linux下NIS服务搭建及案例

admin

NIS(Network Information Services)最早是 Sun Yellow Pages (简称yp)；
$ [- F5 W4 w) ^# C

在一个大型的网域当中，如果有多部 Linux 主机，万一要每部主机都需要设定相同的帐号与密码时，怎么办？如果能够有一部帐号服器来管理网域中所有主机的帐号， 当其他的主机有使用者登入的需求时，到服务器上查找相关的帐号、密码等使用者资讯， 如此一来，如果想要增加、修改、删除使用者资料，只要到服务器上面处理即可， 这样就能够降低重复设定使用者帐号的步骤；

NIS服务器提供了哪些资讯呢？

: P1 b3 [$ P. @6 j, e" _( {

服务器端档案名称	档案內容
/etc/passwd	提供使用者帐号、UID、GID、家目录所在、Shell 等等
/etc/group	提供群组资料以及 GID 的对应，还有该群组的加入人员
/etc/hosts	主机名称与 IP 的对应，常用於 private IP 的主机名称对应
/etc/services	每一种服务 (daemons) 所对应的端口 (port number)
/etc/protocols	基础的 TCP/IP 封包协定，如 TCP, UDP, ICMP 等
/etc/rpc	每种 RPC 服务器所对应的程式号码
/var/yp/ypservers	服务器所提供的资料库

由于 NIS 服务器主要是提供使用者登入的资讯给用户端主机来查询之用，所以， NIS 服务器所提供的资料当然就需要用到传输与读写比较快速的 "资料库" 档案系统， 而不是传统的纯文字资料。为了要达到这个目的，所以 NIS 服务器就必须要将前一小节提到的那些档案制作成为资料库档案， 然后使用网路通讯协议让用户端主机来查询。至于所使用的通讯协议是使用远端程序呼叫 (RPC) 这个玩意儿；

                               
登录/注册后可看大图

从上面的流程当中，你会发现 NIS client 还是会先针对本机的帐号资料进行查询，若本机查不到时才到 NIS server 上头寻找。因此，如果你的 NIS client 本身就有很多一般使用者的帐号时，那跟 NIS server 所提供的帐号就可能产生一定程度的差异！所以，一般来说，在这样的环境下，NIS client 仅会保留系统所需要的 root 及系统帐号而已。

服务器端配置：

3 E+ z/ Y, O5 E6 h, S5 D由于 NIS 服务器需要使用 RPC 协议，且 NIS 服务器同时也可以当成用户端，因此它需要的软体就有底下这几个：

yp-tools ：提供 NIS 相关的查寻指令功能

ypbind   ：提供 NIS Client 端的设定软件

ypserv   ：提供 NIS Server 端的设定软件

rpcbind  ：就是 RPC 需要的资料

" a! ~2 ~& B, r" L7 m# B3 _4 E' f

在 NIS 服务器上最重要的就是 ypserv ，由于 NIS 设定时还会使用到其他网路参数设定资料， 因此在设定档方面需要有底下这些资料
& R# t" y. ^  ~
   /etc/ypserv.conf：这是最主要的 ypserv 软体所提供的设定档，可以规范 NIS 用户端是否可登入的权限。
   /etc/hosts：由于 NIS server/client 会用到网路主机名称与 IP 的对应，因此这个主机名称对应档就显的相当重要！每一部主机名称与 IP 都需要记录才行！
   /etc/sysconfig/network：可以在这个档案内指定 NIS 的网域 (nisdomainname)。
   /var/yp/Makefile：前面不是说帐号资料要转成资料库档吗？ 这就是与建立资料库有关的动作设定档；

& r0 R( D1 t7 L  }+ N至于 NIS 服务器提供的主要服务方面有底下两个：
' H0 a  Q6 z- D
. |7 @2 i2 B9 U/ i; N   /usr/sbin/ypserv：就是 NIS 服务器的主要提供服务；
   /usr/sbin/rpc.yppasswdd：提供额外的 NIS 用户端之使用者密码修改服务， 透过这个服务， NIS 用户端可以直接修改在 NIS 伺服器上的密码。相关的使用程式则是 yppasswd 指令；
- W& t) {  a2 ?2 n
与帐号密码的资料库有关的指令方面有底下几个：
* Y8 a1 w) I" p: e$ i* H2 ?
  D  B! ]& ?3 E   /usr/lib64/yp/ypinit：建立资料库的指令，非常常用 (在 32 位元的系统下，档名则是 /usr/lib/yp/ypinit )；
2 Q3 b0 S+ T$ {4 ]* N   /usr/bin/yppasswd：与 NIS 用户端有关，主要在让用户修改服务器上的密码。
( @  J. ]2 Y9 {2 m6 r6 K/ B0 T案例：

