *(ro,root_squash)
/home           client1.example.com(rw,async,no_root_squash)

# 应用导出并查看
sudo exportfs -ra                     # 重新导出全部
sudo exportfs -v                      # 查看当前导出与选项
sudo systemctl enable --now nfs-server

# 放行防火墙（v4 单端口）
sudo firewall-cmd --add-service=nfs --permanent
sudo firewall-cmd --reload

权限的关键：NFS 默认用「客户端上报的 UID/GID」做鉴权（AUTH_SYS）
→ 客户端 root 被 root_squash 映射为 nobody
→ 要让共享目录可写，需保证 UID/GID 在两端一致，或调 squash 策略

# 查看服务端导出
showmount -e nfs-server
# 挂载
sudo mount -t nfs4 nfs-server:/data/shared /mnt/shared
# 写入 fstab
echo "nfs-server:/data/shared /mnt/shared nfs4 rw,hard,rsize=1048576,wsize=1048576,_netdev 0 0" | sudo tee -a /etc/fstab

# nconnect 提升多流并发吞吐（需 v4.1+）
sudo mount -t nfs4 -o nconnect=8 nfs-server:/data/shared /mnt/shared

服务端伪文件系统（/etc/exports 里的 fsid 决定挂载点）：
  /                       ← 伪根
  ├─ data/shared          ← 对应 /data/shared
  └─ home                 ← 对应 /home
客户端：mount -t nfs4 nfs-server:/ /mnt

# /etc/idmapd.conf（两端一致）
# [General]
# Domain = example.com
# [Mapping]
# Nobody-User = nobody
# Nobody-Group = nogroup

sudo systemctl enable --now nfs-idmapd
# 检查映射
nfsidmap -l

# 挂载时指定安全级别
sudo mount -t nfs4 -o sec=krb5p nfs-server:/data/shared /mnt

sudo apt install samba        # 或 dnf install samba

# /etc/samba/smb.conf
[global]
   workgroup = WORKGROUP
   server string = File Server
   security = user                 # 用户级认证
   map to guest = bad user

[shared]
   path = /srv/shared
   browseable = yes
   writable = yes
   valid users = alice, bob
   create mask = 0644
   directory mask = 0755
   force group = sharedgrp

# 创建 Samba 用户（需先有系统用户）
sudo useradd -M -s /sbin/nologin alice
sudo smbpasswd -a alice            # 设置 SMB 密码
sudo testparm                      # 校验配置语法
sudo systemctl enable --now smbd nmbd

# 放行防火墙
sudo firewall-cmd --add-service=samba --permanent && sudo firewall-cmd --reload
# 列出共享（本机）
smbclient -L localhost -U alice

# 交互式挂载
sudo mount -t cifs //server/shared /mnt/shared -o username=alice,uid=1000,gid=1000

# 用凭据文件（避免密码出现在命令行/ps 里）
sudo tee /root/.smbcred >/dev/null <<'EOF'
username=alice
password=secret
domain=WORKGROUP
EOF
sudo chmod 600 /root/.smbcred
sudo mount -t cifs //server/shared /mnt/shared -o credentials=/root/.smbcred,uid=1000,gid=1000,vers=3.1.1

# /etc/fstab
//server/shared /mnt/shared cifs credentials=/root/.smbcred,uid=1000,gid=1000,vers=3.1.1,_netdev,nofail 0 0

# 性能：加大 rsize/wsize 与 nconnect
mount -t nfs4 -o rsize=1048576,wsize=1048576,nconnect=8 server:/data /mnt

# 用 dd 粗测吞吐
dd if=/dev/zero of=/mnt/test bs=1M count=1024 oflag=direct
dd if=/mnt/test of=/dev/null bs=1M iflag=direct

# 看 RPC 统计与重传
nfsstat -c
nfsiostat 1 5           # 每挂载点的 IO 延迟与吞吐（sysstat 包）

# 排错：连不上先分层确认
ping nfs-server                     # 1. 网络通不通
rpcinfo -p nfs-server               # 2. v3 的 RPC 服务是否注册
showmount -e nfs-server             # 3. 导出是否可见
sudo mount -v -t nfs4 ... /mnt      # 4. 详细挂载日志
dmesg | tail -30                    # 5. 内核报错
journalctl -u nfs-server            # 6. 服务端日志

# 1. 限制导出范围，绝不用 *(rw)
# /etc/exports: /data 192.168.1.0/24(rw,sync,root_squash,no_subtree_check)

# 2. 用 Kerberos 替代 AUTH_SYS
mount -t nfs4 -o sec=krb5p server:/data /mnt

# 3. 只暴露必要端口（v4 仅 2049）
sudo nft add rule inet filter input tcp dport 2049 ip saddr 192.168.1.0/24 accept

# 4. Samba 锁死协议版本，禁用 SMB1
# smb.conf [global]: server min protocol = SMB3

# 查看谁在挂载、谁在访问（服务端）
showmount -a
cat /proc/fs/nfsd/clients/*/info 2>/dev/null