nfs v3にクライアントからマウント「できてしまう」

Question

nfsのversion3（4ではない)の構築の勉強をしています

やりたいのは以下のようなことです。
①/etc/sysconfig/nfsを編集しnfs関連で使うポート番号を固定する
②サーバのiptablesに許可設定を記述し、クライアントから正しくマウントできることを確認する

が、①をしていないのに、クライアントから普通にマウントできてしまいます。

サーバークライアントともに、Windows7上のvirtualbox上でCentOS6.6で、それぞれ別のマシンです。

CentOS6系からはnfsがデフォルトではバージョン4になるとのことで、

サーバーの/etc/sysconfig/nfsを以下のように変更しました。

＃ Turn off v4 protocol support
RPCNFSDARGS="-N 4"

また、マウント時も
vers=3を指定しており、クライアントからマウントしてみると

192.168.xx.xx:/export on /export type nfs (rw,vers=3,addr=192.168.xx.xx)

のようにversionは3のように見えます。

サーバー側の/etc/sysconfig/iptablesのINPUTはv4用の設定だけしてあり以下の状態です。

:INPUT ACCEPT [0:0]
-I INPUT -p tcp -m tcp --dport 2049 -j ACCEPT

iptablesに他のデーモンの設定をしていないのでマウントに失敗するのかと思ったのですが、できてしまいました。。。
私が行った上記の設定では、nfsをv3で起動できていないのでしょうか？
どうすればv3で起動することができるでしょうか？（また確認方法）

ご回答よろしくお願いします。

Answer 1

サーバ側で動作しているnfsのバージョンの確認は以下のコマンドでできます。

rpcinfo -p | grep nfs

また、iptablesのエントリですが記載のもの以外にはないでしょうか。
iptablesの設定でdropログを取ることになっているなら、そちらを見てみるのも手です。

nfs関係の通信ができているかいないかの確認であれば、nfsマウント前とnfsマウント後のnetstat -anコマンドの結果を突合してみるのもよいと思います。

Comments

[hwhshsq]

rpcinfo -p | grep nfsの実行結果です。

100003 2 tcp 2049 nfs
100003 3 tcp 2049 nfs
100227 2 tcp 2049 nfs_acl
100227 3 tcp 2049 nfs_acl
100003 2 udp 2049 nfs
100003 3 udp 2049 nfs
100227 2 udp 2049 nfs_acl
100227 3 udp 2049 nfs_acl

2項目目がバージョンだと思うのですが、2と3が混在しているのでしょうか・・・？

[ynakano]

そのようですね

[hwhshsq]

2および3の場合であれば、iptablesでmountdなどが利用するポート番号を指定しなければマウントに失敗すると思うのですが、なぜマウントできてしまうのでしょう・・？

[ynakano]

質問文のiptablesの記述をよく見ると":INPUT ACCEPT"になってますね。（見落としてました）
これだと受信パケットは素通しですね。
":INPUT DROP"で暗黙の拒否をして、必要なものだけ許可にすればよいと思います。

[hwhshsq]

iptablesを INPUT DROPにしたところ、

mount.nfs: Connection timed out

となりマウントできなくなりました！（喜んでいいのかどうか・・・笑

[ynakano]

結論としてはNFSはバージョン3で起動していて、ipfilterの設定が理由で意図せずマウントできていた、という事ですね。

[hwhshsq]

そのようですね。
引き続き構築は行いますが、いったんこの質問はクローズいたします。
また問題が出そうな気がしていますが、もしお時間ありましたら、またよろしくお願いします。
２日間にわたりありがとうございました。（例のshowmountはなぞのままですが・・・