3.16 Samba 与 NFS 文件共享

预计阅读时间：16 分钟

学习目标

本章围绕 Linux 下的两种主流文件共享方案：NFS（Linux 原生的网络文件系统）与 Samba（Windows 互操作标准），从协议差异到配置排错逐一展开。

• 理解 NFSv4 与 Samba（SMB/CIFS）的核心协议差异及适用场景
• 掌握 NFS 服务端配置（/etc/exports）与客户端挂载
• 掌握 Samba 共享目录配置（smb.conf）与用户认证
• 能够排查常见的连接失败、权限拒绝、挂载超时问题
• 了解安全加固要点：端口限制、Kerberos、SMB 加密

核心知识

1.1 NFS 关键概念

1.2 Samba 关键概念

知识关联

• 前置知识：rhcsa01 磁盘分区与 LVM（挂载、autofs），1.7：用户与权限管理 用户与权限管理（UID/GID 模型），5.1：Linux 安全加固 Linux 安全加固（防火墙基础）
• 后续影响：3.13：备份策略与恢复 备份策略与恢复（NFS 作为备份目标存储），4.13：服务器初始化规范 服务器初始化规范（共享存储是基础设施一部分）
• 配套技术：NFS 跨 Linux 共享，Samba 跨 Linux/Windows 共享。autofs 实现按需自动挂载。NFSv4 只需放行 TCP 2049；Samba 需 TCP 445。

原理讲解

2.1 NFS 协议演进

NFS（Network File System）由 Sun Microsystems 于 1984 年提出，设计目标是在 Unix 系统间透明共享文件。

• NFSv2/v3：无状态——服务器无需维护客户端打开的文件状态，崩溃后可快速恢复。缺点：锁管理需额外 lockd，端口通过 rpcbind 动态分配，防火墙配置复杂。
• NFSv4：有状态——将锁、ACL、挂载协商统一纳入协议，单端口 TCP 2049 穿透防火墙；引入 COMPOUND 操作合并 RPC 调用以减少网络开销；支持 sec=krb5i（完整性）和 sec=krb5p（隐私加密）。

2.2 SMB/CIFS 协议

SMB 由 IBM 于 1983 年发明，微软大幅扩展后成为 Windows 网络共享基石。Samba 是其开源实现。

• CIFS（Common Internet File System）：微软在 SMB 基础上推出的增强版本，增加符号链接、大文件支持等
• SMB2/3：Vista 后引入 SMB2 减少命令数量；SMB3 增加多通道（Multichannel）、透明故障转移（SMB Direct RDMA）和端到端加密（SMB Encryption）
• 认证机制：NTLM（挑战-响应，不推荐）→ Kerberos（AD 域环境）→ 与 AD/LDAP 集成

2.3 NFS vs Samba 核心差异

2.4 NFS 安全模型：root_squash 与 export 选项

NFS 的权限模型建立在"信任客户端"之上：客户端发来的请求携带 UID/GID，服务器默认直接按此映射到本地文件权限。这带来两个风险——客户端伪造 root（UID 0）即可读写服务器任意文件；客户端 UID 与服务器不一致时出现文件属主错乱（由 idmapd 缓解）。因此 export 选项是 NFS 安全的第一道闸门：

2.5 Samba 安全模型：用户映射与加密

Samba 的权限链路是"Windows 访问身份 → smbpasswd 校验 → 服务器本地文件权限"。三个要点：

• 独立口令库：Samba 密码与系统密码分离（smbpasswd/tdbsam），改系统密码不影响 SMB 访问
• 用户映射：force user / force group 把访问者统一映射到本地账号，避免权限碎片化
• 传输加密：SMB3 提供端到端加密（smb encrypt = required），密码之外的数据内容也被加密，默认仅密码加密

