NFS环境下SetCap失效，需CAP_NET_RAW权限的替代方案咨询

针对NFS存储上无法使用setcap、SUID无效的问题，以下是几种可行的解决办法：

1. 复制程序到本地文件系统后设置capability #

将NFS上的可执行文件复制到本地非NFS分区（如/usr/local/bin或/opt），再执行setcap命令：

cp /nfs/path/to/your_program /usr/local/bin/
setcap cap_net_raw+ep /usr/local/bin/your_program

本地文件系统通常支持扩展属性，setcap可以正常生效，之后直接运行本地副本即可。

2. 编写特权启动器 #

写一个轻量级的特权程序，先获取CAP_NET_RAW权限，再启动NFS上的目标程序。示例C代码：

#include <stdio.h>
#include <stdlib.h>
#include <sys/capability.h>
#include <unistd.h>

int main(int argc, char *argv[]) {
    if (argc < 2) {
        fprintf(stderr, "Usage: %s <target-program> [args]\n", argv[0]);
        return 1;
    }

    // 初始化并设置CAP_NET_RAW权限
    cap_t caps = cap_init();
    cap_value_t cap_list[] = {CAP_NET_RAW};
    cap_set_flag(caps, CAP_EFFECTIVE, 1, cap_list, CAP_SET);
    cap_set_flag(caps, CAP_PERMITTED, 1, cap_list, CAP_SET);
    
    if (cap_set_proc(caps) == -1) {
        perror("Failed to set capabilities");
        cap_free(caps);
        return 1;
    }
    cap_free(caps);

    // 可选：切换回普通用户以提升安全性（需提前获取当前用户UID）
    // uid_t uid = getuid();
    // if (setuid(uid) == -1) {
    //     perror("Failed to drop privileges");
    //     return 1;
    // }

    // 执行目标程序
    execvp(argv[1], &argv[1]);
    perror("Failed to launch target program");
    return 1;
}

编译并配置特权：

gcc -o cap_launcher cap_launcher.c -lcap
chown root:root cap_launcher
chmod u+s cap_launcher

使用启动器运行NFS上的程序：

./cap_launcher /nfs/path/to/your_program

3. 启用NFS的扩展属性支持 #

如果有权限修改NFS挂载配置，在挂载时添加user_xattr参数以支持扩展属性：

1. 修改/etc/fstab中的挂载项：

server:/export/path /mnt/nfs nfs defaults,user_xattr 0 0

2. 重新挂载NFS分区：

umount /mnt/nfs && mount /mnt/nfs

之后尝试重新执行setcap命令，部分NFS服务器支持该参数后可正常设置capability。

4. 直接以root身份运行程序 #

若环境允许，直接使用root权限执行NFS上的程序：

sudo /nfs/path/to/your_program

root用户默认拥有所有权限，包括CAP_NET_RAW，可直接使用raw sockets。

内容的提问来源于stack exchange，提问作者Mostafa Ramadan