我需要以编程方式从 FTP 服务器复制数据rclone。配置很简单：

[exampleftp]
type = ftp
host = ftp.example.com
user = myuser
pass = mypass

如果我尝试复制任何内容，我会得到：

Failed to create file system for "exampleftp:/": NewFs: failed to make FTP connection to "ftp.example.com:21": UTF8 support on

转储协议交换显示：

$ rclone --config=rclone.conf ls exampleftp: -vv --dump bodies

DEBUG : Using config file from "rclone.conf"
DEBUG : rclone: Version "v1.55.1-DEV" starting with parameters ["rclone" "--config=rclone.conf" "ls" "exampleftp:" "-vv" "--dump" "bodies"]
DEBUG : Creating backend with remote "exampleftp:"
DEBUG : ftp://ftp.example.com:21: Connecting to FTP server
DEBUG : FTP Rx: "220 Welcome to the example FTP Server."
DEBUG : FTP Tx: "USER myuser"
DEBUG : FTP Rx: "331 User myuser, password please"
DEBUG : FTP Tx: PASS *****
DEBUG : FTP Rx: "230 Password Ok, User logged in"
DEBUG : FTP Tx: "FEAT"
DEBUG : FTP Rx: "211- Additional features supported include:"
DEBUG : FTP Rx: " MDTM"
DEBUG : FTP Rx: " MFCT"
DEBUG : FTP Rx: " MFMT"
DEBUG : FTP Rx: " SIZE"
DEBUG : FTP Rx: " REST STREAM"
DEBUG : FTP Rx: " AUTH TLS"
DEBUG : FTP Rx: " AUTH SSL"
DEBUG : FTP Rx: " PBSZ"
DEBUG : FTP Rx: " EPRT"
DEBUG : FTP Rx: " EPSV"
DEBUG : FTP Rx: " XCRC"
DEBUG : FTP Rx: " XSHA1"
DEBUG : FTP Rx: " XSHA256"
DEBUG : FTP Rx: " XSHA512"
DEBUG : FTP Rx: " XMD5"
DEBUG : FTP Rx: " HASH SHA-256;SHA-512;SHA-1*;MD5"
DEBUG : FTP Rx: " PROT"
DEBUG : FTP Rx: " LANG EN*"
DEBUG : FTP Rx: " SITE PSWD"
DEBUG : FTP Rx: " SITE ZONE"
DEBUG : FTP Rx: " SITE UTIME"
DEBUG : FTP Rx: " MODE Z ZLIB(LEVEL)"
DEBUG : FTP Rx: " MLST Type*;Size*;Modify*;Create*;"
DEBUG : FTP Rx: " CLNT"
DEBUG : FTP Rx: " CSID"
DEBUG : FTP Rx: " RMDA"
DEBUG : FTP Rx: " UTF8"
DEBUG : FTP Rx: "211 End"
DEBUG : FTP Tx: "TYPE I"
DEBUG : FTP Rx: "200 Type Binary"
DEBUG : FTP Tx: "OPTS UTF8 ON"
DEBUG : FTP Rx: "220 UTF8 support on"
DEBUG : FTP Tx: "QUIT"
Failed to create file system for "exampleftp:": NewFs: failed to make FTP connection to "ftp.example.com:21": UTF8 support on

对我来说，这似乎是在说：

• 服务器：“我支持 UTF8”
• 客户：“很好，那么请使用 UTF8”
• 服务员：“好的，就在这里”
• 客户：“呃，我得走了。再见。”

其他客户端一切正常，例如lftp. 但是更喜欢使用rclone，因为这将是为 . 预配置的框架的一部分rclone。

有谁知道发生了什么以及任何解决方法？

我有 NFS (v4) 主目录。NFS 服务器是 Synology (DSM 5.2)，客户端是 FC 23。

客户端从 freeIPA 服务器获取 autofs 设置：

ipa automountmap-add default auto.home
ipa automountkey-add default --key "/home" --info auto.home auto.master
ipa automountkey-add default --key "*" --info "-fstype=nfs4,rw,sec=sys,hard,intr,rsize=8192,wsize=8192 nfsserver.hq.example.com:/volume1/shared_homes/&" auto.home

在调查文件访问权限问题时，我检查了挂载的 homedirs 上的 SElinux 标签：

$ matchpathcon -V /home
/home has context system_u:object_r:autofs_t:s0, should be system_u:object_r:home_root_t:s0

和

$ matchpathcon -V /home/roberto
/home/roberto has context system_u:object_r:nfs_t:s0, should be unconfined_u:object_r:user_home_dir_t:s0

我承认 SELinux 仍然很难，我想知道是否应该修复上面的上下文。

据我了解（否则请更正我），这必须与SELinux Labeled NFS support，这将允许给标签，就好像文件在本地文件系统上，而不是通用nfs_t标签。为此，需要 NVS v4.2。作为我在 DSM 上的 NFS 服务器，我怀疑它是否已经支持 v4.2。

