誰かがインターネットを介してNFSを盗聴できますか？

NFSを使用して仕事からホームサーバーに接続したい。sshfsを試しましたが、NFSほど信頼性が低いと言う人もいます。

sshfsトラフィックが暗号化されていることは知っています。しかし、NFSはどうでしょうか？誰かが私のトラフィックを盗聴し、コピーしているファイルを表示できますか？

LANでNFSv4を使用していますが、うまく機能します。

security nfs

— トーマス
ソース

「一部の人々」とは誰ですか、彼らは正確に何と言いますか？

— ジル「SO-悪であるのをやめる」

NFSはブロックレベルのプロトコルであり、遅延に敏感です。通常UDPで使用されるため、ファイアウォールの問題が発生する可能性があります。TCPで使用できます。パフォーマンスはあまり良くないと思います。

— キース

答えてくれてありがとう。家の外ではsshfsを使い続けますが、lanのときはnfsを使い続けます。

— トマス

@Keith NFSはファイルレベルのプロトコルです。iSCSI、AoEはブロックレベルのプロトコルですが、NFSではありません。

SSHFSがまさにその方法です。速度は、アップストリーム/ダウンストリームインターネット接続で得られるものに実質的にネイティブであり、sshのオーバーヘッドは無視できます。また、暗号化の長所だけでなく、認証に公開/秘密キーとssh-agentを使用することも重要です。

— ロビン・ヴァン・レーウェン

回答:

NFSv4をとともに使用する場合sec=krb5p、安全です。（つまり、認証にKerberos 5を使用し、プライバシーのために接続を暗号化することを意味します。）ただし、NFS v3またはNFS v4を使用する場合sys=system、いいえ、まったく安全ではありません。

また、未知の脆弱性が発生した場合に備えて、kerberosおよびrpcポートをインターネット全体に公開することに懸念があるかもしれません。

— mattdm
ソース

ありがとう。たった一つ。そのオプションはサーバー側で構成されていますか？

— トマス

@Tomas：ネゴシエートされ、サーバーとクライアントの両方にオプションがあります。セキュリティで保護された接続のみに制限する場合は、必ずエクスポートオプションにsec = krb5pのみをリストしてください。

— mattdm

一部の懸念は控えめな表現です。トンネリングせずにインターネット全体でNFを使用するのに十分なほど正気でない人

— ルイFリベイロ

NFS自体は一般に安全ではありません-@mattが示唆するようにkerberosオプションを使用することは1つのオプションですが、NFSを使用する必要がある場合は安全なVPNを使用してNFSを実行することをお勧めします-この方法で少なくとも安全でないインターネットからのファイルシステム-もちろん、誰かがあなたのVPNに違反した場合、あなたは事実上広く開いていますが、それはとにかく通常のシナリオです。

— ロリー・オルソップ
ソース

一部の人々が誰であるかはわかりませんが、まったく同意しません。sshfsNFS（テスト済み）の約99％の速度であり、はるかに堅牢です。sshNFSでは、インターネットトラフィックの不安定な性質を落とすことなく処理する機能を備えているため、NFSでは、古いファイルハンドルでハングアップすることになります。

sshfsを使用して、ホームディレクトリをサンノゼのニューヨークにある私のボックスにマウントし、接続を維持し、3日間連続してデータを移動しました。

それを試して、あなたはそれを好きになるでしょう。

— linuxrebel
ソース

SSHFSにはいくつかの重要な欠点があります。私の頭上では、ファイルのロックはサポートされていません。これにより、マルチユーザー環境で問題が発生する可能性がありますが、ホームディレクトリにアクセスしているだけであれば大丈夫でしょう。SSHFSは、不安定なネットワーク接続に対してあまり寛容ではありません。NFSが切断されることを好むというわけではありませんが、リモートファイルシステムを完全にアンマウントしなくても回復できると思われます。

— トレバージョンズ

速度は異なります。Archer C7でOpenWRTを実行していますが、NFSはsshfsより5倍高速です。

— スパルホーク

「速度は異なります。ArcherC7でOpenWRTを実行しています」というのは、sshfsがある程度CPUにバインドされているため、暗号化はCPUで行われます。したがって、ワークステーションをワークステーションに接続している場合は、問題ないはずです... MIPSまたはARMを備えたルーターは不要です。

— -thecarpy