Partage NFS pour Linux et Proxmox VE

NFS (Network File System) est le protocole de partage de fichiers des systèmes Unix et Linux : un serveur exporte un dossier, et les clients le montent dans leur arborescence, où il se comporte comme un dossier local. Sur TrueNAS, un export NFS publie un dataset pour des serveurs Linux ou pour un hyperviseur comme Proxmox VE, qui y range ses images ISO et ses modèles. Ce chapitre explique comment NFS identifie les clients, crée deux exports sur srv-nas, les monte sous Linux et les ajoute comme stockages dans Proxmox VE.

NFSv3 et NFSv4

Choisis NFSv4.2 dès que les clients le permettent : Debian 13 et Proxmox VE 9 le prennent en charge. NFSv3 reste utile pour de vieux clients et pour la commande showmount, qui ne fonctionne qu'avec lui.

Comment NFS fait confiance à un client

Par défaut (mode de sécurité sys), un serveur NFS ne demande aucun mot de passe. Il vérifie que l'adresse IP du client figure dans la liste autorisée, puis il croit l'UID et le GID que le client annonce avec chaque requête. Si le client dit « je suis l'UID 3001 », le serveur applique les droits de l'UID 3001.

Conséquence : quiconque est root sur une machine dont l'adresse est autorisée peut se faire passer pour n'importe quel utilisateur. Trois protections se cumulent :

1. Restreindre les clients à des adresses ou des réseaux précis, jamais « tout le monde ».
2. Écraser l'identité de root (root squash) : par défaut, le root d'un client est ramené à l'utilisateur anonyme nobody sur le serveur. Sur TrueNAS, les champs Maproot User et Maproot Group disent en quel compte transformer root ; Mapall transforme tous les utilisateurs du client en un seul compte.
3. Isoler le réseau de stockage, et pour des données sensibles partagées entre des machines peu sûres, passer à Kerberos (krb5p chiffre en plus le trafic).

Les deux exports de srv-nas

Pour Proxmox, l'écrasement de root doit être levé : Proxmox écrit les ISO et les sauvegardes vzdump en root, qui échoueraient faute de droits. Ce n'est acceptable que parce que l'export est limité aux trois hyperviseurs, dans le VLAN 80 non routé. Proxmox Backup Server, qui est aussi dans ce VLAN, n'en a pas besoin : il n'est pas dans la liste.

Créer l'export.

1. Shares, widget Unix (NFS) Shares, bouton Add.
2. Path : /mnt/tank/proxmox/sauvegardes (bouton de parcours sous /mnt).
3. Description : « Copie de secours vzdump de pve1, pve2 et pve3 ».
4. Hosts, Add : 192.168.10.242, puis 192.168.10.243 et 192.168.10.244. (Networks accepte un réseau entier en notation CIDR ; ici, il ouvrirait l'export à toute machine du VLAN 80.)
5. Advanced Options : Maproot User root, Maproot Group root ; Security laissé en SYS ; Read-Only décoché.
6. Save, puis accepter l'activation du service NFS.

On crée de même l'export de tank/proxmox/iso, et celui de tank/partages/linux limité à 192.168.10.176/28, sans maproot.

Régler le service. System > Services, ligne NFS, bouton de modification : coche NFSv4 dans les protocoles activés (NFSv3 peut rester actif pour showmount), restreins les adresses d'écoute aux interfaces utiles (192.168.10.183 et 192.168.10.241), et coche Start Automatically.

Monter un export sous Linux

Sur srv-glpi (192.168.10.184), serveur Debian 13 du VLAN 20 (cours Linux : services) :

sudo apt install nfs-common
sudo mkdir -p /srv/partage
sudo mount -t nfs -o vers=4.2 srv-nas.ad.sorbier.example:/mnt/tank/partages/linux /srv/partage

Vérifie le montage et la version négociée :

findmnt /srv/partage
nfsstat -m

/srv/partage from srv-nas.ad.sorbier.example:/mnt/tank/partages/linux
 Flags:	rw,relatime,vers=4.2,rsize=1048576,wsize=1048576,namlen=255,hard,proto=tcp,timeo=600,retrans=2,sec=sys,clientaddr=192.168.10.184,local_lock=none,addr=192.168.10.183

Pour monter l'export à chaque démarrage, ajoute une ligne dans /etc/fstab :

srv-nas.ad.sorbier.example:/mnt/tank/partages/linux  /srv/partage  nfs4  vers=4.2,_netdev,nofail  0  0

L'option _netdev attend que le réseau soit prêt avant de monter ; nofail évite qu'un NAS injoignable bloque le démarrage du serveur. Teste la ligne sans redémarrer avec sudo umount /srv/partage && sudo mount -a.

Ajouter un stockage NFS à Proxmox VE

Dans l'interface de Proxmox VE 9 : Datacenter > Storage > Add > NFS.

Un second stockage, nas-iso, reçoit les contenus ISO image et Container template. En ligne de commande, sur n'importe quel nœud du cluster :

pvesm add nfs nas-sauvegardes --server 192.168.10.241 \
  --export /mnt/tank/proxmox/sauvegardes --content backup --options vers=4.2
pvesm add nfs nas-iso --server 192.168.10.241 \
  --export /mnt/tank/proxmox/iso --content iso,vztmpl --options vers=4.2
pvesm status

La configuration est écrite dans /etc/pve/storage.cfg, partagé par tout le cluster :

nfs: nas-sauvegardes
        export /mnt/tank/proxmox/sauvegardes
        path /mnt/pve/nas-sauvegardes
        server 192.168.10.241
        content backup
        options vers=4.2

nfs: nas-iso
        export /mnt/tank/proxmox/iso
        path /mnt/pve/nas-iso
        server 192.168.10.241
        content iso,vztmpl
        options vers=4.2

Proxmox monte chaque export sous /mnt/pve/<ID>. Chez Sorbier, les sauvegardes quotidiennes des VM partent vers Proxmox Backup Server (192.168.10.245) ; une tâche hebdomadaire (Datacenter > Backup, avec sa rétention dans l'onglet Retention) vise nas-sauvegardes pour garder une copie des VM critiques au format vzdump, sur un autre support que PBS et restaurable même si PBS est perdu. Dans une maquette sans PBS, ce même export NFS peut servir de destination principale des sauvegardes. La stratégie de sauvegarde elle-même (fréquences, rétention, copie hors site, tests de restauration) est traitée dans le cours Sauvegarde et PRA.

Exercices

pvesm add nfs nas-sauvegardes --server 192.168.10.241 \
  --export /mnt/tank/proxmox/sauvegardes --content backup --options vers=4.2