示例代码

3.1 NFSv4 服务端配置

# 安装
sudo apt install nfs-kernel-server

# 创建导出的目录
sudo mkdir -p /srv/nfs/data
sudo chown nobody:nogroup /srv/nfs/data
sudo chmod 755 /srv/nfs/data

# 编辑 /etc/exports
# /srv/nfs/data    192.168.1.0/24(rw,sync,no_subtree_check,no_root_squash)
# /srv/nfs/backup  *.example.com(rw,sync,no_subtree_check,root_squash)

# 重新加载导出
sudo exportfs -arv  # 输出: exporting 192.168.1.0/24:/srv/nfs/data

# 查看导出状态
sudo exportfs -v  # 输出: /srv/nfs/data 192.168.1.0/24(rw,wdelay,...)

# 防火墙（NFSv4 只需 2049）
sudo ufw allow from 192.168.1.0/24 to any port 2049 proto tcp

3.2 NFS 客户端挂载

# 安装客户端工具
sudo apt install nfs-common

# 手动挂载
sudo mount -t nfs4 192.168.1.10:/srv/nfs/data /mnt/data

# /etc/fstab 永久挂载
# 192.168.1.10:/srv/nfs/data  /mnt/data  nfs4  defaults,_netdev  0  0

# 用 autofs 按需挂载
# /etc/auto.master 添加:
# /mnt/nfs    /etc/auto.nfs  --timeout=300
# /etc/auto.nfs:
# data    -fstype=nfs4    192.168.1.10:/srv/nfs/data

# 验证挂载
mount | grep nfs  # 输出: 192.168.1.10:/srv/nfs/data on /mnt/data type nfs4 (rw,relatime,vers=4.2)
df -h /mnt/data  # 输出: Filesystem Size Used Avail Use% Mounted on

3.3 Samba 服务端配置

# 安装
sudo apt install samba

# 备份默认配置
sudo cp /etc/samba/smb.conf /etc/samba/smb.conf.bak

# 最小化 /etc/samba/smb.conf
# [global]
#    workgroup = WORKGROUP
#    server string = File Server
#    netbios name = fileserver
#    security = user
#    map to guest = bad user
#    smb encrypt = desired
#
# [shared]
#    comment = Team Shared Folder
#    path = /srv/samba/shared
#    browseable = yes
#    read only = no
#    valid users = @sambausers
#    create mask = 0660
#    directory mask = 0770
#    force user = alice
#    force group = sambausers

# 创建共享目录与用户组
sudo groupadd sambausers
sudo mkdir -p /srv/samba/shared
sudo chgrp sambausers /srv/samba/shared
sudo chmod 2770 /srv/samba/shared

# 添加 Samba 用户
sudo smbpasswd -a alice
# 将用户加入组
sudo usermod -aG sambausers alice

# 测试配置
testparm  # 输出: Load smb config files from /etc/samba/smb.conf
#        Processing section "[shared]"
#        Loaded services file OK.

# 启动服务
sudo systemctl enable --now smbd nmbd  # 输出: Created symlink ...

# 防火墙
sudo ufw allow samba
# 或具体: ufw allow 445/tcp; ufw allow 137:139/tcp 137:139/udp

3.4 Samba 客户端挂载（Linux）

# 安装 cifs 工具
sudo apt install cifs-utils

# 手动挂载
sudo mount -t cifs //192.168.1.10/shared /mnt/smb -o username=alice,uid=1000,gid=1000

# /etc/fstab
# //192.168.1.10/shared  /mnt/smb  cifs  credentials=/etc/samba/cred,uid=1000,gid=1000,_netdev  0  0

# 凭据文件 /etc/samba/cred (chmod 600)
# username=alice
# password=secret
# domain=WORKGROUP

# 列出服务器上的共享
smbclient -L //192.168.1.10 -U alice  # 输出: Sharename       Type      Comment
#         shared          Disk      Team Shared Folder

