Anolis OS 8.4修复CVE-1999-0554漏洞记录

1. 使用TCP Wrappers配置白名单

通过修改/etc/hosts.allow和/etc/hosts.deny文件，仅允许特定IP访问NFS的mountd服务（需确保系统支持TCP Wrappers）：

编辑/etc/hosts.allow，添加允许的客户端IP（如192.168.12.12和192.168.12.14）：

mountd:192.168.12.12,192.168.12.14

编辑/etc/hosts.deny，禁止所有其他IP访问mountd：

mountd:all

生效条件：无需重启NFS服务，修改后立即生效。

验证：在非白名单的客户端执行showmount -e <NFS服务器IP>，应返回类似RPC: Authentication error的错误。

2. 通过防火墙限制端口访问

如果系统未启用TCP Wrappers，或需更严格的控制，可通过防火墙规则限制NFS相关端口的访问：

绑定NFS服务端口（避免动态端口导致规则失效）：

# 修改/etc/sysconfig/nfs，添加固定端口配置
RQUOTAD_PORT=30001
LOCKD_TCPPORT=30002
LOCKD_UDPPORT=30002
MOUNTD_PORT=30003
STATD_PORT=30004

重启NFS服务：

systemctl restart nfs-server rpcbind

配置iptables规则，仅允许特定IP访问NFS端口：

# 允许白名单IP访问NFS端口
iptables -A INPUT -p tcp -s 192.168.85.15 --dport 111,2049,30001:30004 -j ACCEPT
iptables -A INPUT -p udp -s 192.168.85.15 --dport 111,2049,30001:30004 -j ACCEPT# 拒绝其他所有IP
iptables -A INPUT -p tcp --dport 111,2049,30001:30004 -j DROP
iptables -A INPUT -p udp --dport 111,2049,30001:30004 -j DROP

保存防火墙规则（避免重启失效）：

service iptables save  # 或使用firewalld持久化配置

3. 检查NFS配置文件（/etc/exports）

确保共享目录的权限仅对授权IP开放，例如：

# 仅允许192.168.12.12和192.168.12.14读写访问
/data 192.168.12.12/32(rw,sync)
/data 192.168.12.14/32(rw,sync)

执行exportfs -rv刷新配置。

4. 关闭不必要的NFS服务

如果无需使用NFS服务，直接关闭相关服务：

systemctl stop nfs-server rpcbind
systemctl disable nfs-server rpcbind

验证修复效果

白名单客户端：
执行showmount -e <NFS服务器IP>应正常显示共享列表。

非白名单客户端：
执行showmount -e应返回权限错误（如RPC: Authentication error）。

注意事项

防火墙规则顺序：确保ACCEPT规则在DROP规则之前，避免误拦截。

云服务器操作：修改防火墙前，确保保留SSH等管理端口，避免被锁定。

系统兼容性：Anolis OS 8.4基于CentOS/RHEL生态，上述方法兼容性较高，但需确认tcp_wrappers是否已安装。

通过上述任一方法均可修复漏洞，推荐结合TCP Wrappers白名单和防火墙规则双重加固。