我的问题是：我的客户是否只是告诉我“更新您的服务器并让这个新的酷功能正常工作”，在这种情况下我不应该太担心，或者这真的需要解决吗？如果是这样，怎么办？

我有一个frontend.example.com具有公共 IP 的服务器。它是 Apache (2.4) 应该代理来自service1.example.com（DNS 别名frontend.example.com）的流量。

service1.example.com192.168.56.0是两者之间的专用 LAN ( ) 上的 VM 。

现在，这对 HTTP 来说很容易：

<VirtualHost *:80>
        ServerName service1.example.com

        ProxyPass / http://192.168.56.2/
        ProxyPassReverse / http://192.168.56.2/

        <Location "/">
                Require all granted
        </Location>
</VirtualHost>

我正在尝试对 HTTPS 做同样的事情：

<VirtualHost *:443>
        ServerName service1.example.com

        SSLEngine On
        SSLProxyEngine On
        ProxyRequests Off
        SSLProxyCheckPeerCN off
        SSLProxyCheckPeerExpire off
        SSLInsecureRenegotiation on
        SSLProxyVerify none
        SSLVerifyClient none
        SSLCertificateFile /etc/ssl/certs/example_com.crt
        SSLCertificateKeyFile /etc/ssl/certs/example_com.key

        ProxyPass / https://192.168.56.2/
        ProxyPassReverse / https://192.168.56.2/

        <Location "/">
                Require all granted
        </Location>
</VirtualHost>

尝试service1.example.com通过 HTTPS 访问返回：与远程服务器进行 SSL 握手期间出错

安全不是我关心的问题。service1 需要与其某些服务建立 HTTPS 连接，这就是为什么我不只是将 HTTPS 代理到 HTTP。我不想frontend.example.com参与 SSL。我想要的是它说“嘿，我在 443 上有一个连接，我不处理它，我只是将它转发到这个内部 IP，它会处理它”。我只是想让它传递请求。可以这样做吗？

正如您在上面的 HTTPS 配置中所看到的，我已经尝试尽可能地放松安全性（例如SSLInsecureRenegotiation on，假设降低了对中间人攻击的防护墙，不是吗？）。但到目前为止没有任何效果。

简短的问题描述

这个问题是关于 NFSv4 中的 id 映射出错。

NFS 服务器：带有 DSM 5.2 的 Synology DS。

客户端：一台普通的 FC22 机器，它自动挂载为 /home 从上面导出的文件夹之一。

两台机器都是 freeIPA 域的注册客户端，因此使用 freeIPA 服务器作为 DNS 和 LDAP 服务器。

当 LDAP 用户登录客户端时，它会找到已安装的文件夹。所以安装工作。但是，文件的所有权映射为nobody:nobody. 我知道这个“没人的问题”并不新鲜，但到目前为止我发现的解决方案都没有解决这个问题。

LDAP 用户登录和文件触摸

$ ssh ldapuser1@client1
ldapuser1@client1's password: 

-bash-4.3$ id
uid=1172000004(ldapuser1) gid=1172000004(ldapuser1) groups=1172000004(ldapuser1) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

ldapuser1可以正确登录并拥有 uid 1172000004。

-bash-4.3$ pwd
/home/ldapuser1

-bash-4.3$ ls -lan
total 8
drwxrwxrwx. 2 1172000004 1172000004 4096 18 aug 17:34 .
drwxr-xr-x. 3          0          0    0 18 aug 18:33 ..

LDAP 用户正确地登录到其主目录中，该目录是预先创建并分配给他的。但是任何新文件都获得了错误的所有权：

-bash-4.3$ touch a

-bash-4.3$ ls -lan
total 8
drwxrwxrwx. 2 1172000004 1172000004 4096 18 aug 18:41 .
drwxr-xr-x. 3          0          0    0 18 aug 18:33 ..
-rwxrwxrwx. 1         99        100    0 18 aug 18:42 a

请注意，99:100guest:users在服务器上。服务器上的文件idmapd.conf告诉映射nobody:nobody到guest:users.