# 交互式连接
smbclient //192.168.1.10/shared -U alice  # 输出: Try "help" to get a list of possible commands.

3.5 高级挂载选项与性能调优

# NFS 性能相关挂载选项
mount -t nfs4 -o rsize=1048576,wsize=1048576,noatime,hard,timeo=600,retrans=2 \
    192.168.1.10:/srv/nfs/data /mnt/data
# rsize/wsize     读写缓冲大小（单位字节），1MiB 是常见最优值
# noatime         不更新访问时间戳，减少一半以上元数据写操作
# hard + timeo    硬挂载+重试：网络抖动不丢数据，进程等待而非报错（软挂载易丢写）
# retrans         超时重传次数

# 查看当前挂载参数
nfsstat -m   # 或 cat /proc/mounts | grep nfs

# 吞吐测试（确认优化是否生效）
dd if=/dev/zero of=/mnt/data/test.bin bs=1M count=1024 conv=fdatasync
# 输出: 1073741824 bytes (1.1 GB, 1.0 GiB) copied, 9.7 s, 110 MB/s
# （千兆网卡实际吞吐上限约 110MB/s，除非链路聚合/万兆，否则不会更高）

# SMB 挂载常用调优
mount -t cifs //192.168.1.10/shared /mnt/smb \
    -o username=alice,vers=3.0,iocharset=utf8,cache=loose,acl
# cache=loose    客户端积极缓存，读密集场景吞吐更高
# acl            启用 POSIX ACL 映射

# 写入频繁场景：增大 cifs 文件系统缓存
# （老教程里的 echo 0 > /proc/fs/cifs/LinuxExtensionsEnabled 早已随内核移除，
#   现在通过挂载选项调优即可）

3.6 NFS 安全加固完整配置

# /etc/exports 生产级示例：精确网段 + 权限最小化
/srv/nfs/projects   10.0.0.0/24(rw,sync,no_subtree_check,root_squash)
/srv/nfs/backup     10.0.1.0/24(ro,sync,no_subtree_check,all_squash)
/srv/nfs/staging    10.0.2.5(rw,sync,no_subtree_check,no_root_squash)   # 单机白名单

# 防火墙：NFSv4 只放行 2049，v3 还需要 111+rpc 动态端口（尽量不用 v3）
ufw allow from 10.0.0.0/24 to any port 2049 proto tcp

# 禁用 NFSv3 与 rpcbind 暴露（nfs.conf 或 /etc/default/nfs-kernel-server）
# RPCNFSDOPTS="-N 3"        # 只提供 v4
# 重启后 rpcbind 通常仍在监听（本机 NFS 客户端和部分 RPC 服务依赖它），
# 只需确认它没有暴露到公网网卡：
ss -tlnp | grep 111

# Kerberos 加密挂载（需要 KDC 已就绪）
# 服务端 krb5.conf + 客户端 keytab 配置完成后：
mount -t nfs4 -o sec=krb5p 192.168.1.10:/srv/nfs/data /mnt/secure
# 验证加密是否生效
nfsstat -o rpc -c | grep -A1 "krb5p"   # 有 krb5p 计数即加密流量

3.7 Samba 高级配置：加密、访问控制与审计

# smb.conf 高级片段

# [global] 加固
#    smb encrypt = required        # 强制 SMB3 加密（数据内容加密）
#    min protocol = SMB2_10        # 禁用 SMB1（永恒之蓝漏洞源头）
#    server signing = required     # 强制签名，防中间人篡改
#    restrict anonymous = 2        # 禁止匿名枚举
#    guest ok = no
#    log level = 1
#    log file = /var/log/samba/log.%m   # 按客户端主机拆分日志
#    max log size = 10240

# [projects] 精细访问控制
#    path = /srv/samba/projects
#    read only = no
#    valid users = @developers        # 仅开发组成员可访问
#    write list = alice, bob          # 只有这两人可写
#    read list = @qa                  # QA 组只读
#    hide unreadable = yes            # 对无权读的用户隐藏文件名
#    veto files = /*.tmp/*.log/    # 屏蔽临时文件（注意：veto files 中只有 * 和 ? 是通配符，. 是字面字符）

