Roeteerder as SMB-kliënt of pakketdeurlaat: wat pas die beste

Om SMB-verkeer deur te stuur is nie dieselfde taak as om dit te termineer nie, en ’n roeteerder wat die een doen, bestuur dalk nie die ander nie. Deurstuur beteken die roeteerder skuif pakkette waarvan hy die inhoud nooit ontleed nie. Monteer beteken die roeteerder word ’n lêerkliënt, met sagteware wat hy dalk nie lewer nie, geloofsbriewe wat hy moet beskerm en foutmodusse wat hy nou besit. Om tussen die twee te kies is ’n vraag oor waar die lêers nodig is, nie oor wat die roeteringsplatform oorreed kan word om te installeer nie.

Deurstuur en termineer is verskillende take

In die deurstuurrol het die roeteerder een verantwoordelikheid: lewer pakkette tussen die kliënt en die bediener terwyl hy enige beleid toepas wat die pad vereis. Hy verifieer nie by die deel nie, kas nie lêerdata nie en gee nie om of die bediener SMB2 of SMB3 praat nie, want hy lees nooit so ver in die stroom nie. As die deel onbereikbaar word, sien die gebruiker ’n fout en die roeteerder hou aan roeteer.

In die kliëntrol sluit die roeteerder by die protokolgesprek aan. Hy onderhandel ’n dialek, verifieer, los name op, hou ’n monteerpunt en bied ’n plaaslike lêerstelselaansig aan wat ook al bo hom loop. Dit is ’n werklike diens met ’n lewensiklus, en dit maak die poort ’n afhanklikheid van die lêerwerkvloei. Hy erf ook elke foutmodus van daardie afhanklikheid, insluitend wagtye by selflaai en verouderde geloofsbriewe.

Die vergelyking gaan nie net oor vermoë nie. ’n Platform wat ’n deel kan monteer is nie outomaties ’n platform wat dit behoort te doen nie, en ’n platform wat nie een kan monteer nie, is dalk steeds die regte plek om die verkeer te roeteer.

Wat ’n kern-CIFS-monteer werklik nodig het

Op ’n Linux-gebaseerde toestel is die kern-CIFS-kliënt en ’n gebruikerspasie-kliënt aparte vermoëns, en klein beelde bevat dikwels nie een nie. Kernondersteuning moet in die lopende beeld teenwoordig wees, die monteerhulp moet bestaan, en die SMB-dialek wat met die bediener onderhandel word, moet een wees wat beide kante aanvaar. Die Linux CIFS-kliëntgids beskryf die kernreëling en sy monteeropsies, wat die regte verwysing is voordat jy aanvaar dat ’n verskafferbou dit insluit.

Kontroleer vir die vermoë voordat jy daarom ontwerp, en kontroleer die weergawe eerder as die teenwoordigheid van ’n opdragnaam. ’n Modulnaam in ’n pakketlys is nie dieselfde as ’n werkende kliënt nie.

lsmod | grep -w cifs
modinfo cifs | head -5
mount.cifs --version
smbclient -L //fs02.corp.internal -U svc-router -m SMB3

’n Kernmodule wat laai en ’n gebruikerslandhulpmiddel wat ’n weergawe rapporteer waarborg steeds nie dat ’n monteer ’n VPN-herkodeering oorleef nie, so behandel die toets as ’n aanvangstoestand eerder as as bewys. As die beeld slegs SMB1-ondersteuning lewer, is dit ’n rede om te stop eerder as ’n rede om dit op die bediener te aktiveer.

Geloofsbriewe en bronidentiteit verskil van dié van ’n skootrekenaar

’n Deurgestuurde versoek dra die skootrekenaar se identiteit deur die tonnel, terwyl ’n versoek wat op die roeteerder geskep word, die roeteerder se eie bronadres, oplosserpad en uitsetfiltering dra. Dié kan in ’n ander brandmuurreël, ’n ander DNS-aansig en ’n ander bedienerkant-toelaatlys beland. ’n Kopie wat van ’n werkstasie af werk, bewys dus niks oor die roeteerder se eie monteer nie. Toets die monteer vanaf die roeteerder se eie skul, nie vanaf ’n werkstasie agter hom nie.

Gee die roeteerder ’n eng gemagtigde diensidentiteit as die rol hoegenaamd goedgekeur word. Plaas nooit ’n wagwoord direk in ’n monteeropdraglyn nie, want dit bly in die skulgeskiedenis en verskyn in die prosestabel terwyl die monteer loop.

Stoor die geloofsbrief deur die platform se beskermde meganisme en lees dit uit ’n lêer met beperkende regte. Daardie lêer moet onleesbaar wees vir elke rekening behalwe die een wat die monteer uitvoer.

install -m 600 /dev/null /etc/cifs-reports.creds
printf 'username=svc-router\npassword=REPLACE_ME\ndomain=CORP\n' > /etc/cifs-reports.creds
mount -t cifs //fs02.corp.internal/reports /mnt/reports -o credentials=/etc/cifs-reports.creds,vers=3.1.1,ro

Wie besit die fout wanneer die deel verdwyn

’n Ontbrekende afgeleë lêerstelsel gedra hom anders as ’n ontbrekende roete. ’n Monteer kan prosesse blokkeer wat dit aanraak, dit kan by selflaai faal voordat die tonnel bestaan, en ’n skryfaksie wat vir die bediener bedoel was, kan op die verkeerde plek beland as ’n plaaslike gids onder die monteerpunt sit. Dit is stoorfoute wat nou deur die netwerkspan besit word, of die netwerkspan dit wou hê of nie. Niemand het daardie eienaarskap aanvaar nie, maar dit kom saam met die monteer.

Ontwerp die selflaaivolgorde en die monteeropsies rondom daardie werklikheid. ’n Leesalleen-monteer met ’n kort tydsduur en ’n gedokumenteerde herstelstap is makliker om te verdedig as ’n skryfbare monteer waarvan alles anders afhang. Bevestig dat die tonnel opkom voordat iets probeer monteer, anders hang die eerste selflaai ná ’n kragonderbreking.

Vir aansienlike lêerverwerking, of vir enigiets wat die data verder heruitvoer, gee ’n aparte gasheer gewoonlik ’n duideliker eienaarskapsgrens. Die roeteerder hou aan roeteer, en die lêerwerkvloei kry ’n masjien wat herbegin kan word sonder om die netwerk saam te neem.

Toets die besluit teen die werklike taak

Skryf neer watter taak die lêers nodig het en waar daardie taak loop. As die antwoord ’n werkstasie is, roeteer die deel en stop daar. As die antwoord ’n diens op die toestel is, bevestig die kliëntvermoë, die ondersteunde dialek en die geloofsbriefpad voor die eerste monteer, en besluit dan of die toestel werklik die regte gasheer is.

Verifieer die gemonteerde aansig en die vrye spasie vanaf die roeteerder self, want dit is waar die werklas hulle sal sien. Herhaal die kontrole ná ’n herverbinding, nie net ná ’n skoon selflaai nie.

findmnt -t cifs -o TARGET,SOURCE,OPTIONS
df -h /mnt/reports
ls -l /mnt/reports | head

’n Monteer wat lêers lys maar ’n vol of leesalleen-lêerstelsel rapporteer, het al vir jou gesê watter fout jy om 2 in die oggend gaan teëkom. Bevestig ook die herstelpad: ontkoppel skoon, bring die tonnel af, bring dit terug en monteer weer sonder om die toestel te herbegin. As daardie reeks elke keer ’n ondersteuningsgeval nodig het, is die roeteerder die verkeerde plek vir die kliëntrol.