Сетевые группы

Вместе с системой NIS в оборот было введено новое понятие, ставшее вскоре весьма популярным, — так называемые "сетевые группы". Сетевая группа — это совокупность пользователей, машин и сетей, на которую делается ссылка в системных файлах. Сетевые группы определены в файле /etc/netgroup и становятся известными клиентам сети через NIS-карту с глобальным приоритетом.

Формат элемента

netgroup: имя группы список-членов

Имена членов группы разделяются пробелами или знаками табуляции. Член группы может быть, в свою очередь, именем сетевой группы или триплетом следующей формы:

(имя машины, имя пользователя, имя домена)

Каждое пустое поле в триплете — метасимвол; так, элемент (boulder, обозначает всех пользователей во всех доменах на машине boulder (или саму машину boulder, в зависимости от контекста, в котором используется имя данной сетевой группы). Знак "-" в том или ином поле обозначает отрицание; так, элемент (boulder,-, ) обозначает машину boulder и отсутствие пользователей. Определения групп могут быть вложенными.

Вот простой пример файла /etc/netgroup:

bobcats (snake, , ) (headrest, , )

servers (anchor,,) (moet,,) (piper,,) (kirk,,)

anchorclients (xx,,) (watneys,,) (mo-lson,,)

beers (anchor, , ) (anchor-gateway, , ) anchorclients

allhosts beers bobcats servers

Все эти сетевые группы определены как машины, что типично для реальных условий.

Сетевые группы можно использовать в различных файлах, которые определяют права доступа. При использовании в файле /etc/exports они могут указывать на то, какие машины могут монтировать файловые системы. При использовании в файле /etc/hosts.equiv или в пользовательском файле .rhosts с помощью сетевых групп можно предоставлять и отменять разрешения на вход в систему группам пользователей и машинам.

Кроме того, сетевые группы можно использовать в файле /etc/passwd NIS-клиента для импортирования учетной информации о членах конкретной сетевой группы. Синтаксис здесь такой: +@сетеваягруппа.

Вообще говоря, сетевые группы — прекрасная идея. Их использование позволяет упростить системные файлы и сделать их более понятными. Они дают возможность ввести более высокий уровень абстракции, который позволяет для изменения статуса пользователя или машины вносить необходимые изменения в одном файле, а не в пятнадцати. В некоторых системах Вы должны использовать их, если файловая система экспортируется примерно на сорок или более машин, потому что длина элемента в файле exports ограничена 1024 символами.

Пренмушества и недостаткн nis

У системы NIS есть одна хорошая черта: ее могут понять простые смертные. Работает она аналогично схеме копирования файлов; в большинстве случаев администраторам не нужно ничего знать о внутренних форматах данных NIS. Администрирование осуществляется с помощью старых добрых "обычных" файлов, и нужно дополнительно изучить всего одну-две новых процедуры.

Поскольку механизма объединения доменов в системе NIS нет, она годится для управления крупной сетью машин только при условии, что для каждой входящей в сеть машины будет принята одна и та же конфигурация. Можно разделить большую сеть на несколько NIS-доменов, но тогда каждый из них должен администрироваться отдельно.

Служба NIS, кроме того, может значительно ухудшать пропускную способность сети. Эта система не кэширует данные на машинах-клиентах, поэтому каждый поиск вызывает обмен пакетами. Когда на главном сервере NIS корректируется какой-нибудь системный файл, каждая модифицированная карта копируется на все подчиненные серверы.

Если подчиненный сервер в момент изменения карты не работает или недоступен, находящаяся на нем копия откорректирована не будет. Подчиненные серверы должны периодически опрашивать главный сервер, чтобы иметь самую последнюю версию всех карт. Хотя в NIS имеются базовые средства, позволяющие это делать, желаемую схему опроса нужно реализовывать с помощью демона cron. Даже и в этом случае существует вероятность того, что две разные версии одной карты в течение некоторого времени будут обслуживаться одновременно, при этом клиенты, получая доступ к различным подчиненным серверам, будут попеременно видеть то одну, то другую.

Система NIS не безопасна. Любая машина сети может выступить в роли сервера для того или иного домена и распространить среди NIS-клиентов ложные административные данные. Любой человек может прочесть Ваши NIS-карты, расшифровав пароль с помощью программы-взломщика, если у Вас есть плохо защищенные бюджеты. Если Вас волнуют проблемы безопасности или если Вы подключены к Internet, пользоваться услугами NIS не стоит.