Opciones de cifrado y autenticación de NFS

De forma predeterminada, los recursos compartidos NFS se asignan mediante la autenticación AUTH_SYS RPC. También puede configurarlos para que se compartan con la seguridad de Kerberos. Mediante el uso de la autenticación AUTH_SYS, el UID y el GID UNIX del cliente pasan sin autenticación en la red por el servidor NFS. Este mecanismo de autenticación puede ser fácilmente derrotado por cualquier usuario con acceso root en un cliente y, por lo tanto, es mejor usar cualquiera de los otros modos de seguridad disponibles.

Es posible especificar controles de acceso adicionales por recurso compartido para permitir o denegar el acceso a los recursos compartidos de hosts, dominios DNS o redes específicos.

Modos de seguridad

Los modos de seguridad se configuran por recurso compartido. En la siguiente lista, se describe la configuración de seguridad de Kerberos disponible.

• krb5: Autenticación de usuario final mediante Kerberos V5.

• krb5i: krb5 más protección de integridad (los paquetes de datos están protegidos contra alteraciones).

• krb5p: krb5i más protección de privacidad (los paquetes de datos están protegidos contra alteraciones y están cifrados).

Al definir los modos de seguridad, se pueden especificar combinaciones de tipos de Kerberos. La combinación de modos de seguridad permite que los clientes realicen el montaje con cualquiera de los tipos de Kerberos mostrados.

Tipos de Kerberos

• sys: Autenticación del sistema.

• krb5: Kerberos v5 únicamente; los clientes deben realizar el montaje con este tipo.

• krb5:krb5i: Kerberos v5 con integridad; los clientes pueden realizar el montaje con cualquier tipo de la lista.

• krb5i: Kerberos v5 con integridad únicamente; los clientes deben realizar el montaje con este tipo.

• krb5:krb5i:krb5p: Kerberos v5, con integridad o privacidad; los clientes deben realizar el montaje con cualquiera de los tipos de la lista.

• krb5p: Kerberos v5 con privacidad únicamente; los clientes deben realizar el montaje con este tipo.