• NIS 的域名 lansgg
  
  
  , l. U9 g! A+ L; O' h8 V8 L4 n! v1 R

• NIS server 的 IP 为 192.168.182.132 ，主机名 www.server.lansgg.com
• NIS client 的 IP 为 192.168.182.133，主机名 www.client.lansgg.com
  
  

安装服务端：

[root@Server lansgg]# yum install yp-tools ypbind ypserv rpcbind -y

3 l2 x  z/ u8 ^2 P0 G) u  k# c$ {9 @2 `

设定NIS域名（NIS domain name）
/ }7 _' L" n* n& F

[root@Server lansgg]# vim /etc/sysconfig/network
NISDOMAIN=lansgg               #新增，NIS域名
: @* C% C9 N9 t3 |! b  z$ `: [YPSERV_ARGS="-p 1001"       #新增，启动ypserv服务的端口



, U5 a  M" x' g0 e

设置主配置文件 /etc/ypserv.conf

[root@Server lansgg]# vim /etc/ypserv.conf
dns: no   # NIS 服务器大多使用于内部局域网络，只要有 /etc/hosts 即可，不用 DNS 啦，我们在这里使用hosts
1 q2 F$ b8 q1 m' }9 s/ `  D1 _files: 30   # 预设会有 30 个数据库被读入内存当中
$ v% r) N% Q3 C) J- Axfr_check_port: yes #与 master/slave 有关，将同步更新的数据库比对所使用的端口，放置于 <1024 内
# 底下则是设定限制客户端或 slave server 查询的权限，利用冒号隔成四部分：
# [主机名/IP] : [NIS域名] : [可用数据库名称] : [安全限制]
# [主机名/IP]   ：可以使用 network/netmask 如 192.168.100.0/255.255.255.0
. E% M0 b2 Q6 B6 W! E! }# [NIS域名]   ：例如本案例中的 lansgg
# [可用数据库名称]：就是由 NIS 制作出来的数据库名称；
# [安全限制]      ：包括没有限制 (none)、仅能使用 <1024 (port) 及拒绝 (deny)
# 一般来说，你可以依照我们的网域来设定成为底下的模样：
127.0.0.0/255.255.255.0     : * : * : none
5 Y) r7 S* r% N$ @/ o) O7 F192.168.182.0/255.255.255.0 : * : * : none
*                           : * : * : deny
5 f! s0 R% g' L9 o' o/ ^# 星号 (*) 代表任何数据都接受的意思。上面三行的意思是，开放 lo 内部接口、
3 v1 C9 S2 X  z* O. E# 开放内部 LAN 网域，且杜绝所有其他来源的 NIS 要求的意思。
# 还有一个简单作法，你可以先将上面三行批注，然后加入底下这一行即可：
: ]2 c! t1 `8 D7 P*                         : * : * : none
7 }- x+ e4 o0 O4 \: V* E
9 d/ X: G2 W+ s! b3 N" A
1 L* [9 g* i- n9 |7 p& I$ S

设置hosts
/ [/ s3 `9 i4 F

[root@Server lansgg]# vim /etc/hosts
192.168.182.132 www.server.lansgg.com
; u$ \! V- }2 @) S* t1 ]192.168.182.133 www.client.lansgg.com
7 \2 u7 |! @& C* D6 p" A! x' J, \

设置相关服务服务
% O( S2 w1 o4 o3 v3 d" v8 S

[root@Server lansgg]# vim /etc/sysconfig/yppasswdd
: r2 |' V# C1 T$ O2 E- C4 _YPPASSWDD_ARGS="--port 1002" #yppasswdd服务的端口

  l3 C' ^4 B' _; E  p& ^

启动相关服务

                               
登录/注册后可看大图

设置测试帐号并创建数据库

[root@Server lansgg]# echo 123 |passwd --stdin testuser1
* S" \7 x& B7 o) U( C/ f

[root@Server lansgg]# useradd testuser1
4 n+ _: y& E% M$ k[root@Server lansgg]# useradd testuser2
[root@Server lansgg]# useradd testuser3
[root@Server lansgg]# echo 123 |passwd --stdin testuser1
* B$ z6 F% c  ^& Q[root@Server lansgg]# echo 123 |passwd --stdin testuser2
% _# Z1 t2 {7 E# ^1 _0 _[root@Server lansgg]# echo 123 |passwd --stdin testuser3
[root@Server lansgg]# /usr/lib/yp/ypinit -m

