«Amaliyot ishi» 5330300 – Axborot xavfsizligi

2.1.Tarmoq fayl tizimi elementlari

Taqsimlangan fayl tizimi fayllarni bir yoki bir nechta kompyuterda saqlaydi. Tarmoq foydalanuvchilariga fayllariga kirishga imkon beradigan kompyuter odatda fayl serveri deb nomlanadi. Ushbu kompyuterda ishlaydigan va masofadagi kompyuterlarga fayllar va kataloglarga kirish uchun bir qator xizmatlarni taqdim etadigan dastur ham fayl serveri deb ataladi. Fayl serverlari odatda iyerarxik fayl tizimlarini o‘z ichiga oladi. Ko‘p tarmoq fayl tizimlarida mijoz kompyuteri ushbu fayl tizimlarini o‘zining lokal fayl tizimlariga ulashi va o‘rnatishi mumkin, bu esa masofadagi katalog va fayllarga murojaat qilishni qulaylashtiradi. Tarmoq fayl tizimi odatda quyidagi elementlarni o‘z ichiga oladi:

 Lokal fayl tizimi;
 Lokal fayl tizimining interfeysi;
 Tarmoq fayl tizimi serveri;
 Tarmoq fayl tizimi mijozi;
 Tarmoq fayl tizimining interfeysi;
 Tarmoq fayl tizimi Mijoz-server protokoli.
Tarmoq fayl tizimining mijozlari – bu tarmoqqa ulangan kompyuterlarda ishlaydigan va boshqa dasturlarning masofadagi kompyuterda saqlangan fayllarga kirish so‘rovlariga javob qaytaradigan (xizmat qiladigan) dasturlar. Masalan, Windows Explorer, UNIX qobig‘i va boshqa maxsus dasturlar. Ilovalar maʼlum bir dasturlash interfeysi – “Tarmoq fayl tizimining interfeysi” yordamida tarmoq fayl tizimining mijoziga murojaat qiladi. 193 Tarmoq fayl tizimining mijozi va serveri bir-biri bilan tarmoq orqali maʼlum bir protokoldan foydalangan holda aloqa o‘rnatadilar. Masalan, Windows tarmoq fayl xizmati SMB protokolidan foydalanadi. UNIX-ga asoslangan OT-ning turli xil versiyalarida NFS protokoli mashhur. Network File System (NFS) – bu 1984 yilda Sun Microsystems tomonidan ishlab chiqilgan tarmoq fayl tizimiga kirish protokoli. Ushbu protokol masofadan proseduralarni chaqirish protokoli (ONC RPC (Open Network Computing Remote Procedure Call)) ga asoslangan. Masofadagi fayl tizimlarini tarmoq orqali ulash imkonini beradi.

Tarmoq fayl tizimi funksiyalari

Tarmoq fayl tizimi (NFS) tarmoq kompyuterlariga serverdagi umumiy kataloglarga kirishni taʼminlash uchun ishlatiladi. Fayllarni serverda markazlashtirilgan holda saqlash katta tarmoqdagi ishlarni tashkil qilishni osonlashtiradi. Ayniqsa bitta foydalanuvchi turli vaqtlarda turli xil kompyuterlarda ishlashi mumkin bo‘lgan joylarda bu juda qulay hisoblanadi, chunki u fayllarga istalgan kompyuteridan murojaat qilishi mumkin. Fayl serveridan foydalanib, birdaniga bir nechta vazifalar hal qilinadi:
 barcha maʼlumotlarni muntazam ravishda zaxira nusxalash: bu operatsiyani bir necha o‘nlab yoki yuzlab kompyuterlar uchun alohida alohida bajarish qiyin, ammo bitta serverda yoki bir nechta serverlarda binu amalga oshirish oson;
 maʼlumotlarni saqlash ishonchliligini oshirish: tarmoqdagi har bir kompyuterni RAID massivi bilan jihozlash maqsadga muvofiq emas, chunki kompyuterdagi fayllarning aksariyati, masalan o‘rnatilgan dasturiy taʼminot, ularni buzilishdan himoya qilishdan ko‘ra ularni qayta o‘rnatish osonroq; ammo fayl serverini RAID-massivi bilan jihozlash (hech bo‘lmaganda RAID-massivini tashkil qilishning dasturiy vositalarini qo‘llash) maqsadga muvofiq bo‘lar edi;
 saqlash xarajatlarining pasayishi: Agar barcha kompyuterlarda katta hajmdagi diskni o‘rnatish qimmat va samarasiz bo‘lsa, unda serverda kengaytirilishi mumkin bo‘lgan katta diskni o‘rnatish mumkin;
 barcha kompyuterdan maʼlumotlarga kirishni taʼminlash.

