Re: Jails und NFS-Server auf einem Host

Am Donnerstag, den 25.10.2012, 14:37 +0200 schrieb Oliver Fromme:
> Marc Santhoff <M.Santhoff(at)web.de> wrote:
> > die manpage von jail(8) sagt, man solle rpcbind am besten abschalten und
> > NFS zu exportieren, also als Service für andere anzubieten, wäre
> > problematisch.
> >
> > Ich als Jail-Anfänger frage mich nun, wie schlimm das wirklich ist. Der
> > Host, auf dem ich ein Jail manchmal brauche, also manuell bei Bedarf
> > starten möchte, muß NFS-Exporte anbieten können.
> >
> > Muß ich das Jail auf einen anderen Rechner verlagern? Oder kann ich es
> > (mittlerweile) wagen, trotzdem beides laufen zu lassen?
> >
> > Ich lese das als "NFS mount als CLient auf dem jail host sind
> > unkompliziert", stimmt das?
>
> Meiner Meinung nach übertreibt die jail-Manpage etwas.

Ziemlich sogar, folgender Absatz hat mich zu der Frage bewegt:

" In addition, a number of services must be recompiled in order to run them
     in the host environment. This includes most applications providing ser-
     vices using rpc(3), such as rpcbind(8), nfsd(8), and mountd(8)."

> Du
> kannst problemlos auf einem Rechner, der Jails beherbergt,
> auch NFS nutzen. Ich selbst mache das auch.

Ah gut, spart geprökel. :)

> Du musst Dir halt nur darüber im Klaren sein, dass der Host
> evtl. auch solche NFS-Anfragen erhält, die an die Adresse
> eines Jails gerichtet sind. Normalerweise ist das harmlos.
> Wenn es stört, kannst Du das auch mit einer Filterregel
> unterbinden (per ipfw oder pf); dann bist Du auf jeden Fall
> auf der sicheren Seite.

Soweit klar, sagen auch diverse Tutorien.

> Was rpcbind(8) betrifft: Der hat eine Option -h, mit der
> man ihn auf eine oder mehrere IP-Adressen festnageln kann,
> ebenso mountd(8) und nfsd(8). Du kannst in /etc/rc.conf
> also z.B. schreiben:
>
> nfs_server_flags="-u -t -n 4 -h 192.0.2.1 -h 2001:db8::0815"
> mountd_flags="-r -p 249 -h 192.0.2.1 -h 2001:db8::0815"
> rpcbind_flags="-h 192.0.2.1 -h 2001:db8::0815"

Fein, gleich passend für rc.conf. Dann kann's ja weitergehen.

Danke Olli!

-- 
Marc Santhoff <M.Santhoff(at)web.de>
To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message