8.2. 保护 rpc.mountd 服务

先决条件

• 已安装 rpc.mountd 软件包。
• firewalld 软件包已安装，且服务正在运行。

验证

• 列出防火墙规则：

  # firewall-cmd --list-rich-rule
  rule family="ipv4" service name="mountd" source address="192.168.0.0/24" invert="True" drop
  rule family="ipv4" source address="127.0.0.1" service name="mountd" accept

故障排除

• 如果应用防火墙规则后 NFS 客户端无法挂载文件系统，请验证客户端 IP 地址是否在允许的子网中：

  # firewall-cmd --list-all

  检查富规则是否允许客户端的源地址。

• 如果允许的子网中的客户端仍无法挂载，请验证 rpc.mountd 服务是否正在运行：

  # systemctl status nfs-mountd

• 如果防火墙更改无效，请验证规则是否使用了-- permanent 选项，并且重新加载防火墙。

• 要调试防火墙阻止，请为丢弃的数据包临时启用日志记录：

  # firewall-cmd --set-log-denied=all
  # journalctl -f -u firewalld

  从客户端尝试 NFS 挂载，并检查日志是否丢弃的数据包。在故障排除后禁用日志记录：

  # firewall-cmd --set-log-denied=off