2.2.NFS haqida

NFS mijoz-server arxitekturasida foydalanish uchun mo'ljallangan. Mijoz NFS-server tomonidan eksport qilingan fayl tizimiga mijozga ulanish nuqtasi orqali kiradi. Ushbu kirish odatda mijoz dasturi uchun shaffofdir.
Ko'pgina mijoz / server tizimlaridan farqli o'laroq, NFS ma'lumot almashish uchun Masofaviy protsedura qo'ng'iroqlarini (RPC) ishlatadi. Odatda, mijoz oldindan belgilangan portga ulanishni o'rnatadi va keyin protokolning o'ziga xos xususiyatlariga muvofiq ma'lum bir harakatni amalga oshirish uchun so'rov yuboradi. Masofaviy protsedura chaqirig'i bo'lsa, mijoz protsedura chaqiruvini yaratadi va keyin uni bajarish uchun serverga yuboradi. Quyida NFSning batafsil tavsifi keltirilgan.
Masalan, mijoz usr2 katalogini mahalliy ildiz fayl tizimiga o'rnatgan deb taxmin qiling:
/ root / usr2 / -\u003e masofadan boshqarish: / root / usr /
Agar mijoz dasturiga ushbu katalogning resurslari kerak bo'lsa, u operatsion tizimga o'zi uchun va fayl nomi uchun so'rov yuboradi va ikkinchisi NFS mijozi orqali kirish huquqini beradi. Masalan, oddiy UNIX buyrug'ini ko'rib chiqing, u tarmoq protokollari to'g'risida "hech narsa bilmaydi". Buyruq
CD / root / usr2 /
ishchi katalogni fayl tizimining masofadan turibligini "hattoki bilmasdan" (foydalanuvchiga bu ham kerak emas) joylashtiradi.
So'rovni olgandan so'ng, NFS-server buni tekshiradi berilgan foydalanuvchi so'ralgan harakatni bajarish huquqi va agar javob ijobiy bo'lsa, uni amalga oshiradi.

