NFS и авторизация

kerberos5, pam_krb5, ksu + NFSv4 с поддержкой GSSAPI -помогут. Но это решение на уровне enterprise. Для домашней директории и вообще дома - почти никак(root - он и есть root.) :(

Уточнияющий вопрос: машина нехорошего человека управляется тобой?

Используй Kerberos V5 -
http://nfsworld.blogspot.com/2006/02/real-authentication-in-nfs.html

можно задать, что ты экспортируешь nfs только конкретному ip-адресу. И на этот адрес поставить политику ipsec

Нет. Считайте, что он может подойти и воткнуться в сеть с ноутбуком и взять себе любой свободный IP.

У меня появлялась мысль написать программу, которая проверяет md5(login/password) на правильность и в случае совпадения экспортирует директорию на конкретный IP в течении 30 минут. Насколько это криво и в чем опасность данного решения?

> Нет. Считайте, что он может подойти и воткнуться в сеть с ноутбуком и взять себе любой свободный IP.

Тогда никак. Если человек владеет root - стандартными методами тут ничего не сделаешь.

В свое время меня очень сильно веселил способ решения этой проблемы который применили в Интел (EMEA регионах) - они в production сетях запретили root на клиентских машинах, хотя в лабораторных сетях ты мог делать что угодно.

Лучше для таких целей использовать CIFS или NFSv4 у которого с безопасностью не так печально как в NFSv3.

Кстати, есть такая расшифровка NFS: No File Security - и это действительно так.

> У меня появлялась мысль написать программу, которая проверяет md5(login/password) на правильность и в случае совпадения экспортирует директорию на конкретный IP в течении 30 минут. Насколько это криво и в чем опасность данного решения?

А через полчаса что делать будешь? Еще раз с юзера пароль дергать - он тебя придушит :) И потом, что мешает заменить свой IP на тот, который уже авторизован и аутентифицирован?

pppoe+nfs.

Но, это в смысле противу смены ip...

/home you.client.ip.adr(rw,all_squash,anonuid=nobody,anongid=nobody)

Нет, надо чтобы юзер, севший за бездисковую станцию, мог подцепить свой /home, зная собственный пароль (он же от NIS).

> Нет, надо чтобы юзер, севший за бездисковую станцию,
> мог подцепить свой /home, зная собственный пароль (он же от NIS).
тогда это вам надо к CIFS

> тогда это вам надо к CIFS

да не надо ему к CIFS, надо к произвольной реализации SecureRPC, например, Kerberized, как тут об этом говорилось.

может SSH тунеллинг пожет?как думаете?