一、NFS服务与防火墙的那些事儿
NFS（Network File System）作为Linux环境下最常用的网络文件共享协议，相信各位运维老司机都不陌生。但每次配置NFS服务时，最让人头疼的就是防火墙规则设置——开大了不安全，开小了又影响业务。今天咱们就来聊聊如何用iptables这个老牌防火墙工具，既给NFS开绿灯，又加上安全锁。
先说说典型翻车现场：某次我在生产环境配置NFS时，直接粗暴地iptables -F清空所有规则，结果NFS客户端集体掉线。后来才发现NFS这个服务比较特殊，它除了主端口2049，还会动态分配其他端口用于数据传输。这就好比你去酒店不仅需要正门通行证，还得有各个侧门的钥匙。
二、NFS服务的端口秘密
要让NFS正常工作，需要开放的端口可不止一个。根据NFS版本不同，需求也有所差异：
NFSv3需要：
- 端口2049（NFS主服务）
- portmapper服务（111端口）
- 动态分配的MOUNTD端口（默认在32764-32768范围）
- STATD服务（默认端口662）
NFSv4简化了流程：
- 仅需2049端口（TCP协议）
- 但某些实现仍需要rpcbind（111端口）
这里有个实用命令可以查看当前NFS使用的端口：
# 查看NFS相关服务端口（技术栈：Linux命令）
rpcinfo -p localhost | grep -E 'nfs|mountd|status'
# 输出示例：
# 100024 1 udp 37654 status
# 100024 1 tcp 41765 status
# 100003 3 tcp 2049 nfs
三、iptables实战配置
现在进入重头戏，假设我们的需求是：
- 允许192.168.1.0/24网段访问NFS
- 仅开放必要端口
- 记录异常访问尝试
基础规则配置（技术栈：iptables）
# 清空现有规则（生产环境慎用！）
iptables -F
iptables -X
# 设置默认策略（全部拒绝）
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
# 允许本地回环
iptables -A INPUT -i lo -j ACCEPT
# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 开放SSH端口（22）给管理网段
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT
# NFS核心规则开始
# 1. 允许rpcbind（111端口）
iptables -A INPUT -p tcp --dport 111 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p udp --dport 111 -s 192.168.1.0/24 -j ACCEPT
# 2. 允许NFS主端口（2049）
iptables -A INPUT -p tcp --dport 2049 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p udp --dport 2049 -s 192.168.1.0/24 -j ACCEPT
# 3. 处理动态端口（关键！）
# 先创建自定义链
iptables -N NFS_DYNAMIC_PORTS
iptables -A INPUT -p tcp -s 192.168.1.0/24 -j NFS_DYNAMIC_PORTS
iptables -A INPUT -p udp -s 192.168.1.0/24 -j NFS_DYNAMIC_PORTS
# 添加动态端口范围规则
iptables -A NFS_DYNAMIC_PORTS -p tcp --dport 32764:32768 -j ACCEPT
iptables -A NFS_DYNAMIC_PORTS -p udp --dport 32764:32768 -j ACCEPT
# 4. 可选：记录被拒绝的NFS访问
iptables -A INPUT -p tcp --dport 2049 -j LOG --log-prefix "NFS_ACCESS_DENIED: "
iptables -A INPUT -p udp --dport 2049 -j LOG --log-prefix "NFS_ACCESS_DENIED: "
# 保存规则（根据系统不同）
iptables-save > /etc/sysconfig/iptables # CentOS/RHEL
# 或
netfilter-persistent save # Ubuntu/Debian
高级版本：固定NFS动态端口
如果觉得动态端口范围太大不安全，可以固定服务端口：
# 编辑/etc/sysconfig/nfs（CentOS/RHEL）
MOUNTD_PORT=892
STATD_PORT=662
# 对应iptables规则调整
iptables -A NFS_DYNAMIC_PORTS -p tcp --dport 892 -j ACCEPT
iptables -A NFS_DYNAMIC_PORTS -p udp --dport 892 -j ACCEPT
iptables -A NFS_DYNAMIC_PORTS -p tcp --dport 662 -j ACCEPT
iptables -A NFS_DYNAMIC_PORTS -p udp --dport 662 -j ACCEPT
四、验证与排错
配置完成后，必须进行验证：
- 从客户端测试挂载：
showmount -e <NFS服务器IP>
mount -t nfs <NFS服务器IP>:/share /mnt/nfs
- 检查防火墙日志：
tail -f /var/log/messages | grep NFS_ACCESS_DENIED
- 如果遇到连接问题，可以临时启用完整日志：
iptables -I INPUT 1 -j LOG --log-prefix "IPTABLES_DEBUG: "
五、技术方案对比
应用场景选择：
- 开发测试环境：可以直接使用NFSv4（仅需2049端口）
- 生产环境：建议固定所有服务端口后配置防火墙
- 跨公网场景：应该使用VPN或SSH隧道，而非直接开放NFS端口
技术优缺点：
优点：
- iptables作为内核级防火墙，性能损耗极小
- 规则配置灵活，可以精确到IP和端口
- 与Linux系统深度集成
缺点：
- 学习曲线较陡峭
- 动态端口处理较复杂
- 规则管理需要手动维护
注意事项：
- 永远不要在生产环境直接
iptables -F - 修改规则前先备份现有配置
- 建议通过管理口操作，避免被自己锁在外面
- NFS协议本身不加密，敏感数据应该结合kerberos
- UDP协议在大型文件传输时可能有问题
六、现代替代方案
虽然iptables仍然可靠，但新环境下也可以考虑：
- firewalld：更友好的管理界面，底层仍使用iptables
firewall-cmd --add-service=nfs --permanent
firewall-cmd --reload
- nftables：iptables的继任者，语法更简洁
nft add rule ip filter INPUT ip saddr 192.168.1.0/24 tcp dport {111,2049,32764-32768} accept
七、总结
配置NFS防火墙就像给房子装防盗门——既不能让主人进不了家门，又要把小偷挡在门外。通过今天的分享，我们学会了：
- NFS服务需要多端口配合工作
- iptables可以精确控制访问源和端口
- 固定服务端口能简化防火墙规则
- 一定要在修改前做好备份和测试
记住，好的防火墙配置应该像瑞士奶酪——有必要的孔让业务流通，但其他部分坚不可摧。希望这篇指南能帮你避开我当年踩过的坑！
评论