Administración de sistema NFS seguro

Para utilizar el sistema NFS seguro, todos lo equipos de los que es responsable deben tener un nombre de dominio. Normalmente, un dominio es una entidad administrativa de varios equipos que forma parte de una red más grande. Si ejecuta un servicio de nombres, también debe establecer el nombre de servicio para el dominio. Consulte la Guía de administración del sistema: Servicios de nombres y directorios (DNS, NIS y LDAP).

El servicio NFS admite la autenticación Kerberos V5. El Capítulo 21, Introducción al servicio Kerberos de Guía de administración del sistema: servicios de seguridad trata sobre el servicio Kerberos.

También puede configurar el entorno NFS seguro para utilizar autenticación Diffie-Hellman. El Capítulo 16, Uso de servicios de autenticación (tareas) de Guía de administración del sistema: servicios de seguridad trata sobre este servicio de autenticación.

Cómo configurar un entorno NFS seguro con autenticación DH

Asigne a su dominio un nombre de dominio y haga que el nombre de dominio sea conocido por cada equipo del dominio.
Consulte la Guía de administración del sistema: Servicios de nombres y directorios (DNS, NIS y LDAP) si utiliza NIS+ como su servicio de nombres.
Establezca claves públicas y claves secretas para los usuarios de clientes utilizando el comando newkey o nisaddcred. Haga que cada usuario establezca su propia contraseña de RPC segura mediante el comando chkey.
Nota - Para obtener más información acerca de estos comandos, consulte las páginas del comando man newkey(1M), nisaddcred(1M) y chkey(1).

Cuando se han generado claves públicas y claves secretas, las claves públicas y las claves secretas encriptadas se almacenan en la base de datos publickey.

Verifique que el servicio de nombres responda.

Si está ejecutando NIS+, escriba lo siguiente:

# nisping -u
Last updates for directory eng.acme.com. :
Master server is eng-master.acme.com.
        Last update occurred at Mon Jun  5 11:16:10 1995

Replica server is eng1-replica-replica-58.acme.com.
        Last Update seen was Mon Jun  5 11:16:10 1995

Si ejecuta NIS, verifique que el daemon ypbind esté en ejecución.

Verifique que el daemon keyserv del servidor clave esté en ejecución.
Escriba el siguiente comando.
```
# ps -ef | grep keyserv
root    100      1  16    Apr 11 ?        0:00 /usr/sbin/keyserv
root   2215   2211   5  09:57:28 pts/0    0:00 grep keyserv
```
Si el daemon no está en ejecución, inicie el servidor de claves introduciendo lo siguiente:
```
# /usr/sbin/keyserv
```
Descifre y almacene la clave secreta.
Normalmente, la contraseña de inicio de sesión es idéntica a la contraseña de red. En esta situación, keylogin no es necesario. Si las contraseñas son distintas, los usuarios tienen que iniciar sesión y, a continuación, ejecutar keylogin. Aún necesita utilizar el comando keylogin -r como root para almacenar la clave secreta descifrada en /etc/.rootkey.

Nota - Debe ejecutar keylogin -r si la clave secreta raíz cambia o si /etc/.rootkey se pierde.
Actualice las opciones de montaje para el sistema de archivos.
Para autenticación Diffie-Hellman, edite el archivo /etc/dfs/dfstab y agregue la opción sec=dh a las entradas apropiadas.
```
share -F nfs -o sec=dh /export/home
```
Consulte la página del comando man dfstab(4) para obtener una descripción de /etc/dfs/dfstab.
Actualice los mapas de montador automático para el sistema de archivos.
Edite los datos auto_master para incluir sec=dh como opción de montaje en las entradas apropiadas para autenticación Diffie-Hellman:
```
/home    auto_home    -nosuid,sec=dh
```
Nota - Las versiones hasta Solaris 2.5 tienen una limitación. Si un cliente no monta de manera segura un sistema de archivos compartido que es seguro, los usuarios tienen acceso como nobody en lugar de como ellos mismos. Para versiones posteriores que utilizan la versión 2, el servidor NFS niega el acceso si los modos de seguridad no coinciden, a menos que -sec=ninguno se incluya en la línea de comandos share. Con la versión 3, el modo se hereda del servidor NFS, para que los clientes no necesiten especificar sec=dh. Los usuarios tienen acceso a los archivos como ellos mismos.

Cuando reinstala, mueve o actualiza un equipo, acuérdese de guardar /etc/.rootkey si no establece nuevas claves o modifica las claves para root. Si elimina /etc/.rootkey, siempre puede escribir lo siguiente:
```
# keylogin -r
```

Omitir V�nculos de navegaci�n
Salir de la Vista de impresi�n
	Guía de administración del sistema: servicios de red