CIFS - это протокол обмена файлами.NFS - это протокол разделения томов.Разница между этими двумя понятиями может и не быть очевидной.
NFS по сути является небольшим шагом по сравнению с прямым совместным использованием / dev / sda1.На самом деле клиент получает голое представление общего подмножества файловой системы, включая (по крайней мере, для NFSv4) описание того, какие пользователи могут получить доступ к каким файлам.Клиент должен фактически управлять разрешениями, которым пользователю разрешен доступ к каким файлам.
CIFS, с другой стороны, управляет пользователями на стороне сервера и может предоставлять представление для каждого пользователя идоступ к файлам.В этом отношении он похож на FTP или WebDAV, но с возможностью чтения / записи произвольных подмножеств файла, а также нескольких других функций, связанных с блокировкой.
Может показаться, что NFSзаметно уступает CIFS, но на самом деле они предназначены для другой цели.NFS наиболее полезна для внешних жестких дисков, подключенных через Ethernet, и виртуального облачного хранилища.В таких случаях предполагается использовать сам диск совместно с машиной, а просто сделать это через Ethernet, а не через SATA.Для этого случая использования NFS предлагает большую простоту и скорость.NAS, как вы используете, на самом деле является прекрасным примером этого.Во-первых, он не предназначен для управления доступом, он не должен подвергаться воздействию систем, которые к нему не должны обращаться.
Если вы абсолютно ДОЛЖНЫ использовать NFS, есть несколько способов обезопасить себя.Это.NFSv4 имеет дополнительную модель безопасности, основанную на Kerberos.Удачи в этом.Лучший вариант - не разрешать прямое подключение к службе NFS с хоста, а вместо этого требовать прохождения через некоторый безопасный туннель, такой как переадресация порта SSH.Тогда безопасность сводится к созданию туннеля.Однако любой из них требует сотрудничества с хостом, что, вероятно, было бы невозможно в случае вашего NAS.
Имейте в виду, если вы уже используете CIFS, и он работает хорошо, и это дает вамхороший контроль доступа, нет веских причин для переключения (хотя для безопасности вам придется отключить NFS).Однако, если у вас есть хост в стиле докера, возможно, стоит поиграть с iptables (или брандмауэром по вашему выбору) на хосте docker, чтобы предотвратить доступ других контейнеров к NAS в первую очередь.Вместо того, чтобы делегировать безопасность NAS, это следует делать на уровне узла докера.