: s& X" Y" R( l) s/ F4 @' O  x

                               
登录/注册后可看大图

PS:如果你的用户密码有变动过，那么你就得要重新制作数据库，重新启动 ypserv 及 yppasswdd;

NIS client设置

[root@centos ~]# yum install ypbind yp-tools -y

8 S* y4 O4 V8 K$ Q5 n9 l. n. F

yp-tools 是提供查询的软体，ypbind 是 ypserv 沟通桥梁 另外，在 CentOS 当中我们还有很多设定档是与认证有关的，包含 ypbind 的设定档时， 在设定 NIS client 你可能需要动到底下的档案：

   /etc/sysconfig/network：就是 NIS 的域名
5 K+ I" F+ j" W7 j( J/ ?" j   /etc/hosts：至少需要有各个 NIS 服务器的 IP 与主机名对应；
+ H+ X; M/ C6 l  N8 y) F# w   /etc/yp.conf：这个则是 ypbind 的主要设定档，里面主要设定 NIS 服务器
" C0 R# A& U/ P  o* S# U   /etc/sysconfig/authconfig：规范帐号登入时的允许认证机制；
/ s, C9 p6 t' R   /etc/pam.d/system-auth ：这个最容易忘记！因為帐号通常由 PAM 模组所管理， 所以你必须要在 PAM 模组内加入 NIS 的支持才行
   /etc/nsswitch.conf ：这个档案可以规范帐号密码与相关资讯的查询顺序，预设是先找 /etc/passwd 再找 NIS 资料库；
7 k! S) T; }  ]9 _, @7 O4 B& i
另外， NIS 还提供了几个有趣的程式给 NIS 用户端来进行帐号相关参数的修改，例如密码、shell 等等， 主要有底下这几个指令：
! i8 V6 e- i5 }# _5 Q7 E
   /usr/bin/yppasswd ：更改你在 NIS database (NIS Server 所制作的资料库) 的密码
   /usr/bin/ypchsh   ：同上，但是是更改 shell
   /usr/bin/ypchfn   ：同上，但是是更改一些使用者的讯息

如果一个个修改上面的配置文件太麻烦了；这里我们使用他的图形化工具：执行setup

当然首先配置hosts
4 Y0 W1 Y& G' S% G( M1 v4 O$ s

[root@centos ~]# vim /etc/hosts
192.168.182.132 www.server.lansgg.com

& U" o4 v. d# J8 S$ K8 j/ @: x                               
登录/注册后可看大图

' o  N& I8 y( Y! O  g                               
登录/注册后可看大图

                               
登录/注册后可看大图

- d8 ~% _* u& n. ^. r% g                               
登录/注册后可看大图

我们看看执行完这个都修改了那些文件

                               
登录/注册后可看大图

                               
登录/注册后可看大图

总的来说：

% D3 j" W( _, F) y/etc/sysconfig/network (加入 NISDOMAIN 项目)
+ w& s, I  t6 K5 s. l9 E$ l/etc/nsswitch.conf (修改许多主机验证功能的顺序)
3 N% H* L, ^) o  s  M6 O  v4 z/etc/sysconfig/authconfig (主机 的认证机制)
* I; M$ ]2 v2 i2 e6 |/etc/pam.d/system-auth (许多登入所需要的 PAM 认证过程)
/etc/yp.conf (ypbind 的设定档)