服务器配置

$ exportfs -v   
/volume1/shared_homes xxx.xxx.0.0/24(rw,async,no_root_squash,no_subtree_check,insecure_locks,anonuid=1025,anongid=100,sec=krb5,rw,no_root_squash,no_all_squash)


$ klist -k /etc/nfs/krb5.keytab 
Keytab name: FILE:/etc/nfs/krb5.keytab
KVNO Principal
---- --------------------------------------------------------------------------
   5 nfs/[email protected]
   5 nfs/[email protected]
   5 nfs/[email protected]
   5 nfs/[email protected]

$ cat /etc/idmapd.conf 
[General]
Domain=hq.example.com
Verbosity=10
[Mapping]
Nobody-User=guest
Nobody-Group=users
[Translation]
Method=nsswitch
GSS-Methods=static,synomap
[Static]

$ cat /etc/nsswitch.conf
passwd:     files ldap winbind
shadow:     files ldap winbind
group:      files ldap winbind
osts:      files dns wins
bootparams: files
ethers:     files
netmasks:   files
networks:   files
protocols:  files
rpc:        files
services:   files
netgroup:   files
publickey:  nisplus
automount:  files
aliases:    files

客户端配置

$ automount -s
Mount point: /home
source(s):
  instance type(s): sss 
  map: auto.home
  * | -fstype=nfs4,rw,sec=krb5,soft,rsize=8192,wsize=8192 nfs-server.hq.example.com:/volume1/shared_homes/&

$ df
nfs-server.hq.example.com:/volume1/shared_homes/ldapuser1 11609721368 2208608120 9400994464  20% /home/ldapuser1

$ cat /etc/idmapd.conf
[General]
Domain=hq.example.com


$ cat /etc/nsswitch.conf
passwd:     files sss
shadow:     files sss
group:      files sss
hosts:      files dns myhostname
bootparams: nisplus [NOTFOUND=return] files
ethers:     files
netmasks:   files
networks:   files
protocols:  files
rpc:        files
services:   files sss
netgroup:   files sss
publickey:  nisplus
automount:  files sss
aliases:    files nisplus
sudoers: files sss

$ cat /etc/sysconfig/nfs | egrep -v "^#"
RPCNFSDARGS=""
RPCMOUNTDOPTS=""
STATDARG=""
SMNOTIFYARGS=""
RPCIDMAPDARGS=""
RPCGSSDARGS="-vvv"
GSS_USE_PROXY="yes"
RPCSVCGSSDARGS="-vvv"
BLKMAPDARGS=""
SECURE_NFS=yes

日志服务器

Aug 18 18:50:59 nfs-server idmapd[14622]: nfsdcb: authbuf=gss/krb5 authtype=user
Aug 18 18:50:59 nfs-server idmapd[14622]: nfs4_uid_to_name: calling nsswitch->uid_to_name
Aug 18 18:50:59 nfs-server idmapd[14622]: nfs4_uid_to_name: nsswitch->uid_to_name returned 0
Aug 18 18:50:59 nfs-server idmapd[14622]: nfs4_uid_to_name: final return value is 0
Aug 18 18:50:59 nfs-server idmapd[14622]: Server : (user) id "1173000004" -> name "[email protected]"
Aug 18 18:50:59 nfs-server idmapd[14622]: nfsdcb: authbuf=gss/krb5 authtype=group
Aug 18 18:50:59 nfs-server idmapd[14622]: nfs4_gid_to_name: calling nsswitch->gid_to_name
Aug 18 18:51:00 nfs-server idmapd[14622]: nfs4_gid_to_name: nsswitch->gid_to_name returned 0
Aug 18 18:51:00 nfs-server idmapd[14622]: nfs4_gid_to_name: final return value is 0
Aug 18 18:51:00 nfs-server idmapd[14622]: Server : (group) id "1173000004" -> name "[email protected]"

请注意，似乎为正确的用户/域请求了映射。[email protected]然而，在日志中，我还发现了许多对和的映射的引用[email protected]。

日志客户端

aug 18 18:50:59 client1.hq.example.com nfsidmap[2118]: key: 0x274d13a5 type: uid value: [email protected] timeout 600
aug 18 18:50:59 client1.hq.example.com nfsidmap[2118]: nfs4_name_to_uid: calling nsswitch->name_to_uid
aug 18 18:50:59 client1.hq.example.com nfsidmap[2118]: nss_getpwnam: name '[email protected]' domain 'hq.example.com': resulting localname 'ldapuser1'
aug 18 18:50:59 client1.hq.example.com nfsidmap[2118]: nfs4_name_to_uid: nsswitch->name_to_uid returned 0
aug 18 18:50:59 client1.hq.example.com nfsidmap[2118]: nfs4_name_to_uid: final return value is 0
aug 18 18:50:59 client1.hq.example.com nfsidmap[2120]: key: 0x3e28949 type: gid value: [email protected] timeout 600
aug 18 18:50:59 client1.hq.example.com nfsidmap[2120]: nfs4_name_to_gid: calling nsswitch->name_to_gid
aug 18 18:50:59 client1.hq.example.com nfsidmap[2120]: nfs4_name_to_gid: nsswitch->name_to_gid returned 0
aug 18 18:50:59 client1.hq.example.com nfsidmap[2120]: nfs4_name_to_gid: final return value is 0

