4.12. 상호 TLS 지원을 사용하여 NFS 클라이언트 구성

프로세스

1. 개인 키 및 CSR(인증서 서명 요청)을 만듭니다.

   # openssl req -new -newkey rsa:4096 -noenc \
   -keyout /etc/pki/tls/private/client.example.com.key \
   -out /etc/pki/tls/private/client.example.com.csr \
   -subj "/C=US/ST=State/L=City/O=Organization/CN=client.example.com" \
   -addext "subjectAltName=DNS:client.example.com,IP:192.0.2.2"

   Copy to Clipboard Toggle word wrap
   중요

   CN(일반 이름) 및 DNS는 호스트 이름과 일치해야 합니다. IP는 호스트의 IP와 일치해야 합니다.

2. /etc/pki/tls/private/client.example.com.csr 파일을 CA(인증 기관)로 전송하고 클라이언트 인증서를 요청합니다. 수신된 CA 인증서와 클라이언트 인증서를 호스트에 저장합니다.

3. CA 인증서를 시스템의 신뢰 저장소로 가져옵니다.

   # cp ca.crt /etc/pki/ca-trust/source/anchors
   # update-ca-trust

   Copy to Clipboard Toggle word wrap

4. 클라이언트 인증서를 /etc/pki/tls/certs/ 디렉터리로 이동합니다.

   # mv client.example.com.crt /etc/pki/tls/certs/

   Copy to Clipboard Toggle word wrap

5. 개인 키 및 인증서에서 SELinux 컨텍스트가 올바른지 확인합니다.

   # restorecon -Rv /etc/pki/tls/certs/

   Copy to Clipboard Toggle word wrap

6. /etc/tlshd.conf 파일의 [authenticate.client] 섹션에 클라이언트 인증서 및 개인 키를 추가합니다.

   x509.certificate= /etc/pki/tls/certs/client.example.com.crt
   x509.private_key= /etc/pki/tls/private/client.example.com.key

   Copy to Clipboard Toggle word wrap

   x509.truststore 매개변수를 설정하지 않은 상태로 둡니다.

7. tlshd 서비스를 활성화하고 시작합니다.

   # systemctl enable --now tlshd.service

   Copy to Clipboard Toggle word wrap

8. TLS 암호화를 사용하여 NFS 공유를 마운트합니다.

   # mount -o xprtsec=mtls server.example.com:/nfs/projects/ /mnt/

   Copy to Clipboard Toggle word wrap