: s3 n6 o, X$ u+ g' D
; c/ o6 c+ ]- u8 ^2 c9 W

NIS client 端的检验： yptest, ypwhich, ypcat

利用 yptest 检验资料库

[root@centos ~]# yptest    #下面是输出的信息
: g! @/ H& g0 ]' f. RTest 1: domainname
- j/ u* |4 B  o9 c# \% [Configured domainname is "lansgg"
: h& I8 Y9 m8 [+ WTest 2: ypbind
Used NIS server: www.server.lansgg.com
% @0 y7 x3 ^, \( vTest 3: yp_match
- H; \* M. I/ Q) j7 {( z0 vWARNING: No such key in map (Map passwd.byname, key nobody)
#此处的warning可以忽略；因为早期的 nobody 之 UID 都设定在 65534 ，但 现在将 nobody 设定为系统帐号的 99 ，所以不会被记录，也就出现这一个警告。
Test 4: yp_first
testuser1 testuser1:$6$hCf0HKoZ$G/SwK1ecB8oDpwcQNDmMMulDP3FNef13WMwB.AdAMFLNo1FAZQ0DRzhIyA2M5OThWzeB2OZyCIVcZm7XC5Qxp0:501:501::/home/testuser1:/bin/bash
' Q2 @+ v* W; [) V9 B' ^8 |2 g6 _Test 5: yp_next
leo leo:$6$TCro9XvftUiuBuRK$U7OpDgBACvZdI2YS1IPYsBzi6KZjSfp1S5bpQ2PSGpJADlygN03i.XKsbDy7Vm24KsPIKienMA/y6U.fG.Bjp1:500:500:leo:/home/leo:/bin/bash
6 n( ?1 K% a  ^% D0 Ytestuser3 testuser3:$6$JcJY9UZF$b8KRXlgMhCKK6k.QSK6t.FcBoU7FETHAkLggMOC3oScq/n.7FHm5pVdFfaXj8UvUo5fBLFJKzR7DNNN071RmW.:503:503::/home/testuser3:/bin/bash
# `# w/ \7 n5 D& @7 A4 i; Ntestuser2 testuser2:$6$jOAUXAIi$DoDRVX1YVB0MMCfHGpvaE3mgLzmWUs6QP/Fh0Dic7ppc9j9OhXLjlBuAgHfqplO7PiqAQKoyM9JKMY0WXhE4M0:502:502::/home/testuser2:/bin/bash
- s1 R* \" @, |Test 6: yp_master
www.server.lansgg.com
8 S1 f4 h7 h( }# O0 `Test 7: yp_order
1374645119
Test 8: yp_maplist
mail.aliases
& y, n6 C8 E# N6 p: g& b' dnetid.byname
services.byservicename
6 Q8 i- a9 A: B4 w7 b% bhosts.byname
" m# f* d7 T) Mpasswd.byuid
hosts.byaddr
rpc.byname
group.bygid
/ T2 `* s+ H; X* D6 |$ J" d( cpasswd.byname
group.byname
4 x/ V4 S8 R+ O7 zservices.byname
% B! F. L* V. P) v( d( b6 Hypservers
protocols.byname
rpc.bynumber
protocols.bynumber
6 q1 T" \+ k3 p, q- }Test 9: yp_all
testuser1 testuser1:$6$hCf0HKoZ$G/SwK1ecB8oDpwcQNDmMMulDP3FNef13WMwB.AdAMFLNo1FAZQ0DRzhIyA2M5OThWzeB2OZyCIVcZm7XC5Qxp0:501:501::/home/testuser1:/bin/bash
leo leo:$6$TCro9XvftUiuBuRK$U7OpDgBACvZdI2YS1IPYsBzi6KZjSfp1S5bpQ2PSGpJADlygN03i.XKsbDy7Vm24KsPIKienMA/y6U.fG.Bjp1:500:500:leo:/home/leo:/bin/bash
8 l0 h7 e+ N# K. P  v: Gtestuser3 testuser3:$6$JcJY9UZF$b8KRXlgMhCKK6k.QSK6t.FcBoU7FETHAkLggMOC3oScq/n.7FHm5pVdFfaXj8UvUo5fBLFJKzR7DNNN071RmW.:503:503::/home/testuser3:/bin/bash
9 Q* B  p/ ~+ i' n; I& Ktestuser2 testuser2:$6$jOAUXAIi$DoDRVX1YVB0MMCfHGpvaE3mgLzmWUs6QP/Fh0Dic7ppc9j9OhXLjlBuAgHfqplO7PiqAQKoyM9JKMY0WXhE4M0:502:502::/home/testuser2:/bin/bash
* g; s9 Y6 l+ H3 W$ J- j#此处为重点：yp_all 必须要有列出你 NIS server 上头的所有帐号资讯，如果有出现帐号相关资料的话，那麼应该就算验证成功了！
1 tests failed

