NFS 概述与核心应用场景

网络文件系统（Network File System，简称 NFS）是一种广泛应用于分布式环境的文件共享协议。该协议最初由 Sun Microsystems 研发，旨在打破物理机与操作系统的壁垒，实现跨网络的磁盘级数据共享。在类 Unix 架构中，NFS 允许客户端应用程序像访问本地存储一样，透明地读取或写入远程服务器上的文件。

在实际生产环境中，NFS 最典型的应用场景是集中存储和分发静态资源，例如网站图片、流媒体视频、应用日志以及公共配置文件。通过 NFS，多台应用服务器可以共享同一个后端存储节点，从而实现数据的统一管理与高可用。

底层通信机制与 RPC 协同原理

NFS 的数据传输高度依赖网络端口，但其端口分配机制较为特殊。NFS 服务端在启动时并不会绑定固定的数据传输端口，而是向操作系统动态申请一组随机端口。为了让客户端能够找到这些随机端口，NFS 引入了远程过程调用（Remote Procedure Call，简称 RPC）机制。

RPC 服务（通常由 rpcbind 守护进程提供）充当了"端口注册中心"的角色。它固定监听 111 端口，负责记录并分发 NFS 动态申请到的端口信息。

客户端与服务端的完整通信流程

1. 服务端初始化：服务端首先启动 RPC 服务，开启 111 端口等待注册请求。
2. NFS 端口注册：服务端启动 NFS 服务，NFS 将自身分配的随机数据端口注册到本地的 RPC 服务中。
3. 客户端寻址：客户端的 RPC 进程向服务端的 111 端口发起查询，请求获取 NFS 的实际数据端口。
4. 端口响应：服务端 RPC 将记录的 NFS 端口列表返回给客户端。
5. 建立数据通道：客户端获取到真实端口后，直接通过这些端口与服务端建立连接，开始进行文件读写等数据传输操作。

注意：由于 RPC 负责管理端口映射，因此在启动顺序上，必须先启动 RPC 服务，再启动 NFS 服务。如果 RPC 服务发生重启，其内存中的端口映射表会被清空，此时必须重启 NFS 服务以重新注册端口。

核心组件与守护进程

在 Linux 系统中，部署 NFS 主要依赖以下软件包和守护进程：

• nfs-utils：提供 NFS 服务端与客户端的核心命令行工具及后台管理程序。
• rpcbind：提供 RPC 端口映射服务（在 CentOS 6 及更早版本中称为 portmap）。
• nfs 守护进程：处理客户端的连接请求、权限校验以及文件系统的 I/O 操作。
• rpcbind 守护进程：拦截客户端的 RPC 请求，并将其重定向到正确的 NFS 端口。

服务端配置深度解析

NFS 服务端的核心配置文件是 /etc/exports。该文件默认可能不存在，需要管理员手动创建。其语法结构非常直观：

[共享目录路径] [客户端地址1]([权限参数]) [客户端地址2]([权限参数])

客户端地址匹配规则

• 精确 IP：172.16.50.15
• CIDR 子网：172.16.50.0/24 或 172.16.50.*
• 特定域名：node1.cluster.local
• 域名通配：*.cluster.local
• 全局开放：*（不推荐在生产环境使用）

核心权限与映射参数

权限参数直接决定了客户端对共享目录的操作能力以及安全边界：

• 读写控制：
  • rw：允许客户端读取和写入数据。
  • ro：仅允许客户端读取数据。
• 用户身份映射（安全核心）：
  • root_squash：默认安全策略。将客户端的 root 用户降级为服务端的匿名用户（通常是 nfsnobody）。
  • no_root_squash：危险操作。赋予客户端 root 用户对共享目录的完全 root 控制权。
  • all_squash：将客户端的所有访问用户（无论身份）全部映射为服务端的匿名用户。
  • anonuid=UID / anongid=GID：配合 squash 使用，强制指定映射后的匿名 UID 和 GID。
• 数据同步策略：
  • sync：同步写入。数据必须同时写入内存和物理磁盘后才返回成功响应，保证数据一致性，但牺牲一定性能。
  • async：异步写入。数据先暂存于内存缓冲区，由系统择机刷入磁盘，性能较高但存在断电丢数据风险。

服务生命周期管理

使用 systemd 管理 NFS 服务时，必须严格遵循依赖顺序。

启动与状态检查

# 优先启动 RPC 端口映射服务
[root@nfs-server ~]# systemctl start rpcbind
# 随后启动 NFS 核心服务
[root@nfs-server ~]# systemctl start nfs-server

