Debian挂载网络驱动器的安全设置

Debian挂载网络驱动器的安全设置

一通用安全原则

使用最小权限：共享与挂载点只授予必要用户/主机访问；本地挂载点目录权限建议设为0750/0700，避免其他用户遍历或误写。
凭据与密钥保护：禁止在命令行明文写密码；使用受保护的凭据文件并设置600权限；优先采用Kerberos等强认证替代口令。
传输安全：优先启用SMB3 加密（seal）或NFSv4 + Kerberos krb5p链路加密；避免在不安全网络上使用明文协议。
访问控制：NFS 在服务端以CIDR精确放行客户端；SMB 共享基于共享权限与域/本地账号最小权限配置。
网络安全：限制访问源地址、启用防火墙、必要时使用VLAN/微隔离与主机加固；确保**DNS 与时间（NTP）**准确，Kerberos/SMB 对时钟敏感。

二 SMB CIFS 安全配置

安装客户端与准备凭据
- 安装工具：sudo apt update && sudo apt install cifs-utils
- 凭据文件示例（/etc/cifs-credentials）：
  - username=your_user
  - password=your_pass
  - domain=YOUR_DOMAIN
- 权限设置：sudo chown root:root /etc/cifs-credentials && sudo chmod 600 /etc/cifs-credentials
安全挂载选项要点
- 协议与加密：vers=3.1.1，seal（加密），默认启用SMB 签名；如域环境可用 sec=krb5（需加入域/获取TGT）
- 身份与多用户：cruid=$(id -u)，multiuser（多用户映射各自凭据）
- 本地权限映射：uid/gid 指定最小权限用户；file_mode=0640，dir_mode=0750
- 缓存与一致性：cache=strict
- 示例：
  - sudo mount -t cifs //server/share /mnt/smb -o vers=3.1.1,seal,cruid=$(id -u),uid=1000,gid=1000,file_mode=0640,dir_mode=0750,credentials=/etc/cifs-credentials
自动挂载与凭据保护
- /etc/fstab 示例：
  - //server/share /mnt/smb cifs vers=3.1.1,seal,cruid=$(id -u),uid=1000,gid=1000,file_mode=0640,dir_mode=0750,credentials=/etc/cifs-credentials 0 0
- 先备份：sudo cp /etc/fstab /etc/fstab.bak；变更后用 mount -a 验证；凭据文件保持600且仅 root 可读。

三 NFS 安全配置

服务端（示例 /etc/exports）
- 精确网段放行：/data 192.168.1.0/24(rw,sync,root_squash,no_subtree_check)
- 安全要点：优先使用sync；启用root_squash（禁止客户端 root 直通）；必要时用all_squash将访问映射为匿名；按需细化到单个主机与权限
- 使配置生效：sudo exportfs -ra
客户端
- 安装工具：sudo apt install nfs-common
- 安全挂载选项
  - 版本与认证：vers=4.1/4.2，sec=krb5p（链路加密）；如仅域内可信网络可酌情使用 krb5/krb5i
  - 一致性：建议 sync；可按需调优属性/目录缓存（acregmin/max、acdirmin/max）
  - 示例：
    - sudo mount -t nfs -o vers=4.1,sec=krb5p server.example.com:/export/data /mnt/nfs
- 自动挂载
  - /etc/fstab 示例：
    - server.example.com:/export/data /mnt/nfs nfs vers=4.1,sec=krb5p,sync 0 0
  - 或采用 systemd.mount 单元以便更细粒度依赖与超时控制
防火墙与服务
- 放行服务：sudo firewall-cmd --permanent --add-service=nfs --add-service=rpc-bind --add-service=mountd && sudo firewall-cmd --reload
- 时间同步与域名解析：确保与 KDC/服务器时间一致、DNS 正确，避免 Kerberos/IDMAP 异常。

四加固检查与运维

验证与审计
- 查看挂载与参数：mount | grep -E ‘cifs|nfs’；必要时 dmesg | grep -i CIFS/NFS
- 运行时状态：nfsstat -m、/proc/self/mountstats；SMB 可用 mount.cifs -v 提高日志级别
- 凭据安全：ls -l /etc/cifs-credentials 应为 600 root:root
- 本地目录权限：ls -ld /mnt/smb /mnt/nfs 建议 0750/0700，属主为最小权限业务账号
自动挂载与可用性
- 使用 systemd 管理可提升可靠性（After=network.target、超时与重试）；变更 /etc/fstab 后用 mount -a 测试再重启
- 避免在生产环境使用过时或不安全选项（如 SMB1、NFSv3 明文）。

最新问答