NFS-heruitvoer oor 'n VPN is nie pakketdeurstuur nie

'n Linux-boks sluit by 'n VPN aan, monteer 'n afgeleë NFS-uitvoer en bedien daardie montering dan aan 'n ander stel kliënte. Die reëling lyk soos roetering met ekstra stappe, en dit is die eerste verkeerde aanname. Die middelste masjien is 'n kliënt van die opstroom-bediener en 'n bediener vir die afstroom-kliënte, en dit neem deel aan albei lêerdiensverhoudings. Pakketdeurstuur het geen mening oor lêerhandvatsels, sluiting of lêerstelsel-identiteit nie; 'n heruitvoer het.

Begin deur te vra of die afstroom-kliënte die oorspronklike bediener direk kon bereik. As hulle kan, is die middelste masjien opsioneel.

Drie modelle, drie konsekwentheidverhale

Direkte montering is die eenvoudigste: elke kliënt monteer die oorspronklike bediener deur die tonnel, en daardie bediener se uitvoerbeleid bepaal toegang. Heruitvoer is die middelste masjien wat 'n ander diensgrens bied, wat nuttig is wanneer die kliëntgerigte netwerk nie die bediener direk mag bereik nie. Replikasie is 'n derde model, en dit verander die vraag van konsekwentheid na sinchronisasie en konflikoplossing.

Moenie 'n gerepliseerde kopie beskryf asof dit 'n lewende heruitvoer is nie. Die foutmodusse verskil, en 'n gebruiker wat verwag dat elke bewerking die oorspronklike lêerstelsel bereik, sal verras word tydens 'n skakelonderbreking.

Identiteit oorleef die monteeropdrag

Heruitvoere benodig 'n eksplisiete lêerstelsel-ID, en daardie identiteit moet herstarts en herkonfigurasies oorleef. Die kerndokumentasie is duidelik oor die vereiste, en dit waarsku ook dat crossmnt nie die noodsaaklikheid verwyder om kindlêerstelsels met hul eie ID's uit te voer nie. 'n Gidsboom wat vir 'n gebruiker aaneenlopend lyk, kan verskeie lêerstelselgrense oorsteek. Huidige nfs-utils kan ID's outomaties toewys vir ondersteunde konfigurasies, en wanneer dit doen, word sy databasis deel van die poort se toestand. Behandel daardie ID's as diensidentiteit eerder as weggooibare lêers.

Lêerhandvatsels is die ander identiteitsgrens: 'n heruitvoer omhul die oorspronklike handvatsel, wat dit groter maak en 'n kliënt se limiet kan oorskry. 'n Suksesvolle montering bewys nie dat elke uitvoeruitleg versoenbaar is nie.

Nie elke NFS-kenmerk oorleef die middelste masjien nie

Die kern se heruitvoergids sê dat die heruitvoerende bediener nie sluiting of delegasieversoeke ondersteun nie. Toepassings wat van daardie bewerkings afhanklik is, benodig 'n ander pad of 'n ontwerp wat daarteen geverifieer is. 'n Suksesvolle montering en 'n werkende gidslys wys nie dat die toepassing se werklike bewerkings werk nie.

Gebruikeridentiteit en uitvoerbeleid maak ook by elke sprong saak. 'n VPN-aanmelding bewys dat 'n netwerkdeelnemer geauthentiseer is; dit magtig nie 'n NFS-gebruiker nie, en dit stuur nie 'n kliënt se geloofsbriewe deur die poort nie.

Die poort het twee opstroom-afhanklikhede

Die poort is afhanklik van die VPN vir die opstroom-montering en van die opstroom-bediener vir die lêerstelsel self. 'n Plaaslike uitvoerproses wat nog loop, kan nie onbeskikbare berging gesond maak nie. Beplan beginorde, herverbindingsgedrag en bediener-herstart, insluitend wat gebeur met lêerhandvatsels wat kliënte reeds hou. 'n Kliënt wat deur die poort gemonteer het en sy handvatsel verloor het, benodig 'n hermontering, en dit is 'n operasionele gebeurtenis eerder as 'n deursigtige herstel.

As al wat die vereiste ooit nodig gehad het private IP-bereikbaarheid was, is direkte roetering na die oorspronklike bediener die eenvoudiger argitektuur. Die heruitvoer moet bestaan om 'n rede wat dit oorleef om neergeskryf te word.

Toets die werklading, nie die montering nie

Oefen die werklike lêerwerklading in 'n beheerde omgewing: die bewerkings wat die toepassing uitvoer, die lêergroottes wat dit gebruik, en die gelyktydigheid wat dit verwag. Let op die kenmerkgapings eerder as net op vervoerfoute. Teken dan aan watter model jy gekies het en waarom, want die volgende persoon sal andersins aanvaar die poort is 'n roeteerder.

'n Heruitvoer is regverdigbaar wanneer dit om 'n doelbewuste rede bestaan, soos 'n geïsoleerde kliëntnetwerk of 'n beheerde weergawegrens. Dit is 'n swak ongeluk, en die verskil is of iemand daaroor besluit het.