NFS-Shares auf Linux-Servern erkennen und auditieren

7. Mai 2026 · Sat-iTec Systemhaus GmbH · 7 Min. Lesezeit

In gemischten Windows-/Linux-Infrastrukturen werden Datei-Shares oft auf zwei Wegen serviert: SMB (Samba) für Windows-Clients, NFS für andere Linux-Hosts. Während SMB-Shares im IT-Audit standardmäßig auftauchen, sind NFS-Mounts häufig die blinden Flecken. Wir zeigen, wie Sie NFS-Shares zuverlässig finden — auch ohne Linux-Anmeldung — und welche Berechtigungs-Fallstricke Sie kennen sollten.

Warum NFS so oft übersehen wird

NFS ist out-of-the-box auf vielen Linux-Distributionen verfügbar (nfs-kernel-server auf Debian/Ubuntu, nfs-utils auf RHEL/Rocky). Ein Mitarbeiter exportiert „mal eben" ein Verzeichnis für einen Hyper-V-Host oder einen ESXi-Datastore — und vergisst, das ins Inventar einzutragen. Drei Jahre später ist nicht mehr nachvollziehbar, welcher Server welches Verzeichnis warum gemountet hat.

Aus Audit-Sicht sind dabei vor allem drei Konfigurationsfehler relevant:

• no_root_squash: Root auf dem Client wird auch zu Root auf dem Server. Bei kompromittierter Workstation = lokaler Root-Zugriff auf den Datei-Server.
• * als Allow-Quelle: Jeder im Netz darf den Share mounten. Sollte nie auf Produktiv-NFS stehen.
• kein Kerberos / nur AUTH_SYS: Authentifizierung allein über UID/GID — wer auf seinem Linux-Client einen User mit der passenden UID anlegt, hat Vollzugriff.

Variante 1: Port-Scan von einem Windows-Audit-Host aus

Die schnellste Inventur ohne Login auf den Linux-Hosts ist ein TCP-Port-Probe. NFS-relevante Ports:

# auf jedem Linux-Host der bekannten Hosts-Liste prüfen:
Test-NetConnection -ComputerName linsrv01.example.local -Port 2049
Test-NetConnection -ComputerName linsrv01.example.local -Port 20048

Antwort auf Port 2049 = NFS aktiv. Das alleine sagt aber noch nichts über die exportierten Verzeichnisse. Dafür brauchen Sie showmount.

Variante 2: showmount aus Windows aufrufen

showmount ist Teil des Windows-Features „Services for NFS". Aktivieren Sie es einmalig auf der Audit-Workstation:

# PowerShell als Administrator
Enable-WindowsOptionalFeature -Online `
  -FeatureName NFS-Administration -All -NoRestart

# Anschließend:
showmount -e linsrv01.example.local

# Beispiel-Ausgabe:
# Exports list on linsrv01.example.local:
# /srv/nfs/backup       *
# /srv/nfs/vmware       192.168.10.0/24
# /home/projects        192.168.10.42

Tipp: Wenn der Linux-Host eine restriktive iptables- oder nftables-Konfiguration hat, antwortet showmount oft mit „RPC: Timed out". Das heißt nicht zwingend „kein NFS" — es kann auch „NFS auf 2049 läuft, aber mountd ist gefirewallt" bedeuten. Im Zweifel den Linux-Admin direkt fragen oder per SSH cat /etc/exports prüfen.

Variante 3: ITscanner — automatisch im Hybrid-Audit

Ab Version 2.08.11 erkennt ITscanner NFS-Shares automatisch als Teil des regulären Netzwerk-Scans. Der Workflow:

1. Subnet-Scan findet alle Linux-Hosts (anhand TTL und WMI-Antwort-Verhalten).
2. Port-Probe auf 2049 + 445 entscheidet, ob der Host NFS, SMB oder beides anbietet.
3. Wenn das Windows-Feature „Services for NFS" auf dem Audit-Host installiert ist, ruft ITscanner zusätzlich showmount für die Liste der exportierten Pfade auf.
4. Pro NFS-Host wird eine Zeile im Tab „Freigaben" angelegt mit den Spalten Pfad, Allow-From, Detected-At.

Im BSI-Grundschutz-Bericht erscheinen NFS-Hosts mit Port 2049 zusätzlich in der Sektion „Datei-Dienste-Audit" — neben SMB-Shares mit ACL-Liste und Win32_LogicalShareSecuritySetting-Daten.

Was im NFS-Audit konkret zu prüfen ist

1. Existieren NFS-Hosts überhaupt im Inventar? Wenn nicht — Port-Scan auf 2049 in jedem Subnetz starten.
2. Sind die Allow-Quellen restriktiv? * ist fast immer falsch.
3. Gibt es no_root_squash-Exporte? Sollte begründet sein (typisch nur für Vmware-Datastore-Mounts mit dediziertem Netz-Segment).
4. Ist NFSv4 mit Kerberos im Einsatz? Wenn nicht, prüfen Sie, ob das Netzsegment mindestens auf Layer-2 (VLAN) abgetrennt ist.
5. Sind die UID/GID-Mappings dokumentiert? Idealerweise wird idmapd mit zentralem LDAP/AD-Account-Mapping konfiguriert, nicht „flach" über numerische UIDs.
6. Sind die exportierten Verzeichnisse vom Backup erfasst? NFS-Backup wird oft vergessen, weil das Backup-Tool nur Windows-Pfade scannt.

Beispiel-Befund aus einem realen KMU-Audit

Bei einem mittelgroßen Sat-iTec-Kunden (320 Geräte, 8 Linux-Server, 2 Windows-DCs) hat das ITscanner-NFS-Modul beim ersten Scan vier nicht-dokumentierte NFS-Exporte aufgedeckt:

• Eine alte VMware-Datastore-Freigabe, die seit der ESXi-Migration vor 2 Jahren nicht mehr gebraucht wurde, aber noch no_root_squash * exportiert hatte.
• Ein /var/backup-Mount, in dem der lokale Backup-Job die SQL-Dumps eines Produktionsservers ablegt — exportiert für jedes interne Subnetz.
• Ein /home-Export, der noch aus einer NIS-Migration vor 5 Jahren stammte und nie deaktiviert wurde.
• Ein /srv/nfs/test, der ein „kurzes Testsetup" eines Entwicklers war, das nie zurückgebaut wurde.

Drei der vier Befunde wurden nach dem Audit unmittelbar deaktiviert. Bei DSGVO- oder ISO-Audits wären das genau die Befunde, die der Auditor sucht.

Verwandte Beiträge

• Active Directory inventarisieren ohne RSAT
• BSI-Audit in 30 Minuten — Schritt-für-Schritt
• ITscanner vs. Docusnap, Lansweeper, LOGINventory — Vergleich