Debian挂载网络驱动器的安全设置
Debian挂载网络驱动器的安全设置
一通用安全原则
使用最小权限：共享与挂载点只授予必要用户/主机访问；本地挂载点目录权限建议设为0750/0700，避免其他用户遍历或误写。
凭据与密钥保护：禁止在命令行明文写密码；使用受保护的凭据文件并设置600权限；优先采用Kerberos等强认证替代口令。
传输安全：优先启用SMB3加密（seal）或NFSv4+Kerberoskrb5p链路加密；避免在不安全网络上使用明文协议。
访问控制：NFS在服务端以CIDR精确放行客户端；SMB共享基于共享权限与域/本地账号最小权限配置。
网络安全：限制访问源地址、启用防火墙、必要时使用VLAN/微隔离与主机加固；确保**DNS与时间（NTP）**准确，Kerberos/SMB对时钟敏感。
二SMBCIFS安全配置
安装客户端与准备凭据
安装工具：sudoaptupdate&&sudoaptinstallcifs-utils
凭据文件示例（/etc/cifs-credentials）：
username=your_user
password=your_pass
domain=YOUR_DOMAIN
权限设置：sudochownroot:root/etc/cifs-credentials&&sudochmod600/etc/cifs-credentials
安全挂载选项要点
协议与加密：vers=3.1.1，seal（加密），默认启用SMB签名；如域环境可用sec=krb5（需加入域/获取TGT）
身份与多用户：cruid=$(id-u)，multiuser（多用户映射各自凭据）
本地权限映射：uid/gid指定最小权限用户；file_mode=0640，dir_mode=0750
缓存与一致性：cache=strict
示例：
sudomount-tcifs//server/share/mnt/smb-overs=3.1.1,seal,cruid=$(id-u),uid=1000,gid=1000,file_mode=0640,dir_mode=0750,credentials=/etc/cifs-credentials
自动挂载与凭据保护
/etc/fstab示例：
//server/share/mnt/smbcifsvers=3.1.1,seal,cruid=$(id-u),uid=1000,gid=1000,file_mode=0640,dir_mode=0750,credentials=/etc/cifs-credentials00
先备份：sudocp/etc/fstab/etc/fstab.bak；变更后用mount-a验证；凭据文件保持600且仅root可读。
三NFS安全配置
服务端（示例/etc/exports）
精确网段放行：/data192.168.1.0/24(rw,sync,root_squash,no_subtree_check)
安全要点：优先使用sync；启用root_squash（禁止客户端root直通）；必要时用all_squash将访问映射为匿名；按需细化到单个主机与权限
使配置生效：sudoexportfs-ra
客户端
安装工具：sudoaptinstallnfs-common
安全挂载选项
版本与认证：vers=4.1/4.2，sec=krb5p（链路加密）；如仅域内可信网络可酌情使用krb5/krb5i
一致性：建议sync；可按需调优属性/目录缓存（acregmin/max、acdirmin/max）
示例：
sudomount-tnfs-overs=4.1,sec=krb5pserver.example.com:/export/data/mnt/nfs
自动挂载
/etc/fstab示例：
server.example.com:/export/data/mnt/nfsnfsvers=4.1,sec=krb5p,sync00
或采用systemd.mount单元以便更细粒度依赖与超时控制
防火墙与服务
放行服务：sudofirewall-cmd--permanent--add-service=nfs--add-service=rpc-bind--add-service=mountd&&sudofirewall-cmd--reload
时间同步与域名解析：确保与KDC/服务器时间一致、DNS正确，避免Kerberos/IDMAP异常。
四加固检查与运维
验证与审计
查看挂载与参数：mount|grep-E‘cifs|nfs’；必要时dmesg|grep-iCIFS/NFS
运行时状态：nfsstat-m、/proc/self/mountstats；SMB可用mount.cifs-v提高日志级别
凭据安全：ls-l/etc/cifs-credentials应为600root:root
本地目录权限：ls-ld/mnt/smb/mnt/nfs建议0750/0700，属主为最小权限业务账号
自动挂载与可用性
使用systemd管理可提升可靠性（After=network.target、超时与重试）；变更/etc/fstab后用mount-a测试再重启
避免在生产环境使用过时或不安全选项（如SMB1、NFSv3明文）。
