NFS durch eine Firewall
Thiess Rathjen
ich versuche gerade ein NFS Volume durch eine Firewall hindurch auf meinem
Rechner zu mounten. Weiss jemand welche Ports dafür freigegeben werden
müssen. Geht das überhaupt, ich habe meine mal gelesen zu haben, dass der
Port gar nicht einheitlich ist, sprich vorher nicht bekannt ist?
Innerhalb der Firewall geht das problemlos.
Weiss jemand Rat?
Thiess.
Stephan Seitz
Thiess Rathjen <thiess....@globetrotter.de> wrote:
> Rechner zu mounten. Weiss jemand welche Ports dafür freigegeben werden
> müssen. Geht das überhaupt, ich habe meine mal gelesen zu haben, dass der
Das wüßte ich auch gern.
> Port gar nicht einheitlich ist, sprich vorher nicht bekannt ist?
Stimmt, der mountd und die anderen vom Portmapper verwalteten Dienste
haben unterschiedliche Ports.
Versuch mal ein "rpcinfo -p".
Ein Versuch, die ipchains mitzuloggen erbrachte beim NFS-Mountversuch
ein solches Portgespringe, daß ich keine wirklichen Regelmäßigkeiten
(auch nicht mit rpcinfo) sah, eine Firewall-Regel daraus zu basteln.
Shade and sweet water!
Stephan
--
| Stephan Seitz E-Mail: rz...@rzawb02.rz.uni-saarland.de |
| WWW: http://fsing.fs.uni-sb.de/~stse/ |
| PGP Public Keys: http://fsing.fs.uni-sb.de/~stse/pgp.html |
Konstantinos Agouros
>Hi!
>Thiess Rathjen <thiess....@globetrotter.de> wrote:
>> Rechner zu mounten. Weiss jemand welche Ports dafür freigegeben werden
>> müssen. Geht das überhaupt, ich habe meine mal gelesen zu haben, dass der
>Das wüßte ich auch gern.
>> Port gar nicht einheitlich ist, sprich vorher nicht bekannt ist?
>Stimmt, der mountd und die anderen vom Portmapper verwalteten Dienste
>haben unterschiedliche Ports.
>Versuch mal ein "rpcinfo -p".
>Ein Versuch, die ipchains mitzuloggen erbrachte beim NFS-Mountversuch
>ein solches Portgespringe, daß ich keine wirklichen Regelmäßigkeiten
>(auch nicht mit rpcinfo) sah, eine Firewall-Regel daraus zu basteln.
Entweder einen riesen-range aufmachen, einen stateful firewall nehmen, der rpc
versteht, oder, wenn auf der gegenseite nicht nur nfs sondern auch samba laeuft
einen smbmount von linux aus machen da reicht tcp/139 in den Chains. Auch wenn
M$ viel Schrott macht, das ist deutlich Firewall-freundlicher \:)
Dank smbmounts port-Option kann man sogar einen SSH-Tunnel auf den anderen Rech-
ner graben (wenn das die Firewall durchlaeuft) und sich den share via port-for-
warding holen, dann ists sogar noch verschluesselt \:)
Konstantin
>Shade and sweet water!
> Stephan
>--
>| Stephan Seitz E-Mail: rz...@rzawb02.rz.uni-saarland.de |
>| WWW: http://fsing.fs.uni-sb.de/~stse/ |
>| PGP Public Keys: http://fsing.fs.uni-sb.de/~stse/pgp.html |
--
Dipl-Inf. Konstantin Agouros aka Elwood Blues. Internet: elw...@agouros.de
Otkerstr. 28, 81547 Muenchen, Germany. Tel +49 89 69370185
----------------------------------------------------------------------------
"Captain, this ship will not sustain the forming of the cosmos." B'Elana Torres
Max Kliche
> In <8hqcft$3ftoo$1...@hades.rz.uni-sb.de>
> Stephan Seitz <rz...@rzawb02.rz.uni-saarland.de> writes:
> >Thiess Rathjen <thiess....@globetrotter.de> wrote:
> >> Rechner zu mounten. Weiss jemand welche Ports dafür freigegeben werden
> >> müssen. Geht das überhaupt, ich habe meine mal gelesen zu haben, dass der
>
> >Das wüßte ich auch gern.
