8.2. rpc.mountd サービスのセキュリティー保護

前提条件

• rpc.mountd パッケージがインストールされている。
• firewalld パッケージがインストールされ、サービスが実行されている。

検証

• ファイアウォールルールをリストします。

  # firewall-cmd --list-rich-rule
  rule family="ipv4" service name="mountd" source address="192.168.0.0/24" invert="True" drop
  rule family="ipv4" source address="127.0.0.1" service name="mountd" accept

トラブルシューティング

• ファイアウォールルールを適用した後、NFS クライアントがファイルシステムをマウントできない場合は、クライアントの IP アドレスが許可されたサブネット内にあることを確認します。

  # firewall-cmd --list-all

  リッチルールが、クライアントの送信元アドレスを許可していることを確認します。

• 許可されたサブネットからのクライアントがそれでもマウントできない場合は、rpc.mountd サービスが実行されていることを確認します。

  # systemctl status nfs-mountd

• ファイアウォールの変更が反映されない場合は、--permanent オプションを指定してルールが適用されていることを確認します。また、ファイアウォールがリロードされていることも確認します。

• ファイアウォールによるブロックをデバッグするには、ドロップされたパケットのロギングを一時的に有効にします。

  # firewall-cmd --set-log-denied=all
  # journalctl -f -u firewalld

  クライアントから NFS マウントを試み、ログにパケットドロップの記録がないか確認します。トラブルシューティング後はロギングを無効化します。

  # firewall-cmd --set-log-denied=off