При новой установке CentOS 6.9 со всеми обновлениями я могу смонтировать NFS с протоколом UDP и запустить rpcinfo -u 10.3.255.234 nfs 3
, ответ - "программа 100003 версия 3 готова и ждет". Я могу без проблем смонтировать любой экспорт NFS через UDP.
Однако, когда дело доходит до TCP, любая попытка монтирования зависает на 3 минуты, а затем истекает. То же самое для rpcinfo -t 10.3.255.234 nfs 3
. У меня есть несколько других серверов с CentOS 6.9 со всеми udpates, они могут без проблем монтировать NFS через TCP и запускать rpcinfo -t и -u, они получают положительные ответы. Они не устанавливаются заново.
Я могу наблюдать следующее поведение неисправных клиентов:
1. нет опции протокола уровня 4: мы видим, что даже попытка UDP истекает
[root@srv-tls-test02 ~]# mount -t nfs 10.3.255.234:/vol/vol_testunix /mnt -o vers=3 -v
mount.nfs: timeout set for Thu Jan 18 10:48:40 2018
mount.nfs: trying text-based options 'vers=3,addr=10.3.255.234'
mount.nfs: prog 100003, trying vers=3, prot=6
mount.nfs: trying 10.3.255.234 prog 100003 vers 3 prot TCP port 2049
mount.nfs: prog 100005, trying vers=3, prot=17
mount.nfs: trying 10.3.255.234 prog 100005 vers 3 prot UDP port 4046
(timeout)
2. с опцией tcp
[root@srv-tls-test02 ~]# mount -t nfs 10.3.255.234:/vol/vol_testunix /mnt -o vers=3,tcp -v
mount.nfs: timeout set for Thu Jan 18 10:49:25 2018
mount.nfs: trying text-based options 'vers=3,tcp,addr=10.3.255.234'
mount.nfs: prog 100003, trying vers=3, prot=6
mount.nfs: trying 10.3.255.234 prog 100003 vers 3 prot TCP port 2049
mount.nfs: prog 100005, trying vers=3, prot=6
mount.nfs: trying 10.3.255.234 prog 100005 vers 3 prot TCP port 4046
(timeout)
3. с опцией udp
[root@srv-tls-test02 ~]# mount -t nfs 10.3.255.234:/vol/vol_testunix /mnt -o vers=3,udp -v
mount.nfs: timeout set for Thu Jan 18 10:49:49 2018
mount.nfs: trying text-based options 'vers=3,udp,addr=10.3.255.234'
mount.nfs: prog 100003, trying vers=3, prot=17
mount.nfs: trying 10.3.255.234 prog 100003 vers 3 prot UDP port 2049
mount.nfs: prog 100005, trying vers=3, prot=17
mount.nfs: trying 10.3.255.234 prog 100005 vers 3 prot UDP port 4046
10.3.255.234:/vol/vol_testunix on /mnt type nfs (rw,vers=3,udp)
Когда время ожидания соединения истекает, с помощью команды mount -t nfs 10.3.255.234:/vol/vol_testunix /mnt -v -o vers=3
, вот результат /var/log/messages
: пастебин
Я немного посмотрел на пробки. Рабочий клиент получает ответ от portmapper, затем просит смонтировать "/ vol / vol_testunix". Если я ищу эту строку на свежем установленном сервере, я не нахожу ее, но ответ portmapper присутствует.
Я попробовал заново установить CentOS 6.9 на 2 разных серверах с разным оборудованием, оба тайм-аута с NFS через TCP.
Это не проблема с разрешением. Если я подменю неисправный IP-адрес работающим сервером, я могу без проблем подключиться по TCP.
Сервер NFS - это файловый сервер NetApp. Если я подключу его с неработающего сервера, я увижу, что порты NFS и rpcbind открыты.
