El router com a client SMB o com a reenviador de paquets: quin encaixa

Reenviar el trànsit SMB no és la mateixa feina que acabar-lo, i un router que fa una cosa potser no gestiona l’altra. Reenviar vol dir que el router mou paquets el contingut dels quals mai no analitza. Muntar vol dir que el router esdevé un client de fitxers, amb programari que potser no porta, credencials que ha de protegir i modes de fallada que ara posseeix. Triar entre les dues coses és una qüestió de on calen els fitxers, no de què es pot convèncer la plataforma d’encaminament perquè instal·li.

Reenviar i acabar són feines diferents

En el rol de reenviament el router té una responsabilitat: lliurar paquets entre el client i el servidor aplicant la política que el camí requereixi. No s’autentica al recurs compartit, no fa memòria cau de dades de fitxers i no li importa si el servidor parla SMB2 o SMB3, perquè mai no llegeix tan endins del flux. Si el recurs esdevé inaccessible, l’usuari veu un error i el router continua encaminant.

En el rol de client el router s’incorpora a la conversa del protocol. Negocia un dialecte, s’autentica, resol noms, manté un punt de muntatge i presenta una vista local del sistema de fitxers a tot el que hi corre a sobre. És un servei real amb un cicle de vida, i converteix la porta d’enllaç en una dependència del flux de treball de fitxers. També hereta tots els modes de fallada d’aquesta dependència, incloent-hi esperes durant l’arrencada i credencials obsoletes.

La comparació no va només de capacitat. Una plataforma que pot muntar un recurs no és automàticament una plataforma que ho hauria de fer, i una plataforma que no en pot muntar cap potser encara és el lloc correcte per encaminar el trànsit.

Què necessita realment un muntatge CIFS del nucli

En un aparell basat en Linux, el client CIFS del nucli i un client d’espai d’usuari són capacitats separades, i les imatges petites sovint no inclouen cap de les dues. El suport del nucli ha de ser present a la imatge en execució, l’ajudant de muntatge ha d’existir, i el dialecte SMB negociat amb el servidor ha de ser un que acceptin les dues bandes. En parla la guia del client CIFS de Linux, que descriu l’organització del nucli i les seves opcions de muntatge, i és la referència correcta abans de suposar que una compilació de fabricant la inclou.

Comproveu la capacitat abans de dissenyar-hi al voltant, i comproveu la versió en lloc de la presència d’un nom d’ordre. Un nom de mòdul en una llista de paquets no és el mateix que un client que funciona.

lsmod | grep -w cifs
modinfo cifs | head -5
mount.cifs --version
smbclient -L //fs02.corp.internal -U svc-router -m SMB3

Un mòdul del nucli que es carrega i una eina d’espai d’usuari que informa d’una versió encara no garanteixen que un muntatge sobrevisqui una renovació de claus de VPN, així que tracteu la prova com una condició inicial i no com una prova concloent. Si la imatge només porta suport SMB1, això és un motiu per aturar-se, no un motiu per habilitar-lo al servidor.

Les credencials i la identitat d’origen difereixen de les d’un portàtil

Una petició reenviada porta la identitat del portàtil pel túnel, mentre que una petició generada al router porta la seva pròpia adreça d’origen, el camí del resolutor i el filtratge de sortida. Poden caure en una regla de tallafoc diferent, una vista de DNS diferent i una llista d’autoritzacions diferent al costat del servidor. Per tant, una còpia que funciona des d’una estació de treball no demostra res sobre el muntatge propi del router. Proveu el muntatge des de l’intèrpret d’ordres del mateix router, no des d’una estació de treball al darrere.

Digueu al router una identitat de servei amb autorització estreta si el rol s’aprova de tot. No poseu mai una contrasenya directament a la línia d’ordres de muntatge, perquè es queda a l’historial de l’intèrpret i apareix a la taula de processos mentre el muntatge s’executa.

Emmagatzemeu la credencial pel mecanisme protegit de la plataforma i llegiu-la d’un fitxer amb permisos restrictius. Aquest fitxer hauria de ser illegible per a tots els comptes excepte el que executa el muntatge.

install -m 600 /dev/null /etc/cifs-reports.creds
printf 'username=svc-router\npassword=REPLACE_ME\ndomain=CORP\n' > /etc/cifs-reports.creds
mount -t cifs //fs02.corp.internal/reports /mnt/reports -o credentials=/etc/cifs-reports.creds,vers=3.1.1,ro

Qui és propietari de la fallada quan el recurs desapareix

Un sistema de fitxers remot absent es comporta diferent d’una ruta absent. Un muntatge pot bloquejar processos que el toquen, pot fallar en arrencar abans que existeixi el túnel, i una escriptura destinada al servidor pot acabar al lloc equivocat si hi ha un directori local sota el punt de muntatge. Són fallades d’emmagatzematge que ara posseeix l’equip de xarxa, tant si l’equip les volia com si no. Ningú no va acceptar aquesta propietat, però arriba amb el muntatge.

Dissenyou l’ordre d’arrencada i les opcions de muntatge al voltant d’aquesta realitat. Un muntatge de només lectura amb un temps d’espera curt i un pas de recuperació documentat és més fàcil de defensar que un muntatge d’escriptura del qual depèn tota la resta. Confirmeu que el túnel puja abans que res intenti muntar, o la primera arrencada després d’un tall de llum es penjarà.

Per a un processament substancial de fitxers, o per a qualsevol cosa que reexporti les dades més enllà, un amfitrió separat sol donar una frontera de propietat més clara. El router continua encaminant, i el flux de treball de fitxers obté una màquina que es pot reiniciar sense endur-se la xarxa.

Comproveu la decisió contra la tasca real

Anoteu quina tasca necessita els fitxers i on s’executa aquesta tasca. Si la resposta és una estació de treball, encamineu el recurs i atureu-vos aquí. Si la resposta és un servei a l’aparell, confirmeu la capacitat del client, el dialecte suportat i el camí de les credencials abans del primer muntatge, i després decidiu si l’aparell és realment l’amfitrió correcte.

Verifiqueu la vista muntada i l’espai lliure des del mateix router, ja que és allà on la càrrega de treball els veurà. Repetiu la comprovació després d’una reconnexió, no només després d’una arrencada neta.

findmnt -t cifs -o TARGET,SOURCE,OPTIONS
df -h /mnt/reports
ls -l /mnt/reports | head

Un muntatge que llista fitxers però informa d’un sistema de fitxers ple o de només lectura ja us ha dit quina fallada trobareu a les 2 de la matinada. Confirmeu també el camí de recuperació: desmunteu net, baixeu el túnel, torneu-lo a pujar i munteu de nou sense reiniciar l’aparell. Si aquesta seqüència necessita un cas de suport cada vegada, el router és el lloc equivocat per al rol de client.