Path: ...!weretis.net!feeder8.news.weretis.net!eternal-september.org!reader01.eternal-september.org!.POSTED!not-for-mail
From: =?UTF-8?Q?Fran=c3=a7ois_Patte?= <francois.patte@mi.parisdescartes.fr>
Newsgroups: fr.comp.os.linux.configuration
Subject: Re: /etc/exports option unsecure
Date: Thu, 10 Nov 2022 17:17:06 +0100
Organization: A noiseless patient Spider
Lines: 59
Message-ID: <tkj862$j30b$1@dont-email.me>
References: <tk5q6i$2g2ek$1@dont-email.me>
 <6369ff7f$0$31523$426a74cc@news.free.fr>
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8; format=flowed
Content-Transfer-Encoding: 8bit
Injection-Date: Thu, 10 Nov 2022 16:17:06 -0000 (UTC)
Injection-Info: reader01.eternal-september.org; posting-host="3116bb97bfc3131a7f44b6576b7b6fcd";
	logging-data="625675"; mail-complaints-to="abuse@eternal-september.org";	posting-account="U2FsdGVkX19BFj+3WkeBYVA/ZoRtvZGv"
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:91.0) Gecko/20100101
 Thunderbird/91.9.0
Cancel-Lock: sha1:rognKrU8ToB1XxUpmWuLnktH9Ao=
Content-Language: fr-FR
In-Reply-To: <6369ff7f$0$31523$426a74cc@news.free.fr>
Bytes: 2874

Le 08/11/2022 à 08:04, Doug713705 a écrit :
> Le 05-11-2022, François Patte nous expliquait dans
> fr.comp.os.linux.configuration
> (<tk5q6i$2g2ek$1@dont-email.me>) :
> 
>> Bonjour,
> 
> Bonjour,
> 
>> J'ai loué un espace chez ovh qui doit être une machine virtuelle.
>>
>> Je cherche à faire un montage nfs de répertoire mais, dans un premier
>> temps le montage a été refusé pour cause de port illégal (1024).
>>
>> En cherchant sur le web, j'ai trouvé une solution qui fonctionne:
>> ajouter l'option "unsecure" dans le fichier /ets/exports.
> 
> insecure, plutôt.
> 
>> Ça marche.
> 
> Good.
> 
>> Quels sont les risques?
> 
> Aucun. C'est une ancienne convention qui veut que les ports inférieurs à
> 1024 puissent être ouverts uniquement par l'utilisateur root.
> 
> Dans ton cas, le serveur NFS /pourrait/ supposer que l'utilisateur s'y
> connectant est "root" puisqu'il utilise un port inférieur à 1024 pour se
> connecter (on parle ici du port coté client).
> 
> client (TCP/1024) ---> serveur (TCP/2049)
> 
>> Y a-t-il une autre solution "secure"?
> 
> Pas plus que ça mais la vraie question est "Pour quelle raison as tu
> besoin que le client utilise un port de sortie inférieur à 1024 alors
> que ces ports sont réservés ?"
> 
C'est pas moi m'sieur c'est....?

Si je fais netstat -natpl | grep ':2049'

sur le serveur, j'ai cette réponse:

tcp        0      0 IP-du-serveur-nfs:2049      IP-de-ma-box:1024 
ESTABLISHED

sur mon ordi (donc derrière ma box):

tcp        0      0 192.168.1.10:995        IP-du-serveur-nfs:2049 
ESTABLISHED

J'aimerais bien comprendre.

-- 
François Patte
Université Paris Descartes