Настройка межсетевого экрана (iptables) для использования NFS под Fedora

Я решил окончательно включить межсетевой экран (firewall) и систему безопасности SELinux, чтобы машина могла осуществлять сетевые соединения и чтобы они были защищены от непрошеных гостей.

В системе Fedora, базовая настройка межсетевого экрана до безобразия проста если использовать system-config-firewall. Тем не менее, разрешение работы с NFS to work не ограничивается простым выбором галочкой сервиса "NFS4" service в Firewall Configuration. Все это потому, что NFS использует 4 разных сервиса: собственно NFS, mountd, statd and portmapper. В то время как NFS и portmapper используют фиксированные порты (2049 и 111 TCP/UDP), порты сервисов mountd and statd выбираются в случайном порядке сервисом portmapper. Поэтому нет возможности открыть эти сервисы в межсетевом экране и NFS не работает как ожидалось.

Но, как вы можете себе представить, решение существует. Все, что нам нужно сделать, - это закрепить порты за сервисами mountd and statd. Это можно сделать, открыв и подредактировав файл /etc/sysconfig/nfs и раскомментировав строки MOUNTD_PORT и STATD_PORT и прописав желаемые значения (я использовал 4000 и 4001, соответственно). Сохраняем файл и перезапускаем серсив NFS:

# service nfs restart

Теперь возвратимся к программе system-config-firewall. Выберем "Other Ports" и добавим порты 111 TCP/UDP для portmapper и те порты, которые мы прописали для сервисов mountd и statd в файле конфигурации. После этого, нажимаем "Apply" и все готово, NFS доступен для компьютеров в вашей сети.

Решение работает на системах CentOS, Red Hat Enterprise Linux и возможно будет работать на других Red Hat-подобных операционных системах.


Перевод статьи http://daveandnaty.blogspot.com/2008/03/nfs-under-firewall-on-fedora.html