IPA-сервер, обеспечивающий аутентификацию DNS, NTP и Kerberos для двух моих лабораторных серверов, при попытке смонтировать Kerberised NFS-ресурс я получаю следующую ошибку:
mount.nfs: сервер запрещает доступ во время монтирования
DNS, слой NTP и аутентификация пользователя через Kerberos работают нормально, только общие ресурсы NFS не монтируются.
На сервере NFS:
[root@server5 secureshare]# klist -k
Keytab name: FILE:/etc/krb5.keytab
KVNO Principal
---- --------------------------------------------------------------------------
3 host/server5.example.com@EXAMPLE.COM
3 host/server5.example.com@EXAMPLE.COM
3 nfs/server5.example.com@EXAMPLE.COM
3 nfs/server5.example.com@EXAMPLE.COM
[root@server5 secureshare]# klist -l
Principal name Cache name
-------------- ----------
admin@EXAMPLE.COM KEYRING:persistent:0:0
На клиенте:
[root@server6 ~]# klist -k
Keytab name: FILE:/etc/krb5.keytab
KVNO Principal
---- --------------------------------------------------------------------------
4 host/server6.example.com@EXAMPLE.COM
4 host/server6.example.com@EXAMPLE.COM
3 nfs/server6.example.com@EXAMPLE.COM
3 nfs/server6.example.com@EXAMPLE.COM
[root@server6 ~]# klist -l
Principal name Cache name
-------------- ----------
host/server6.example.com@EXAMP KEYRING:persistent:0:krb_ccache_9N4UHQt (Expired)
admin@EXAMPLE.COM KEYRING:persistent:0:krb_ccache_h4clFv7
[root@server6 ~]# ntpq -p
remote refid st t when poll reach delay offset jitter
==============================================================================
*labipa.example. 139.59.50.38 3 u 56 128 177 0.316 -773.02 31.477
LOCAL(0) .LOCL. 5 l 266 64 360 0.000 0.000 0.000
На сервере IPA я вижу эти ошибки в журналах krb5kdc для обоих узлов:
Mar 08 13:53:07 labipa.example.com krb5kdc[2322](info): AS_REQ (8 etypes {18 17 20 19 16 23 25 26}) 192.168.4.151: NEEDED_PREAUTH: host/server6.example.com@EXAMPLE.COM for krbtgt/EXAMPLE.COM@EXAMPLE.COM, Additional pre-authentication required
Что могло привести к этой ошибке. На обоих узлах также работает служба nfs-secure.
Нашел, ntpd не синхронизировался должным образом на IPA сервере, пришлось закомментировать несколько строк:
### Added by IPA Installer ###
#server 127.127.1.0 iburst
#fudge 127.127.1.0 stratum 10
И нужно было убедиться, что он использует пул ntp, предоставленный Centos, после этого уровень на IPA изменился на 2, а на моих серверах - на 3.
И он был смонтирован без каких-либо проблем:
[root@server6 ~]# mount -t nfs -vvv -o sec=krb5p server5.example.com:/srv/secureshare /mnt/securenfs
mount.nfs: timeout set for Sat Mar 9 01:23:02 2019
mount.nfs: trying text-based options 'sec=krb5p,vers=4.1,addr=192.168.4.150,clientaddr=192.168.4.151'
server5.example.com:/srv/secureshare 17G 1.3G 16G 8% /mnt/securenfs