Samba op ’n VPN-adres: waarom die luisteraar verdwyn

Die deel werk die hele oggend, die tonnel herverbind teen middagete, en dieselfde UNC-pad eindig nou in ’n time-out terwyl ping na die bediener steeds antwoord. Niks het in die deeldefinisie verander nie en die VPN is op. Wat verander het, is die plaaslike adres waaraan Samba gebind was, wat nie meer bestaan nadat die koppelvlak herskep is nie. Daardie foutmodus is ’n luisteraarlewensiklusprobleem, nie ’n regteprobleem nie.

Die deel werk tot die tonnel herbegin

Om ’n diens aan ’n adres te bind, koppel sy sok aan daardie adres se leeftyd. Wanneer die tonnelkoppelvlak vernietig en herbou word, verdwyn die ou adres en die sok wat daaraan gebind is, gaan saam daarmee. Die diens bly loop, maar niks luister waar kliënte geroteer word nie.

Ping kan steeds slaag as die nuwe adres ICMP antwoord, en daarom lyk bereikbaarheid goed terwyl die deel dood is. Daardie enkele misleidende sukses is wat mense na die firewall stuur.

Bereikbaarheid is nie ’n bindadres nie

Drie besluite word hier vermeng. Die roete bepaal of ’n kliëntpakket aankom. Die luistersok bepaal of iets dit by die plaaslike adres aanvaar. Die deelkonfigurasie en lêerstelselregte bepaal wat daarna gebeur. Net die tweede een breek wanneer die koppelvlak herskep word.

’n Adres in die VPN-poel is ook nie outomaties ’n plaaslike bindadres nie. Dit behoort aan ’n kliënt, nie aan die lêerbediener nie. Ping is ’n swak toets vir ’n lêerdiens.

Hou daardie eienaars ook in die dokumentasie apart. ’n Toekomstige verandering aan die VPN-poel behoort nie Samba te wysig nie, en ’n verandering aan deelregte behoort nie ’n tonnelherbegin te vereis nie.

Bind eerder aan ’n stabiele adres

Die stabieler ontwerp hou Samba op ’n permanente adres en laat die VPN kliënte daarheen dra. Die bedieneradres verander nie wanneer ’n tonnel wapper nie, so die luisteraar hoef nooit ’n koppelvlak te volg nie. Toelating word dan deur die VPN-pad en die gasheerfirewall afgedwing, wat vir daardie taak gebou is.

As jy aan die tonnel moet bind, verstaan die kontrak van die geïnstalleerde weergawe. Die interfaces- en bind interfaces only-parameters is nie dieselfde ding nie, en die bindingsdokumentasie waarsku oor wisselvallige koppelvlakke. Dinamiese luisteraarhantering bestaan op sommige platforms, maar dit is ’n vermoë om te verifieer eerder as om te aanvaar. Lees die tabel voor en na ’n wapper en vergelyk die twee uitsette.

ss -ltnp | grep ':445'

Toets die herverbinding, nie die groen lig nie

Verifieer die luisteraar ná ’n herverbinding, nie net ná ’n diensbegin nie. Herskep die tonnel, lees dan die luistertabel en bevestig dat die sok op die adres bestaan waarheen kliënte geroteer word. ’n Groen tonnelaanwyser en ’n geslaagde konfigurasietoets bewys nie een van daardie dinge nie.

smbclient -L //files.corp.example -U alice

Voer dan een toegelate bewerking en een geweierde pad vanaf ’n kliënt uit, en herhaal ná ’n tweede herverbinding. As die deel net tot die eerste wapper werk, is die binding steeds aan die koppelvlak se leeftyd gekoppel en is die ontwerp nie reggemaak nie. Verander die binding of die diensadres, en die simptoom hou op terugkom.