NFS4 服务器：

Question 1

我找到了解决方案：

查看 rpc.svcgssd 守护进程的 strace，我发现在出现错误之前打开的最后一个文件/etc/krb5.keytab。

服务器上的 keytab 是使用kadmin“kadmin/admin”的 kinit 生成的。

服务器上的Akinit -k -t /etc/krb5.keytab nfs/SERVER.example.com@REALM导致密码无效错误。因此我删除了密钥表并使用生成了一个新的密钥kadmin -l表。我的用户的密钥表可能有问题kadmin/admin，导致密钥表损坏。我还没有调查这个问题。

我创建了新的keytab之后，nfs4+krb5挂载成功。

谢谢您的回答，它们对缩小问题范围有很大帮助。

因此对于遇到类似问题的人来说：

尝试kinit使用以下方式在每个涉及的主机上获取服务票证kinit -k -t /etc/krb5.keytab nfs/SERVER.example.com@REALM
执行strace -p $(pidof rpc.svcgssd) -s4096 -e trace=open,close,read,write并检查错误发生之前发生的情况。
据我所知，“错误主体”错误通常发生在机器127.0.0.1与其主机名有映射的情况下。

Answer

我找到了解决方案：

查看 rpc.svcgssd 守护进程的 strace，我发现在出现错误之前打开的最后一个文件/etc/krb5.keytab。

服务器上的 keytab 是使用kadmin“kadmin/admin”的 kinit 生成的。

服务器上的Akinit -k -t /etc/krb5.keytab nfs/SERVER.example.com@REALM导致密码无效错误。因此我删除了密钥表并使用生成了一个新的密钥kadmin -l表。我的用户的密钥表可能有问题kadmin/admin，导致密钥表损坏。我还没有调查这个问题。

我创建了新的keytab之后，nfs4+krb5挂载成功。

谢谢您的回答，它们对缩小问题范围有很大帮助。

因此对于遇到类似问题的人来说：

尝试kinit使用以下方式在每个涉及的主机上获取服务票证kinit -k -t /etc/krb5.keytab nfs/SERVER.example.com@REALM
执行strace -p $(pidof rpc.svcgssd) -s4096 -e trace=open,close,read,write并检查错误发生之前发生的情况。
据我所知，“错误主体”错误通常发生在机器127.0.0.1与其主机名有映射的情况下。

Question 2

您正在使用联机帮助页中标记为 DEPRECATED 的语法exports(5)：

RPCSEC_GSS security
   You may use the special strings "gss/krb5", "gss/krb5i", or "gss/krb5p" to restrict
   access to clients using rpcsec_gss security.  However, this syntax is deprecated; on
   linux kernels  since  2.6.23,  you  should instead use the "sec=" export option:

   sec=   The  sec=  option,  followed  by a colon-delimited list of security flavors, restricts the export to clients using those flavors.  Available security flavors include sys (the default--no cryptographic secu‐
          rity), krb5 (authentication only), krb5i (integrity protection), and krb5p (privacy protection).  For the purposes of security flavor negotiation, order counts: preferred flavors  should  be  listed  first.
          The  order  of  the  sec=  option  with respect to the other options does not matter, unless you want some options to be enforced differently depending on flavor.  In that case you may include multiple sec=
          options, and following options will be enforced only for access using flavors listed in the immediately preceding sec= option.  The only options  that  are  permitted  to  vary  in  this  way  are  ro,  rw,
          no_root_squash, root_squash, and all_squash.

因此你的出口应该是：

/srv      XXX.XXX.209.0/24(fsid=0,rw,no_subtree_check,root_squash,async,sec=krb5)
/srv/home XXX.XXX.209.0/24(rw,no_subtree_check,root_squash,async,sec=krb5)

fsid=0和导出的资源都应具有正确的安全配置，这一点很重要。选择适合krb5/krb5i/krb5p您设置的配置。

错误“请求中的主体错误”可能是由错误的名称解析引起的。如果您使用的是本地解析，请检查您的/etc/hosts文件。

Answer

您正在使用联机帮助页中标记为 DEPRECATED 的语法exports(5)：

RPCSEC_GSS security
   You may use the special strings "gss/krb5", "gss/krb5i", or "gss/krb5p" to restrict
   access to clients using rpcsec_gss security.  However, this syntax is deprecated; on
   linux kernels  since  2.6.23,  you  should instead use the "sec=" export option:

   sec=   The  sec=  option,  followed  by a colon-delimited list of security flavors, restricts the export to clients using those flavors.  Available security flavors include sys (the default--no cryptographic secu‐
          rity), krb5 (authentication only), krb5i (integrity protection), and krb5p (privacy protection).  For the purposes of security flavor negotiation, order counts: preferred flavors  should  be  listed  first.
          The  order  of  the  sec=  option  with respect to the other options does not matter, unless you want some options to be enforced differently depending on flavor.  In that case you may include multiple sec=
          options, and following options will be enforced only for access using flavors listed in the immediately preceding sec= option.  The only options  that  are  permitted  to  vary  in  this  way  are  ro,  rw,
          no_root_squash, root_squash, and all_squash.

因此你的出口应该是：

/srv      XXX.XXX.209.0/24(fsid=0,rw,no_subtree_check,root_squash,async,sec=krb5)
/srv/home XXX.XXX.209.0/24(rw,no_subtree_check,root_squash,async,sec=krb5)

fsid=0和导出的资源都应具有正确的安全配置，这一点很重要。选择适合krb5/krb5i/krb5p您设置的配置。

错误“请求中的主体错误”可能是由错误的名称解析引起的。如果您使用的是本地解析，请检查您的/etc/hosts文件。

Question 3

处理此类问题的人通常会这样做：

DNS 名称和主机的 FQDN 必须为小写，即使您的 DNS 支持 FQDN 中的大写。
您应该有一个与您的机器名称类似的主体，例如：[email protected]，并相应地添加到 keytab 中（全部大写并以结尾$）
您应该有主体host/your-machine.your.domain.name和nfs/your-machine.your.domain.name，并相应地将此主体添加到密钥表。
您的/etc/hosts名字不能大写，并且如果有的话，FQDN 应该是第一个，而不是短名称。

Answer

处理此类问题的人通常会这样做：

DNS 名称和主机的 FQDN 必须为小写，即使您的 DNS 支持 FQDN 中的大写。
您应该有一个与您的机器名称类似的主体，例如：[email protected]，并相应地添加到 keytab 中（全部大写并以结尾$）
您应该有主体host/your-machine.your.domain.name和nfs/your-machine.your.domain.name，并相应地将此主体添加到密钥表。
您的/etc/hosts名字不能大写，并且如果有的话，FQDN 应该是第一个，而不是短名称。

NFS4 服务器：

NFS4 服务器：

导出文件：

在 /etc/hosts 中：

服务器和客户端：

在 /etc/idmapd 中：

NFS4 客户端：

安装请求：

客户端日志：

客户端密钥表：

客户端凭证缓存：

客户端 /etc/hosts：

DNS 相关：

反向 DNS：

从服务器获取主机信息：

从客户端获取主机信息：

答案1

答案2

答案3

相关内容