# 验证服务运行状态
[root@nfs-server ~]# systemctl is-active rpcbind nfs-server

停止服务

# 停止顺序与启动相反，先停 NFS，再停 RPC
[root@nfs-server ~]# systemctl stop nfs-server
[root@nfs-server ~]# systemctl stop rpcbind

配置开机自启

[root@nfs-server ~]# systemctl enable rpcbind nfs-server

实战演练：从配置到客户端挂载

以下实验将演示如何将服务端的 /data/web_assets 目录共享给 10.0.100.0/24 网段，并在客户端进行挂载与权限验证。

1. 服务端配置共享

# 创建共享目录并设置基础权限
[root@nfs-server ~]# mkdir -p /data/web_assets
[root@nfs-server ~]# chown nfsnobody:nfsnobody /data/web_assets

# 编辑 exports 配置文件
[root@nfs-server ~]# vim /etc/exports
/data/web_assets 10.0.100.0/24(rw,sync,all_squash,anonuid=65534,anongid=65534)

2. 热加载配置与状态验证

修改 /etc/exports 后，无需重启整个 NFS 服务，使用 exportfs 即可使配置生效。

# 重新加载共享配置
[root@nfs-server ~]# exportfs -rv

# 查看当前生效的共享列表
[root@nfs-server ~]# showmount -e localhost
Export list for localhost:
/data/web_assets 10.0.100.0/24

3. 客户端探测与挂载

# 客户端探测服务端的共享目录
[root@nfs-client ~]# showmount -e 10.0.100.10
Export list for 10.0.100.10:
/data/web_assets 10.0.100.0/24

# 创建本地挂载点并执行挂载（强制指定 NFS v4 协议）
[root@nfs-client ~]# mkdir -p /mnt/web_data
[root@nfs-client ~]# mount -t nfs -o vers=4 10.0.100.10:/data/web_assets /mnt/web_data

# 验证挂载结果
[root@nfs-client ~]# df -hT | grep nfs
10.0.100.10:/data/web_assets nfs4   50G  2.1G   48G   5% /mnt/web_data

4. 权限与身份映射验证

由于服务端配置了 all_squash，客户端的任何用户写入文件时，其所有者都会被强制转换。

# 在客户端使用 root 创建文件
[root@nfs-client ~]# touch /mnt/web_data/test_root.txt
# 在客户端使用普通用户创建文件
[appuser@nfs-client ~]$ touch /mnt/web_data/test_user.txt

# 在服务端查看文件属性
[root@nfs-server ~]# ls -l /data/web_assets/
-rw-r--r-- 1 nfsnobody nfsnobody 0 Oct 24 10:00 test_root.txt
-rw-r--r-- 1 nfsnobody nfsnobody 0 Oct 24 10:01 test_user.txt

5. 卸载与持久化挂载

如需卸载，直接在客户端执行 umount /mnt/web_data。若需实现开机自动挂载，需修改客户端的 /etc/fstab 文件：

# 追加至 /etc/fstab
10.0.100.10:/data/web_assets  /mnt/web_data  nfs  defaults,vers=4,_netdev  0  0

# 测试 fstab 配置是否正确
[root@nfs-client ~]# mount -a

高频运维命令指南

exportfs：共享目录热管理

该命令用于在不中断 NFS 服务的情况下，动态维护共享状态。

• exportfs -r：重新读取 /etc/exports 并更新内核共享表。
• exportfs -a：导出 /etc/exports 中定义的所有目录。
• exportfs -u [目录]：临时取消指定目录的共享。
• exportfs -au：清空当前所有 NFS 共享。
• exportfs -v：以详细模式输出当前共享配置及参数。

rpcinfo：RPC 端口状态排查

当客户端无法连接 NFS 时，通常使用此命令检查服务端的 RPC 注册表是否完整。

[root@nfs-server ~]# rpcinfo -p 127.0.0.1
   program vers proto   port  service
    100000    4   tcp    111  portmapper
    100000    3   tcp    111  portmapper
    100024    1   udp  32765  status
    100005    1   udp  20048  mountd
    100003    3   tcp   2049  nfs
    100003    4   tcp   2049  nfs

通过输出可以确认 portmapper (111)、mountd 以及 nfs (2049) 等核心组件是否已成功向 RPC 注册了各自的监听端口。如果缺失相关条目，则说明 NFS 服务启动异常或 RPC 通信存在故障。