Я подозреваю конфигурацию по умолчанию на стороне клиента. iptables и ip6tables сбрасываются и отключаются. IPv6 вообще не используется. Службы rpcbind, portmapper, mountd, lockd, statd, nfs запущены. rpcinfo на localhost отображает «portmapper», «status» и «mountd» как для tcp, так и для udp.
rpcinfo -p localhost
[root@srv-tls-test02 ~]# rpcinfo -p localhost
program vers proto port service
100000 4 tcp 111 portmapper
100000 3 tcp 111 portmapper
100000 2 tcp 111 portmapper
100000 4 udp 111 portmapper
100000 3 udp 111 portmapper
100000 2 udp 111 portmapper
100024 1 udp 34749 status
100024 1 tcp 57346 status
100005 1 udp 51983 mountd
100005 1 tcp 34221 mountd
100005 2 udp 51130 mountd
100005 2 tcp 49610 mountd
100005 3 udp 60273 mountd
100005 3 tcp 55271 mountd
ps aux | egrep "nfs|rpc|lock"
[root@srv-tls-test02 ~]# ps aux | egrep "nfs|rpc|lock"
root 28 0.0 0.0 0 0 ? S 10:04 0:00 [kblockd/0]
root 29 0.0 0.0 0 0 ? S 10:04 0:00 [kblockd/1]
rpcuser 1380 0.0 0.0 23352 1368 ? Ss 10:04 0:00 rpc.statd
root 1468 0.0 0.0 0 0 ? S 10:04 0:00 [rpciod/0]
root 1469 0.0 0.0 0 0 ? S 10:04 0:00 [rpciod/1]
root 1683 0.0 0.0 0 0 ? S 10:07 0:00 [nfsiod]
root 1919 0.0 0.0 21672 992 ? Ss 10:21 0:00 rpc.mountd
root 1925 0.0 0.0 0 0 ? S 10:21 0:00 [lockd]
root 1926 0.0 0.0 0 0 ? S 10:21 0:00 [nfsd4]
root 1927 0.0 0.0 0 0 ? S 10:21 0:00 [nfsd4_callbacks]
root 1928 0.0 0.0 0 0 ? S 10:21 0:00 [nfsd]
root 1929 0.0 0.0 0 0 ? S 10:21 0:00 [nfsd]
root 1930 0.0 0.0 0 0 ? S 10:21 0:00 [nfsd]
root 1931 0.0 0.0 0 0 ? S 10:21 0:00 [nfsd]
root 1932 0.0 0.0 0 0 ? S 10:21 0:00 [nfsd]
root 1933 0.0 0.0 0 0 ? S 10:21 0:00 [nfsd]
root 1934 0.0 0.0 0 0 ? S 10:21 0:00 [nfsd]
root 1935 0.0 0.0 0 0 ? S 10:21 0:00 [nfsd]
root 1966 0.0 0.0 25172 632 ? Ss 10:21 0:00 rpc.idmapd
rpc 2021 0.0 0.0 18980 932 ? Ss 10:22 0:00 rpcbind
rpcuser 2042 0.0 0.0 23352 1364 ? Ss 10:39 0:00 rpc.statd --no-notify
root 2225 0.0 0.0 21672 996 ? Ss 11:15 0:00 rpc.mountd
root 2239 0.0 0.0 103324 900 pts/1 S+ 11:25 0:00 egrep nfs|rpc|lock
sysinfo
[root@srv-tls-test02 ~]# uname -a
Linux srv-tls-test02 2.6.32-696.18.7.el6.x86_64 #1 SMP Thu Jan 4 17:31:22 UTC 2018 x86_64 x86_64 x86_64 GNU/Linux
[root@srv-tls-test02 ~]# cat /etc/redhat-release
CentOS release 6.9 (Final)
Я действительно не могу понять, что происходит. Любая идея ?
Я отвечу самому себе.
Наш хост CentOS и наш сервер NetApp не были проблемой. У нас есть коммутатор HP (HP1820-48G J9981A) с защитой от атак с недопустимыми флагами TCP. У меня сейчас нет времени для дальнейшего анализа моих захватов, поэтому я до сих пор не знаю, что именно запускает эту защиту.
Все запросы достигают сервера NetApp, все авторизации даны, затем последний запрос синхронизации от клиента был отброшен коммутатором.
Я не могу вставить снимок pcap, поскольку он содержит конфиденциальную информацию о моей компании. Если у меня будет время проанализировать это в свободное время, я дам больше информации в этой ветке.