YAQINLIKGA OLING

Mijoz nuqtai nazaridan NFS-dan foydalangan holda masofadan turib fayl tizimini o'rnatish jarayoni bir necha bosqichlarni o'z ichiga oladi. Yuqorida aytib o'tilganidek, NFS mijozi serverda bajarish uchun masofaviy protsedura chaqirig'ini chiqaradi. Shuni esda tutingki, UNIX-da mijoz bitta dasturdir (o'rnatish buyrug'i), server esa aslida quyidagi minimal to'plamga ega bo'lgan bir nechta dastur sifatida amalga oshiriladi: port mapper, mount demon va NFS server ...
Dastlab, mijozga o'rnatish buyrug'i serverning portni tarjima qilish xizmati bilan o'zaro aloqada bo'lib, u 111-portdagi so'rovlarni tinglaydi. Mijozlarni o'rnatish buyrug'ining aksariyat dasturlari NFS-ning bir nechta versiyasini qo'llab-quvvatlaydi, bu esa mijoz va server o'rtasida umumiy protokol versiyasini topish ehtimolini oshiradi. Qidiruv eng qadimgi versiyadan boshlab amalga oshiriladi, shuning uchun umumiy topilganida, u avtomatik ravishda eng ko'p bo'ladi yangi versiya mijoz va server tomonidan qo'llab-quvvatlanadiganlardan.
(Taqdim etilgan material NFS-ning uchinchi versiyasiga qaratilgan, chunki u hozirda eng keng tarqalgan. To'rtinchi versiya hali ko'p dasturlar tomonidan qo'llab-quvvatlanmagan.)
Server portini tarjima qilish xizmati qo'llab-quvvatlanadigan protokolga va montaj xizmati ishlayotgan portga muvofiq javob beradi. Mount mijoz dasturi avval serverga ulanish demoniga ulanadi, so'ngra RPC unga mount buyrug'ini o'rnatadi. Agar a ushbu protsedura muvaffaqiyatli bo'lib, keyin mijoz dasturi NFS-serverga ulanadi (2049-port) va RFC 1813-da belgilangan va 1-jadvalda keltirilgan 20 ta masofaviy protseduralardan biri yordamida masofaviy fayl tizimiga kirish huquqini beradi.
Ko'pgina buyruqlarning ma'nosi intuitiv va hech qanday qiyinchilik tug'dirmaydi tizim ma'murlari... Quyidagi tcdump ro'yxati sinov fayli nomli faylni o'qish uchun UNIX mushuk buyrug'i tomonidan yaratilgan o'qish buyrug'ini aks ettiradi:
10:30: 16.012010 eth0\u003e 192.168.1.254. 3476097947\u003e 192.168.1.252.2049: 144 izlash fh 32.0 / 224145 "test-file" 10: 30: 16.012010 eth0\u003e 192.168.1.254. 3476097947\u003e 192.168.1.252.2049: 144 izlash fh 32.0 / 224145 "test-file" 10:30: 16.012729 eth0 192.168.1.254.3476097947: javob ok 128 izlash fh 32.0 / 224307 (DF) 10:30: 16.012729 eth0 192.168.1.254.3476097947: javob bering 128 izlash fh 32.0 / 224307 (DF) 10: 30: 16.013124 eth0\u003e 192.168.1.254. 3492875163\u003e 192.168.1.252.2049: 140 o'qish fh 32.0 / 224307 4096 bayt @ 0 10: 30: 16.013124 eth0\u003e 192.168.1.254. 3492875163\u003e 192.168.1.252.2049: 140 o'qilgan fh 32.0 / 224307 4096 bayt @ 0 10: 30: 16.013650 eth0 192.168.1.254.3492875163: javob ok 108 o'qilgan (DF) 10: 30: 16.013650 eth0 192.168.1.254.3492875163 : javob bering ok 108 o'qing (DF)
NFS an'anaviy ravishda UDP orqali amalga oshiriladi. Biroq, NFS-ning ba'zi versiyalari TCP-ni qo'llab-quvvatlaydi (TCP-ni qo'llab-quvvatlash protokol spetsifikatsiyasida aniqlangan). TCP-ning asosiy afzalligi - ishonchsiz tarmoqlarda samaraliroq qayta uzatish mexanizmi. (UDP holatida, agar xato yuzaga kelsa, bir nechta UDP paketlaridan iborat to'liq RPC xabari qayta yuboriladi. Agar TCP mavjud bo'lsa, faqat yomon qism qayta yuboriladi.)

