Ratkaistu Ongelmia NFS /home -jaon kanssa (NFS, kerberos, ssh)

[FireExit]

Eli ongelmana on, että toi /home -jako ei toimi, kun yritän kirjautua ssh:lla etäkoneeseen (testatut metodit: publickey, kerberos ja gssapi). Se antaa vain ilmoituksen clientin päässä: "Could not chdir to home directory /home/user Permission denied" ja servussa näky samanlaista "Permission denied".

Olen saanut ongelman paikallistettua siihen että, kun kirjautuu ssh:n kautta servulle, niin vaikka kirjautuminen onnistuu, käyttäjälle ei luoda kerberos-tikettiä kyseiseen servuun, jolloin ei ole oikeuksia tuohon NFS-jakoon (joka on kerberossilla varmennettu). Ongelma katoaa kun on kirjautunut ssh:lla sisään ja käskyttää kinit, antaa passun, kirjautuu ulos servulta ja menee takaisin, niin se /home/user tulee sieltä NFS-jaosta ongelmitta ja toimii kunnes tiketti vanhenee 24-tunnin päästä.

Luulit, että tuo ratkeais ottamalla käyttöön tuon kerberossin itse sshd:ssä, mutta ei... Luulis et tuohon on joku valmis ratkaisu olemassa, enkä vain ole sitä löytänyt.

Mulla on siis FreeIPA-domaini, josta hallinnoin keskitetysti käyttäjiä ja kaikki Linuxit on liitetty sen alaisuuteen, niin että, jos tunnus löytyy IPA:sta, niin on oikeus loggautua koneelle joko suoraan, tai ssh:n kautta. NFS /home -jako on siis myös kerberoitu, jolloin oikeudet jakoon tarkistetaan IPA:sta. Jako liitetään käyttäjän käyttöön automaattisesti AUTOFS:llä, jonka mappaus on myös tuolla IPA:ssa.

Ongelma ei esiinny tällä pöytäkoneella, kun tähän joutuu kirjautumaan paikallisesti passulla, jolloin se kerberos-tiketti luodaan samalla automaattisesti. Ongelma esiintyy vain tuon ssh:n kautta kirjautumisessa kun sitä tikettiä ei sitä kautta luoda automaattisesti.

 

[FireExit]

Ongelma ratkaistu hylkäämällä koko NFS-jako ja vaihdettu sen sijaan GlusterFS:ään. Se toimii halutusti pääasiassa.

Ainoa mikä tuossa voi aiheuttaa ongelmia on, että kaikki noodit ei löydy yhden virtuaali IP:n takaa, vaan mounttaus tapahtuu osoittamalla yhtä noodia, jonka jälkeen se jako toki pysyy toiminnassa vaikka kyseinen noodi katoaisikin verkosta. Ongelman siittä tekee se, että jos kyseinen noodi ei ole verkossa kun mounttausta yritetään, niin se mounttaus epäonnistuu kun kukaan ei ole vastaamassa.

Asensin kahteen virtualisointi hostiin 2x GlusterFS-noodia ja molempien hostien virtuaalikoneet osoittavat naapuri virtualisointi hostin GlusterFS-noodiin, niin toivon mukaan ei pääse syntymään tilannetta jolloin mounttauksen yhteydessä ei ole kukaan vastaamassa liitos pyyntöön. Pöytäkoneella saattaa joskus tulla ongelmia sen liitoksen kanssa, mut pitää nyt kokeilla miten tää lähtee sujumaan tän kanssa.