适用于Linux的安全网络文件系统：人们在做什么？

NFSv3已经广泛使用，但是默认的安全模型是... quaint。CIFS可以使用Kerberos身份验证，但是如果没有POSIX语义，它就不是启动器。AFS从来没有对网络上的流量进行加密，它是krb4-基本上是一个无效的项目。新奇的实验性文件系统从未实现过，或者专注于速度（如果幸运的话，数据可靠性）—例如，Lustre使用与NFSv3相同的客户端信任模型。对于家庭使用，sshfs很漂亮，但是肯定不能扩展。

然后当然是NFSv4，其sec = krb5p。从理论上讲很棒，但是十年后，它似乎在现实世界中令人难以使用。Linux客户端刚刚删除了实验标签。如果您看一下EMC Celerra，Isilon等，它们全都是NFSv3。（Celerra支持NFSv4，但是它确实被埋藏在文档中。Isilon显然致力于将RPCGSS支持添加到FreeBSD中，所以也许它即将推出，但是现在不存在。）我什至不能将此帖子标记为“ nfsv4”，因为我这里是新的，那将是一个新标签。

所以，真的。你们都在做什么

由于这是一个特定的问题（大家都在做什么），让我们回答一下：什么也没有。大多数管理员和用户只是不必担心NFS安全性，因此每个人都使用NFSv3。它通常是一个受控的环境（从某种意义上说，首先只有知名机器才能连接到网络）。如果有人被滥用基础设施，他们将被解雇或入狱。

对于您确实不希望任何人都能读取的数据，可以对它们进行显式加密，例如Firefox密码数据库，ssh密钥或pgp密钥。这样做是因为您知道管理员可以在文件服务器上读取它们，因此无论如何网络文件系统的安全性将无济于事。

您似乎在这里问了两个问题：

我们实际上在使用什么？而这是什么？

什么我实际使用是CIFS，在我的使用情况POSIX是不太重要的，所以我没有任何问题。NFS3用于安全性不重要的区域，例如我的SLES安装服务器。最后，sshfs / gvfs用于简单的用户土地共享。认为不需要有线加密，因此这对我们而言不是有意义的因素。

至于另一个问题，您要寻找的东西似乎有六个主要要求：

1. 加密网络上的流量。
2. 加密身份验证。
3. Posix语义。
4. 严格执行基于服务器的ACL。
5. 不是用户国。
6. 是实际使用的。

我怀疑第5点和第6点将是这里的杀手,，但是这里就走了（另外，这是一个表确实很方便的地方，但是markdown / StackExchange不支持它）。

NFSv3 + IPSec

1. 在线加密，通过
2. 没有加密的身份验证，失败
3. Posix语义，通过
4. 无法强力实施基于服务器的ACL，失败
5. 不是使用者，通过
6. 实际使用中，合格

NFSv4 + Krb + IPSec

1. 在线加密，通过
2. 加密身份验证，通过
3. Posix语义，通过
4. 严格执行基于服务器的ACL，通过
5. 不是使用者，通过
6. 未实际使用，失败

国际金融服务中心

1. 线上未加密，失败
2. 加密身份验证
3. Posix语义，通过（现在是Samba和Kernel，Windows从NT时代开始就有Posix层）
4. 严格执行基于服务器的ACL，通过
5. 不是使用者，通过
6. 实际使用中，合格

CIFS + IPSec

1. 在线加密，通过
2. 加密身份验证
3. Posix语义，通过（现在为Samba和Kernel）
4. 严格执行基于服务器的ACL，通过
5. 不是使用者，通过
6. 未实际使用，失败

SSHFS

1. 在线加密，通过
2. 加密身份验证，通过
3. Posix语义，通过
4. 严格执行基于服务器的ACL，通过
5. 是用户土地，失败
6. 实际使用中，合格

法新社/ NetATalk

1. 在线加密，失败
2. 加密身份验证，通过
3. Posix语义，通过
4. 严格执行基于服务器的ACL，通过
5. 不是使用者，通过
6. 实际使用过，失败

而且我没有碰到那里的分布式文件系统。根本没有一件事情可以做到。有些接近（CIFS），有些已经存在，但没有人使用它们（NFS4 + IPSec，CIFS + IPSec）。出于某种原因，多年来，安全的网络文件系统遭受了很多折衷。

多年来，我一直在Linux和Windows客户端的生产环境中使用openafs。它运行良好，拥有活跃的开发社区，并且在最近几年中，由于各种Linux发行版都随附了打包程序，因此安装和管理变得更加容易。它有缺陷，但是我发现它们被更高的管理灵活性，通过慢速链接将客户端和服务器分隔开的能力，易于进行异地备份以及其他积极的AFSism所抵消。

我特别喜欢的一件事是在openafs上运行面向Internet的生产Web服务器，并锁定ACL。没有kerberos票，机器上就没有可以写入文件系统的进程-即使是以root用户身份运行的进程。我无法数出由于这种简单的措施我们发现攻击完全失败的次数。

有一些相当大的openafs用户-我知道最大的商业用户是Morgan Stanley。

现在还活着的OpenAFS及其下面的VPN怎么样，因为目前唯一的加密是DES。

我看到该线程中的很多人都在谈论数据隐藏，即攻击无法监听您的数据。考虑数据完整性和真实性同样重要。这些nfs数据包确实来自您的nfs服务器吗？nfs数据包在传输过程中是否发生更改？

好吧，对我来说，听起来像是那些分布式文件系统之一适合您。我不太想推荐OpenAFS，因为它很旧，尚不支持IPv6，..

我自己对GlusterFS感到非常满意。Gluster非常成熟，可以正常运行并且具有良好的功能集。但是，正如最近在IRC中讨论的那样，Gluster也不以稳定的方式支持IPv6。此功能的预定日期为3.6或3.7。

还有一个名为HekaFS的项目，该项目建立在Gluster的基础上，该项目添加了更多高级身份验证功能和SSL。它是imo极好的文档，设计也非常好。

您可能会感兴趣的是XtreemFS，它是为全局网格计算而设计的，因此默认情况下它附带SSL和其他内容。我选择使用Gluster，因为社区似乎更活跃，而且记录得更好。

当然，两者都符合posix。

我使用NFS。但是，服务器到服务器的NFS是通过专用网络主干完成的，因此不需要加密，并且身份验证是毫无意义的。只需将每个导出设置为仅将选择目录共享给基于IP的服务器。

出于所有应有的尊重，您完全以错误的方式看待此问题，应该离开控制台几个小时。

几乎所有存储io都是未加密的，因为在抽象堆栈的这一层都没有关系。对此感到怀疑？轻按一下Brocade光纤交换机，您会发现光纤通道（就像iscsi和nfs一样）都是未经加密的混乱-从设计上讲。解决这是一个中等问题，而不是存储协议问题。例如，想要安全和加密的nfs？使用ipsec / ssl / tls或纯硬件解决方案在nfs客户端和服务器之间创建了一个加密的点对点局域网。