NFS ACCESS

NFS dasturlari odatda kirish huquqini berishning to'rtta usulini qo'llab-quvvatlaydi: foydalanuvchi / fayl atributlari orqali, umumiy resurs darajasida, asosiy tugun darajasida va boshqa kirish usullarining kombinatsiyasi.
Birinchisi, alohida foydalanuvchi yoki guruh uchun UNIX-ning o'rnatilgan fayl ruxsat tizimiga asoslangan. Xizmatni soddalashtirish uchun foydalanuvchi va guruh identifikatori barcha NFS mijozlari va serverlarida izchil bo'lishi kerak. Xavfsizlikni diqqat bilan ko'rib chiqish kerak: NFS ularni yaratishda mo'ljallanmagan fayllarga beixtiyor kirish huquqini berishi mumkin.
Birgalikda resurslarga kirish huquqi fayllarni egaligi yoki UNIX imtiyozlaridan qat'i nazar, faqat muayyan harakatlarga ruxsat berish huquqini cheklash imkonini beradi. Masalan, NFS fayl tizimi bilan ishlash faqat o'qish bilan cheklanishi mumkin. Ko'pgina NFS dasturlari ma'lum foydalanuvchilar va / yoki guruhlarga umumiy resurslardan foydalanishni yanada cheklash imkonini beradi. Masalan, "Inson resurslari" guruhiga ma'lumotlarni ko'rishga ruxsat beriladi va boshqa hech narsa yo'q.
Magistr tuguniga kirish faqat fayl tizimini ma'lum tugunlarga o'rnatishga imkon beradi, bu odatda yaxshi fikrdir, chunki fayl tizimlari har qanday NFS-ga mos keladigan tugunda osongina yaratilishi mumkin.
Kombinatsiyalangan kirish shunchaki yuqoridagi turlarni birlashtiradi (masalan, ulanish darajasidagi kirish, ma'lum bir foydalanuvchiga berilgan ruxsat bilan) yoki foydalanuvchilarga NFS bilan faqat ma'lum bir tugundan ishlashga imkon beradi.