# 配置校验三步曲
testparm -s                      # 输出最终生效配置
smbstatus -S                     # 查看当前共享的打开文件
tail -f /var/log/samba/log.smbd  # 审计访问日志

# 组管理：开发组
groupadd developers && usermod -aG developers alice
smbpasswd -a alice && smbpasswd -e alice   # -e 启用账号

# 客户端验证加密连接
smbclient //192.168.1.10/projects -U alice --option="client min protocol=SMB3"
# 提示: SMB3_11 dialect 支持且加密已启用

3.8 排错流程与配置校验

# NFS 排错：从服务端到客户端逐层验证
# ① 服务端导出是否正确
sudo exportfs -v
# ② 客户端能否看到导出列表（rpcbind/v4 可达性）
showmount -e 192.168.1.10
# ③ 直接挂载看报错（mount 失败信息比 fstab 完整）
mount -t nfs4 192.168.1.10:/srv/nfs/data /mnt/data
# ④ 服务器端实时日志
tail -f /var/log/syslog | grep -i nfs
# ⑤ 内核级错误
dmesg | grep -i nfs | tail

# Samba 排错：同样从底向上
# ① 配置文件语法
testparm
# ② 服务状态与端口
systemctl status smbd && ss -tlnp | grep 445
# ③ 客户端可达性
smbclient -L //192.168.1.10 -U alice -m SMB3
# ④ 详细日志（把 log level 临时调到 3）
# log level = 3

# 启动前演练：fstab 条目用 mount -a 验证，避免重启后挂载失败
sudo mount -a && echo "all fstab mounts OK"
# 若失败：单机恢复 → 从 /etc/fstab 中注释该行 → 修复后再恢复

# 变更管理习惯：任何 smb.conf / exports 修改前先备份
sudo cp /etc/samba/smb.conf{,.bak.$(date +%Y%m%d)}
sudo cp /etc/exports{,.bak.$(date +%Y%m%d)}

常见错误

最佳实践

练习题

1. 搭建一个 NFSv4 服务，导出一个目录 /srv/nfs/projects，仅允许 10.0.0.0/24 子网读写访问并 squash root。写出 /etc/exports 配置行和客户端挂载命令。
2. 编写 Samba 配置文件片段：共享 /srv/samba/backup，仅允许用户 bob 和 carol 写入，浏览所有权为 backup_team 组，新建文件权限 0640，目录 0750。
3. 假设客户端 mount NFS 时遇到 mount.nfs: access denied by server，列出至少三个排查步骤（按顺序）并解释每个步骤的目的。
4. 在使用 sec=krb5p 的 NFSv4 环境中，客户端与服务器时间偏差 >5 分钟会怎样？如何诊断？
5. 设计一个方案：用 autofs 自动挂载远程 Samba 共享 //192.168.10.5/data 到本地 /mnt/remote_data，超时 10 分钟。写出 auto.master 和 auto.smb 的关键配置。（提示：cifs 需 option -fstype=cifs）

学习检查点

学完本章后，请检验自己是否掌握以下内容：

本章总结

本章覆盖了 NFS 与 Samba 两大共享体系：NFS 适合纯 Linux/Unix 环境的透明挂载，Samba 用于与 Windows/macOS 混用。核心要点是守住安全底线——export 选项最小化、用户映射正确、端口按需放行、定期 testparm 校验配置。

速查表

学习路径

1. 基础：掌握 NFS 导出与挂载、Samba 配置与用户管理
2. 安全：配置 export 选项（root_squash / no_subtree_check）、启用 SMB 加密、NFS Kerberos
3. 集成：结合 autofs 按需挂载；与 LDAP/AD 统一用户认证
4. 生产：Samba AD 域控制器；NFSv4.2 服务器端拷贝 + 标签继承；性能调优（rsize/wsize/readdir size）

延伸阅读