Q&A
NAS を NFS ではなく、cifs でマウントできないでしょうか？
Centos Stram8にて2台のSamba-ad-dcを構築ました。
ファイルサーバーへのアクセスは、ADユーザーを利用してアクセス制御を行い、ファイルパーミッションは、POSIX ACLでAＤのグループ情報でアクセス権を与えています。
ファイルサーバーのデータバックアップは、2台のサーバに相互でnfs4でNASをマウントしrsyncでコピーをしています。
サーバ故障時は健全なサーバから故障したサーバのバックアップにアクセスします※1
※1：smb.confに「server1-backup」、「server2-backup」のように記載しエクスプローラーから読み取り専用でアクセス
※ADユーザーは200人程おり、グループデータは30グループ程です。
構成は以下の通りです。
〇アクセス時
●Windowsクライアント⇒linuxファイルサーバー(samba)⇒NAS(Synology)
・Windowsクライアント：DHCP(144.0.77.**)
・linuxファイルサーバー1：144.0.77.150(NIC1)
：192.168.68.100(NIC2)
・linuxファイルサーバー2：144.0.77.151(NIC1)
：192.168.68.101(NIC2)
・NAS-1：192.168.68.200
・NAS-2：192.168.68.201
●フォルダ階層
server1-共有フォルダ(sambaで表示させている名称)
|-01_共有フォルダ---
|-01_Aグループ
|-02_Bグループ
|-03_Cグループ
|-02_専用フォルダ---
|-01_Aグループ
|-02_Bグループ
|-03_Cグループ
01_共有フォルダはA～Cのグループが読み書き可
02_専用フォルダはA～Cの各グループ＋指定の組み合わせ(01_AグループにはAグループ＋Bグループを読み書き可のような形)が読み書き可
のようにPOSIX ACLでアクセス権を付けています。
現状の課題
nfsマウントのため、POSIX ACLはコピー不可でアクセス権がすべて外れ、バックアップデータにアクセスした場合誰でも見れる状態になってしまう。
実現したい事
バックアップデータへのアクセス時、ファイルサーバーにアクセスした時と同じようにアクセス制御を行いたい。
試したこと
setfaclを試しましたが、nfsマウントはサポート対象外
nfs4-acl-toolを試しましたが、ADユーザーのグループ情報を与える方法が分からず断念しました。
ファイルサーバーを踏み台にし、ポートフォワードでNASにアクセスできるか試しましたが不可能でした。
その他
Windows Serverで構築し、NASをVHDマウントすれば解決しますがLinuxでの構築が条件のため上記方法で構築しております。
回答ありがとうございます。
cifsでマウントしましたがposix aclは有効になりませんでした。
また、接続ユーザーを指定しないといけないため細かいアクセス制御の実現が不可と思われます。
あ、cifs だとユーザー固定でしたね。
NFSv4 なら POSIX ACL をサポートしているようですが、NAS 側が未対応でしょうか。
Linux で Samba を使わずに、TCP 139, 445 番などをポートフォワードするのはダメなのでしょうか？
firewalld でポートフォワードがうまくいかなければ、SSH とかでも。
synology NASがPOSIX ACLに対応していない可能性があり確認中です。
Sambaを使わずに、TCP139,445をポートフォワードするのはどのようなイメージでしょうか？
firewalldでポートフォワードを試しましたが、エクスプローラからのアクセス時ポート指定ができないようでアクセス不可となりました。
SSHをポートフォワードする場合、WindowsクライアントからTeraTermでSSHアクセスした際転送されてしまうなど懸念がありますが試してみます。
firewalld のポートフォワードだと、NAS からの戻りパケットが Linux に返るようにルーティングする必要があります。
SSH のポートフォワードだと、プロキシのような接続経路になるので、NAS のルーティングはそのままでいいです。
Linux で samba を停止し、root ユーザーで "ssh -f -N -L 0.0.0.0:445:192.168.68.200:445 localhost" とします。
0.0.0.0:445 で LISTEN し、接続を受けると 192.168.68.200:445 に転送します。
追記が遅くなり申し訳ありません。
上記頂いた方法で実施する場合、メインのアクセス先となるファイルサーバーが使えなくなってしまうため
運用上NGとなります。
そもそも、sambaの「hide unreadable」機能がNFSマウントしているディレクトリに対して有効となるのかが問題な気がしますので調べてその他の解決策を検討してみます。
あなたの回答
tips
プレビュー