NFS PENGUIN STILIDA

Taqdim etilgan Linux bilan bog'liq materiallar nfs-utils 0.1.6 to'plami bilan ta'minlangan 2.4.9 yadrosi bo'lgan Red Hat 6.2-ga asoslangan. Yangi versiyalar mavjud: ushbu yozuv paytida, eng ko'p oxirgi yangilanish Nfs-utils to'plami 0.3.1 bilan raqamlangan. Uni quyidagi manzildan yuklab olish mumkin.
Nfs-utils to'plami quyidagi ikkiliklarni o'z ichiga oladi: exportfs, lockd, mountd, nfsd, nfsstat, nhfsstone, rquotad, showmount va statd.
Afsuski, ba'zida Linux ma'murlari uchun NFS-ni qo'llab-quvvatlash chalkashtirib yuboradi, chunki u yoki bu funktsiyalarning mavjudligi to'g'ridan-to'g'ri yadro va nfs-utils paketining versiya raqamlariga bog'liq. Yaxshiyamki, hozirgi kunda ushbu sohadagi vaziyat yaxshilanmoqda: eng so'nggi tarqatish to'plamlari ikkalasining ham so'nggi versiyalarini o'z ichiga oladi. Oldingi nashrlar uchun NFS-HOWTO ning 2.4 qismida yadro va nfs-utils paketining har bir birikmasi uchun mavjud bo'lgan tizim funktsiyalarining to'liq ro'yxati keltirilgan. Ishlab chiquvchilar paketning oldingi versiyalar bilan mosligini saqlab, xavfsizlik va xatolarni tuzatishga katta e'tibor berishadi.
NFS-ni qo'llab-quvvatlash yadro kompilyatsiya vaqtida boshlanishi kerak. Agar kerak bo'lsa, yadro NFS 3-versiyasi bilan ham ishlashi kerak.
Linuxconf-ni qo'llab-quvvatlaydigan tarqatish uchun NFS xizmatlarini mijozlar va serverlar uchun sozlash oson. Biroq, linuxconf yordamida NFS-ni o'rnatishning tezkor usuli qaysi fayllar yaratilgan yoki tahrirlanganligi haqida ma'lumot bermaydi, bu tizim ishlamay qolganda vaziyatni tushunish uchun administrator uchun juda muhimdir. Linuxning NFS arxitekturasi BSD bilan chambarchas bog'liq, shuning uchun kerakli fayllar va qo'llab-quvvatlash dasturlarini BSD, Sun OS 2.5 yoki NFS ning oldingi versiyalari bo'lgan ma'murlar uchun topish oson.
/ Etc / export fayli, avvalgi BSD versiyalarida bo'lgani kabi, NFS mijozlariga kirishga ruxsat berilgan fayl tizimlarini belgilaydi. Bundan tashqari, u ma'murga nozik sozlash vositasini berib, boshqaruv va xavfsizlik masalalari bilan bog'liq bir qator qo'shimcha funktsiyalarni o'z ichiga oladi. u matnli faylyozuvlar, bo'sh satrlar yoki sharhlangan satrlardan iborat (sharhlar # bilan boshlanadi).
Deylik, biz mijozlarga Lefty tugunidagi / home katalogiga faqat o'qish huquqini berishni xohlaymiz. Quyidagi yozuv / etc / export da bunga mos keladi:
/ uy (ro)
Bu erda biz tizimga rpc.mountd mount daemon yordamida qaysi kataloglarni taqdim etishimiz kerakligini aytib berishimiz kerak:
# exportfs -r exportfs: / home (ro) da xost nomi ko'rsatilmagan, ogohlantirishni oldini olish uchun * (ro) kiriting #
Ruxsat etilgan vaqtda exportfs buyrug'i / etc / export ma'lum bir tugunga kirishni cheklamasligi haqida ogohlantiradi va / et / / export dan / var / lib / nfs / etab-da tegishli yozuvni yaratadi va qaysi resurslarni mushuk bilan ko'rish mumkin:
# cat / var / lib / nfs / etab / home (ro, async, wdelay, hide, safe, root_ squash, no_all_squash, subtree_check, safe_locks, mapping \u003d identifikatsiya, anonuid \u003d -2, anongid \u003d -2)
Etabda keltirilgan boshqa variantlarga NFS tomonidan ishlatilgan standartlar kiradi. Tafsilotlar quyida tavsiflanadi. / Home katalogiga kirish huquqini berish uchun tegishli NFS xizmatlarini boshlash kerak:
# portmap # rpc.mountd # rpc.nfsd # rpc.statd # rpc.rquotad
O'rnatish demonini (rpc.mountd) ishga tushirgandan so'ng istalgan vaqtda maslahatlashing alohida fayllar/ proc / fs / nfs / export faylining tarkibini ko'rish orqali chiqish uchun mavjud:
# cat / proc / fs / nfs / export # 1.0 versiyasi # Path Client (Flags) # IPs / home 192.168.1.252 (ro, root_squash, async, wdelay) # 192.168.1.252 #
Xuddi shu narsani -e parametri bilan showmount buyrug'i yordamida ko'rish mumkin:
# showmount -e chap tomon uchun eksport ro'yxati: / uy (hamma) #
Showmount buyrug'i o'zimdan bir oz oldinda yurib, o'rnatilgan barcha fayl tizimlarini aniqlash uchun yoki boshqacha qilib aytganda, showmount buyrug'ini boshqaradigan tizim uchun qaysi tugunlar NFS mijozlari ekanligini aniqlash uchun ishlatilishi mumkin. Showmount -a barcha mijozlarni o'rnatish nuqtalarini ro'yxatlaydi:
# showmount -a chap tomonda joylashgan barcha o'rnatish nuqtalari: 192.168.1.252:/home #
Yuqorida aytib o'tilganidek, NFS dasturlarining aksariyati ushbu protokolning turli xil versiyalarini qo'llab-quvvatlaydi. Linux dasturini ishga tushirish uchun demon -N tugmachasini ko'rsatib, NFS versiyalari ro'yxatini cheklashga imkon beradi. Masalan, NFS 3-versiyasini va faqat 3-versiyasini boshlash uchun quyidagi buyruqni kiriting:
# rpc.mountd -N 1 -N 2
Diqqatga sazovor foydalanuvchilar Linuxda NFS xizmatining (rpc.nfsd) 1-versiyasi va 2-versiyasi paketlarini kutayotgani noqulay bo'lishi mumkin, ammo bu tegishli protokolni qo'llab-quvvatlamaslikning kerakli samarasini beradi. Umid qilamizki, keyingi versiyalarni ishlab chiquvchilari kerakli tuzatishlarni amalga oshiradilar va protokolning turli xil versiyalariga nisbatan paket tarkibiy qismlarining yanada izchilligiga erishadilar.