Einrichtung eines FreeBSD NFSv4 Clients mit Kerberos und AutoFS im Linux-Netzwerk

Diese Anleitung erklärt, wie man unter FreeBSD ein Linux NFSv4 Verzeichnis mit Kerberos-Absicherung und AutoFS mounten kann.

Voraussetzung:

Ein funktionierendes Netzwerk mit Kerberos,NFSv4 und NTP. In unserem Szenario ist der Kerberos-KDC, der Kerberos-Admin und der NFSv4 Server auf dem selben Host, mit dem Namen nasserver, installiert. Die Benutzer und deren Prinzipals sind angelegt und geprüft. Die Domäne soll beispiel.net heißen und der Realm BEISPIEL.NET.

Benutzername,UID und GID sind auf dem Linux-Server nasserver und dem FreeBSD Client nasclient identisch. Dieses kann durch z.B NIS, Ldap oder manuelle Einrichtung erreicht werden. In diesem Fall reicht das manuelle Anlegen des Benutzers aus. Unser virtueller Benutzer ist nasuser mit der UID 1001 ind GID 1001.

nasclient:$ adduser

Username: nasuser
Full name: nasuser
Uid (Leave empty for default):
Login group [nasuser]:
Login group is jru. Invite nasuser into other groups? []: wheel
Login class [default]:
Shell (sh csh tcsh zsh nologin) [sh]: bash
Home directory [/home/nasuser]:
Home directory permissions (Leave empty for default):
Use password-based authentication? [yes]:
Use an empty password? (yes/no) [no]:
Use a random password? (yes/no) [no]:
Enter password:
Enter password again:
Lock out the account after creation? [no]:
Username   : nasuser
Password   : ****
Full Name  : nas
Uid        : 1001
Class      :
Groups     : nasuser wheel
Home       : /home/nasuser
Shell      : /usr/local/bin/bash
Locked     : no
OK? (yes/no): yes
adduser: INFO: Successfully added (nasuser) to the user database.
Add another user? (yes/no): no
Goodbye!
$

Notwendig ist der vollständige (inkl. domain) Hostname des FreeBSD-Clients, ein funktionierender DNS-Service im Netzwerk oder zumindest eine gepflegte /etc/hosts auf dem Client und dem Server. Unser Rechner heißt nasclient, die Domäne beispiel.net

nasclient$ nano /etc/rc.conf

nasclient$ nano /etc/hosts

Der FreeBSD Kerberos-Client hat Heimdal als Standard, unser Linux-KDC ist ein MIT Kerberos KDC. Wir installieren als erstes MIT:

nasclient$ pkg install krb5

Dann erstellen oder kopieren wir die /etc/krb5.conf mit unserem REALM BEISPIEL.NET

nasclient$ nano /etc/krb5.conf

Der Prinzipal vom host und vom Dienst nfs auf nasclient muss noch erzeugt werden. Dieses erledigen wir auf dem Linux-Server.

#nasserver$ kadmin -p admin/admin
#kadmin> addprinc -randkey host/nasclient.beispiel.net
#kadmin> addprinc -randkey nfs/nasclient.beispiel.net

Danach testen wir unser Konfiguration auf dem FreeBSD-Client:

nasclient$ kinit nasuser

nasclient$ klist

Damit NFSv4 mit Kerberos funktioniert, wird der gssd Dienst benötigt, der für die Keys auf die Datei /etc/krb5.keytab zugreift. (siehe man gssd) Wichtig ist es zu beachten, dass der Hostname vollständig kleingeschrieben ist. Der gssd-Dienst schlägt sonst fehl da er mit falschen Prinzipal beim KDC anfragt.
MIT-Programme befinden sich unter /usr/local/bin ein nasclient$ ktutil öffnet also die Heimdal-Version. Wir benötigen MIT.

nasclient$ /usr/local/bin/kadmin -p admin/admin
$kadmin> ktadd host/nasclient.beispiel.net
$kadmin> ktadd nfs/nasclient.beispiel.net

Überprüfung von /etc/krb5.keytab auf nasclient:

nasclient$ ktutil list (Heimdal tut es hier auch)

Oder mit MIT.

nasclient$ /usr/local/bin/ktutil

ktutil:  rkt /etc/krb5.keytab
ktutil:  list
slot KVNO Principal
---- ---- ---------------------------------------------------------------------
1    2    host/nasclient.beispiel.net@BEISPIEL.NET
2    2    host/nasclient.beispiel.net@BEISPIEL.NET
3    2    host/nasclient.beispiel.net@BEISPIEL.NET
4    2    host/nasclient.beispiel.net@BEISPIEL.NET
5    2    nfs/nasclient.beispiel.net@BEISPIEL.NET
6    2    nfs/nasclient.beispiel.net@BEISPIEL.NET
7    2    nfs/nasclient.beispiel.net@BEISPIEL.NET
8    2    nfs/nasclient.beispiel.net@BEISPIEL.NET
   

Nun fehlen dem Client noch drei Dienste die wir zur /etc/rc.conf hinzufügen.

gssd, der Sicherheits-Dienst
nfsuserd, wird für das GID/UID mapping benötigt
nfscbd, wird für die Kommunikation vom NFSv4 Server zum Client benötigt

nasclient$ nano /etc/rc.conf

nfsuserd_enable="YES"
nfscbd_enable="YES"
gssd_enable="YES"
gssd_flags="-h"

Zum Testen starten wir gssd mit verbose,debug und dem "host-based initiator creditals support" Schalter, sprich es werden Kerberos NFS mounts erlaubt wenn der Service-Prinzipal nfs/nasclient.beispiel.net@BEISPIEL.NET in der /etc/krb5.keytab enthalten ist.

nasclient$ gssd -vhd

Ist alles fehlerfrei, können wir die Dienste starten.

nasclient$ service nfsuserd start
nasclient$ service nfscbd start
nasclient$ service gssd start

/nas           192.168.0.0/24(sec=krb5:krb5i,rw,fsid=0,insecure,no_subtree_check,sync)
/nas/share 192.168.0.0/24(sec=krb5:krb5i,rw,no_root_squash,nohide,insecure,no_subtree_check,sync)

nasserver.beispiel.net:/share /mnt/share nfs  bg,rw,soft,sec=krb5,nfsv4,gssname=nfs,late  0 0  

# auth
auth            sufficient      pam_opie.so                    no_warn no_fake_prompts
auth            requisite       pam_opieaccess.so        no_warn allow_local
auth            sufficient      pam_krb5.so                    no_warn try_first_pass
#auth          sufficient      pam_ssh.so                     no_warn try_first_pass
auth            required       pam_unix.so                    no_warn try_first_pass

# account

#account       required        pam_krb5.so
account       required        pam_login_access.so
account       required        pam_unix.so
account       required        pam_krb5.so                   try_first_pass

# session
#session       optional        pam_ssh.so              want_agent
session         required       pam_lastlog.so          no_fail


# password
password       sufficient      pam_krb5.so                   no_warn try_first_pass
password       requiered     pam_unix.so                   no_warn try_first_pass