备注和问题

• 在这些情况下，错误映射的最常见原因似乎是双方的Domain设置缺失或不一致。idmapd.conf这里两边都正确设置了
• 如果我使用静态映射，它就可以工作，即 1）ldapuser1在服务器上创建本地 2）在 [Static] in 下添加一个条目idmapd.conf，其中[email protected]=ldapuser1. 然而，这不是目标。
• Synology 服务器显然不是 Fedora/RedHat，因此它不是完美的 freeIPA 伴侣。特别是，它错过了SSSD. 不过，我认为它应该工作。

我完全被困在这一点上。我什至不知道去哪里寻求帮助。Synology 支持声称这应该有效。根据 freeIPA 开发人员的说法，这甚至是题外话，因为不是 freeIPA 特定的，而是“只是”NFS & co 问题。这是有争议的，因为所有这些技术的连接和使用方式都是 freeIPA 特定的。

无论如何，我不知道该看什么了。这就是为什么我在这里问希望有人能让我至少向前迈出一步。任何猜测都非常受欢迎！

我想要做什么

我有一个 freeIPA 域，有几个客户端和一个 Synology NAS（也注册了 freeIPA）。

我在 NAS 上创建了一个共享文件夹，支持 NFSv4 + krb5。从客户端，我获得了 LDAP 用户的票证[email protected]并挂载了这个文件夹。

最初，在此文件夹中创建的文件将归nobody用户所有。

我终于让它工作了，通过/etc/idmapd.conf将 NAS 更改为

• 正确设置域
• [email protected]与本地用户之间有静态映射

问题

我确实了解idmapd一般前 NFS 的作用。

然而，在这种情况下：

• 为什么我需要显式映射？自己搞不定吗？
• 为什么我需要一个映射？NAS 也在同一个 freeIPA 域中，是一个 LDAP 客户端并具有正确的 kerberos 主体。它完全知道谁[email protected]是谁，为什么不能只使用该 uid 来获取该文件夹的文件所有权，而不是本地的 uid用户？我可以避免创建本地用户吗？

我现在的idmapd.conf样子是这样的：

[General]
Domain=hq.example.com

[Mapping]
Nobody-User=guest
Nobody-Group=users

[Translation]
Method=nsswitch
GSS-Methods=static,synomap

[Static]
[email protected]=user1

我想要实现的是我不需要那个静态映射[email protected]=user1，如果可能的话，我什至不需要user1在 NAS 上创建本地用户。

我知道关于迁移到 LDAP 的问题并不是什么新鲜事。我现在已经搜索了很多信息，但我发现的问题是该主题的信息似乎相当分散。所以我希望有经验的人能给我指出正确的方向。

目前的情况：

• 小型企业，用户和桌面不断增长
• 大约 10 个 Fedora-20 桌面 / 3 个 Fedora-20 服务器
• 1 群晖 NAS DS1813+
• 大约 10 个用户
• 所有登录在桌面上都是本地的
• 用户在机器网络中没有相同的 UID 和 GID。

显然，使用 LDAP 这样的集中式用户目录变得越来越有吸引力。

问题：

不幸的是，我无法找到涵盖真实场景整个过程的可靠且完整的指南。

• 设置服务器和配置客户端：好的，根据我的阅读，这不是最简化的过程，但即使有点棘手，我相信这是可行的。
• 从所有机器迁移所有用户：这是“微妙”部分。显然，我不想冒任何信息丢失的风险。同样，我找到了一些关于迁移和MigrationTools的指南，但是这些来源都没有给我一种值得信赖的指南的感觉。典型场景：有一个 wiki 页面或带有说明的东西，以及一大堆抱怨该过程在某些时候失败的评论。提出的问题往往比给出的答案多得多。这怎么能让我觉得我可以安全地开始这个过程？

一些具体问题：

• 是否有一套最新的最佳实践/建议工具，对于此类迁移过程当然应该考虑？特别是关注现实生活场景？要遵循哪些操作顺序，要注意什么，如何将数据丢失的风险降到最低，如何将用户的停机时间降到最低等？
• 假设用户 'roberto' 在两台机器上存在（具有不同的 ID）。通过将 /etc/passwd 信息从两台机器迁移到 LDAP，它们是否在此过程中“合并”？如果没有，应该怎么做？
• 迁移是否可以分步完成，只供一个用户开始？可取吗？
• 我能想到的另一种（可能是幼稚的？）方法是：创建新的 LDAP 用户，然后将所有文件的所有权从旧的本地用户更改为这些新用户，然后删除旧的本地用户。这有意义吗？有没有以前的经验？
• LDAP 与 ACL 有什么关系？他们相处得好吗？
• 以下所需步骤是将用户的主目录集中到 NFS 上的共享空间。任何指向此后续步骤的指针也将受到欢迎，特别是如果链接到迁移到 LDAP。