利用 ypwhich 检验资料库数量

9 U# x, \6 r: O( h) |                               
登录/注册后可看大图

由上面我们可以很清楚的就看到相关的档案啦！这些资料库档案则是放置在我的 NIS Server 的 /var/yp/lansgg/下面

利用 ypcat 读取资料库内容

除了 yptest 之外，你还可以直接利用 ypcat 读取资料库的内容；一般作法是这样

[root@www ~]# ypcat [-h nisserver] [资料库名称]
# v* q8 P6 [/ p选项与参数：
-h nisserver ：如果有设定的话，指向某一部特定的 NIS 服务器，
               如果没有指定的话，就以 ypbind 之设定為主；
! h  w9 D+ g# J" I4 J1 v资料库名称：亦即在 /var/yp/vbirdnis/ 内的档名啊！例如 passwd.byname
# 读出 passwd.byname 的资料库内容
[root@www ~]# ypcat passwd.byname
testuser1:$6$hCf0HKoZ$G/SwK1ecB8oDpwcQNDmMMulDP3FNef13WMwB.AdAMFLNo1FAZQ0DRzhIyA2M5OThWzeB2OZyCIVcZm7XC5Qxp0:501:501::/home/testuser1:/bin/bash
5 T& ~0 {; u/ I: ltestuser3:$6$JcJY9UZF$b8KRXlgMhCKK6k.QSK6t.FcBoU7FETHAkLggMOC3oScq/n.7FHm5pVdFfaXj8UvUo5fBLFJKzR7DNNN071RmW.:503:503::/home/testuser3:/bin/bash
testuser2:$6$jOAUXAIi$DoDRVX1YVB0MMCfHGpvaE3mgLzmWUs6QP/Fh0Dic7ppc9j9OhXLjlBuAgHfqplO7PiqAQKoyM9JKMY0WXhE4M0:502:502::/home/testuser2:/bin/bash
' I' k. p8 g( Q/ g) n  I4 y

$ p9 \+ u: a3 C

使用者参数修改： yppasswd, ypchfn, ypchsh  （这里不在演示）
; c% F6 W3 Q& y! g1 v& [   yppasswd ：与 passwd 指令相同功能；
   ypchfn ：与 chfn 相同功能；
   ypchsh ：与 chsh 相同功能。

下面开始测试：
在client端su到testuser1；原来我们本地是没有该账户的；
; L; U* h1 o/ ?' l  G8 {

[root@www ~]# su - testuser1
$ o  r* E2 P+ s- N* m# Asu: 警告：无法切换到目录/home/testuser1: 没有那个文件或目录
3 ^3 ]0 a; {) W6 d$ g
: d9 `; g9 p7 |5 z/ |/ [) |
, u7 }- F- @% m2 G3 d( o

可以发现切换成功，可是提示没有家目录；

因为 testuser1 的家目录是在服务器端的 /home ，而你在用户端登入时， 在用户端的 /home 底下根本不可能有 testuser1 的家目录嘛！那怎办？很简单，将服务器端的 /home 挂载到用户端上面即可啊！

案例2；

1、创建三个用户u1、u2、u3，他们的家目录都是/uhome（与本地用户的家目录分开）

2、NFS 服务器：分享了 /uhome 给 192.168.182.0/24 这个网域，且预计将所有程序放置于 /uuse 目录中。 此外，假设所有用户端都是很干净的系统，因此不需要压缩用户端 root 的身份。
# ~% D  g. _" o; ]+ d4 A; K- i

[root@Server ~]# mkdir /uhome
3 P% G8 s/ Q& P3 Y[root@Server ~]# useradd -u 1001 -d /uhome/u1 u1
[root@Server ~]# useradd -u 1002 -d /uhome/u2 u2
/ b, a# T. ?* S0 X! }! P- E[root@Server ~]# useradd -u 1003 -d /uhome/u3 u3
" m3 u4 s: V5 k) M[root@Server ~]# echo 123 |passwd --stdin u1
[root@Server ~]# echo 123 |passwd --stdin u2
[root@Server ~]# echo 123 |passwd --stdin u3
8 ~( ~# W& D5 y# t. h
5 g5 x4 G( a: w% x
3 r$ a5 [- k: l) @
( L! b. Y- V  |/ I+ ]

启动服务

[root@Server ~]# /etc/init.d/ypserv restart
" N6 {. `+ V' Z[root@Server ~]# /etc/init.d/yppasswdd restart
[root@Server ~]# /usr/lib/yp/ypinit -m
, ^2 U, t: q2 M; T
" T, O4 n2 ]8 [1 M8 D% d, @' Q

nfs设置
* u; V* A7 L' Q, `$ @! X& o

[root@Server ~]# mkdir /uuse
5 [8 u7 p( {8 ^: _, ~+ d: H! p[root@Server ~]# vim /etc/exports
/uhome  192.168.182.0/24(rw,no_root_squash)
/uuse   192.168.182.0/24(rw,no_root_squash)
8 ^0 n7 B- ~9 K) c& v& J

                               
登录/注册后可看大图

client设置

[root@www ~]# mkdir /uhome /uuse
[root@www ~]# mount -t nfs 192.168.182.132:/uhome /uhome
[root@www ~]# mount -t nfs 192.168.182.132:/uuse /uuse
3 n9 z) F# t  y  n#以上正确，可以写入fstab 或rc.local


. m8 k# j4 c" |- J2 _! ~( e

现在你去su - u1发现不再提示没有家目录了；

到此yp黄页服务完毕；