8.3.3. ファイアウォールでの NFS のセキュリティー保護

手順

1. ファイアウォールルールを簡素化するために、NFS サービスに静的ポートを設定します。rpcbind サービスは、デフォルトでは NFS ポートを動的に割り当てます。/etc/nfs.conf ファイルで静的ポートを指定します。

   NFSv3 の場合、以下のサービスを設定します。

   1. [mountd] セクションの mountd (rpc.mountd) の TCP および UDP ポートを port=<value> 形式で設定します。
   2. [statd] セクションの statd (rpc.statd) の TCP および UDP ポートを port=<value> 形式で設定します。
   3. ロックマネージャーの TCP ポートを [lockd] セクションで port=<value> 形式で設定します。または、/etc/modprobe.d/lockd.conf ファイルの nlm_tcpport オプションを使用してください。
   4. ロックマネージャーの UDP ポートを [lockd] セクションで udp-port=<value> 形式で設定します。または、/etc/modprobe.d/lockd.conf ファイルの nlm_udpport オプションを使用してください。

   NFSv4 の場合、ポート 2049 のみが必要です。

2. ファイアウォールで必要なポートを開きます。

   NFSv4 の場合:

   # firewall-cmd --permanent --add-port=2049/tcp

   NFSv3 の場合も、ステップ 1 で設定したポートを開放します。

   # firewall-cmd --permanent --add-port=2049/tcp
   # firewall-cmd --permanent --add-port=<mountd_port>/tcp
   # firewall-cmd --permanent --add-port=<mountd_port>/udp
   # firewall-cmd --permanent --add-port=<statd_port>/tcp
   # firewall-cmd --permanent --add-port=<statd_port>/udp
   # firewall-cmd --permanent --add-port=<lockd_tcp_port>/tcp
   # firewall-cmd --permanent --add-port=<lockd_udp_port>/udp

3. ファイアウォールをリロードして変更を適用します。

   # firewall-cmd --reload

検証

1. NFS サーバー上のアクティブなポートと RPC プログラムをリスト表示します。

   $ rpcinfo -p

2. ファイアウォールルールを確認します。

   # firewall-cmd --list-ports