关于NFS3导出规则匹配逻辑与权限分离配置的技术咨询

嘿，我来给你把这两个NFS3的问题掰扯清楚，都是实际运维里常碰到的场景：

一、/etc/exports的匹配顺序与挂载行为 #

首先明确一点：NFS3服务器处理客户端挂载请求时，是按/etc/exports里的条目从上到下遍历，匹配到第一个和客户端IP/网段吻合的导出项后，就会用这个条目的参数来处理请求，不会再往后检查其他条目，这个逻辑在NFS的man exports手册里是有明确定义的。

回到你举的例子：
你的/etc/exports配置是：

/home/foo   192.168.0.100(ro,no_root_squash) 192.168.0.0/24(rw)

当192.168.0.100的客户端发起读写（rw）挂载请求时，服务器会先匹配到第一个针对192.168.0.100的ro参数条目，这时候客户端请求的权限和服务器指定的ro不匹配，挂载会直接失败，不会再去匹配后面的192.168.0.0/24的rw条目。

二、用Bind Mount实现权限分离的可行性 #

这个方案完全可行，也是运维里实现同一目录不同权限导出的常用技巧，具体操作思路如下：

• 在NFS服务器上，给/home/foo创建一个bind挂载：

  mount --bind /home/foo /home/foo-ro
  

  （如果需要开机自动挂载，可以把这条加到/etc/fstab里）
• 然后修改/etc/exports，分别导出这两个路径：

  /home/foo 192.168.0.0/24(rw)
  /home/foo-ro 192.168.0.100(ro,no_root_squash)
  

这样两个导出项完全独立，不会有匹配顺序的冲突：普通客户端挂载/home/foo就能拿到读写权限，192.168.0.100的root用户挂载/home/foo-ro就能拿到只读权限，完美实现你要的权限分离需求。

另外你提到NFS3安全性的问题，这点确实没错——它的权限校验机制比较弱，不过如果是在内部可信环境里使用，这个方案是完全能稳定运行的。

备注：内容来源于stack exchange，提问作者nigel222