>
> >> Port gar nicht einheitlich ist, sprich vorher nicht bekannt ist?
>
> >Stimmt, der mountd und die anderen vom Portmapper verwalteten Dienste
> >haben unterschiedliche Ports.
> >Versuch mal ein "rpcinfo -p".
Aus man nfs:
port=n
The numeric value of the port to connect to the NFS server
on If the port number is 0 (the default) then query the remote
host's portmapper for the port number to use. If the remote host's
NFS daemon is not registered with its portmapper, the standard NFS
port number 2049 is used instead.
Vielleicht hilft das
Max
--
when I find my code in tons of trouble,
friends and colleagues come to me,
speaking words of wisdom
"write in C"
Joern Seemann
<thiess....@globetrotter.de> wrote:
>ich versuche gerade ein NFS Volume durch eine Firewall hindurch auf meinem
>Rechner zu mounten. Weiss jemand welche Ports dafür freigegeben werden
>müssen. Geht das überhaupt, ich habe meine mal gelesen zu haben, dass der
>Port gar nicht einheitlich ist, sprich vorher nicht bekannt ist?
>Innerhalb der Firewall geht das problemlos.
>Weiss jemand Rat?
Ja, schalte die Firewall ab.
Gruss Jörn
Norbert Tretkowski
Genau, und mache damit den ganzen anderen Rest den sie blocken wuerde auch
auf. Fuer NFS muessen die Ports 2049 und 111 offen sein, und eine Reihe
bestimmter Ports um 918 (den hat er grad noch bei mir belegt), ich konnte
aber auf die Schnelle keine Dokumentation darueber finden in welchem
Bereich genau sich das bewegt.
Regards/Gruesse, Norbert
--
Norbert Tretkowski, http://nexus.nobse.de
Ingo Matthaes
>no...@nobse.de (Norbert Tretkowski) writes:
>
>> > >Weiss jemand Rat?
>> >
>> > Ja, schalte die Firewall ab.
>>
>
>Portmapper). Du brauchst dann noch Zugriff auf den mountd, welcher
>Port das ist, das erzählt Dir der aktueller Portmapper. Achja, hast
>Du einen lockd?
Den statd und rquotad nicht zu vergessen ! Ach so, unterschiedliche
Protokollversionen registrieren sich mit unterschiedlichen Ports.
2 mögliche Lösungen:
1.) Portmapper patche, so dass er bei pmap_set die Firewall Rule setzt
2.) Scriptgesteuert die benötigten Ports freimachen, nicht besonders
schwierig.
Ingo
Christian Schroeder
<thiess....@globetrotter.de> wrote:
>Hallo,
>
>ich versuche gerade ein NFS Volume durch eine Firewall hindurch auf meinem
>Rechner zu mounten. Weiss jemand welche Ports dafür freigegeben werden
>müssen. Geht das überhaupt, ich habe meine mal gelesen zu haben, dass der
>Port gar nicht einheitlich ist, sprich vorher nicht bekannt ist?
>Innerhalb der Firewall geht das problemlos.
>Weiss jemand Rat?
>Thiess.
>
>
Also mal ehrlich,
wer Protokolle wie NFS durch eine Firewall passieren lassen will, hat
sich sein Sicherheitskonzept nicht gruendlich ueberlegt. Es gibt eben
Dienste unter UNIX, deren Einsatz in sicherheitsrelevanten Umgebungen
nicht unbedingt anzuraten ist. NFS gehaoert ebenso wie NIS, X11, SNMP
zu diesen Diensten.
Christian (christian...@imms.de)
Matthias Andree
> ich versuche gerade ein NFS Volume durch eine Firewall hindurch auf meinem
> Rechner zu mounten.
Sowas tut man nicht. Installier' SSH und benutz' scp. Alternativ, bau
einen kryptographisch sicheren Tunnel und benutz' den, wenn's unbedingt
sein muß.
Recommended reading:
1. "Building Internet Firewalls", Chapman & Zwicky, O'Reilly. ISBN
1565921240.
2. Das Grundschutzhandbuch des BSI (online irgendwo unter
http://www.bsi.de)
--
Matthias Andree
Where do you think you're going today?