Ο δρομολογητής ως πελάτης SMB ή ως προωθητής πακέτων: ποιο ταιριάζει

Η προώθηση κίνησης SMB δεν είναι η ίδια εργασία με τον τερματισμό της, και ένας δρομολογητής που κάνει το ένα μπορεί να μην καταφέρνει το άλλο. Η προώθηση σημαίνει ότι ο δρομολογητής μετακινεί πακέτα των οποίων το περιεχόμενο δεν αναλύει ποτέ. Η προσάρτηση σημαίνει ότι ο δρομολογητής γίνεται πελάτης αρχείων, με λογισμικό που μπορεί να μη διαθέτει, διαπιστευτήρια που πρέπει να προστατεύει και τρόπους αστοχίας που πλέον κατέχει. Η επιλογή ανάμεσα στα δύο είναι ζήτημα του πού χρειάζονται τα αρχεία, όχι του τι μπορεί να πειστεί να εγκαταστήσει η πλατφόρμα δρομολόγησης.

Προώθηση και τερματισμός είναι διαφορετικές εργασίες

Στον ρόλο της προώθησης ο δρομολογητής έχει μία ευθύνη: να παραδίδει πακέτα ανάμεσα στον πελάτη και τον διακομιστή εφαρμόζοντας όποια πολιτική απαιτεί η διαδρομή. Δεν αυθεντικοποιείται στον κοινόχρηστο πόρο, δεν αποθηκεύει προσωρινά δεδομένα αρχείων και δεν τον ενδιαφέρει αν ο διακομιστής μιλά SMB2 ή SMB3, γιατί δεν διαβάζει ποτέ τόσο βαθιά στη ροή. Αν ο πόρος γίνει μη προσβάσιμος, ο χρήστης βλέπει σφάλμα και ο δρομολογητής συνεχίζει να δρομολογεί.

Στον ρόλο του πελάτη ο δρομολογητής μπαίνει στη συνομιλία του πρωτοκόλλου. Διαπραγματεύεται διάλεκτο, αυθεντικοποιείται, επιλύει ονόματα, κρατά σημείο προσάρτησης και παρουσιάζει τοπική όψη συστήματος αρχείων σε ό,τι τρέχει από πάνω του. Αυτή είναι πραγματική υπηρεσία με κύκλο ζωής, και μετατρέπει την πύλη σε εξάρτηση της ροής εργασίας αρχείων. Κληρονομεί επίσης κάθε τρόπο αστοχίας αυτής της εξάρτησης, συμπεριλαμβανομένων αναμονών κατά την εκκίνηση και παρωχημένων διαπιστευτηρίων.

Η σύγκριση δεν αφορά μόνο τη δυνατότητα. Μια πλατφόρμα που μπορεί να προσαρτήσει έναν πόρο δεν είναι αυτόματα πλατφόρμα που θα έπρεπε να το κάνει, και μια πλατφόρμα που δεν μπορεί να προσαρτήσει κάποιον μπορεί να είναι ακόμη το σωστό σημείο για δρομολόγηση της κίνησης.

Τι χρειάζεται πραγματικά μια προσάρτηση CIFS στον πυρήνα

Σε συσκευή με Linux, ο πελάτης CIFS του πυρήνα και ένας πελάτης χώρου χρήστη είναι ξεχωριστές δυνατότητες, και οι μικρές εικόνες συχνά δεν περιέχουν καμία από τις δύο. Η υποστήριξη πυρήνα πρέπει να υπάρχει στην εικόνα που εκτελείται, ο βοηθός προσάρτησης πρέπει να υπάρχει, και η διάλεκτος SMB που διαπραγματεύεται με τον διακομιστή πρέπει να είναι μία που δέχονται και οι δύο πλευρές. Τα περιγράφει ο οδηγός του πελάτη CIFS για Linux, που εξηγεί τη διάταξη του πυρήνα και τις επιλογές προσάρτησης, και είναι η σωστή αναφορά πριν υποθέσετε ότι μια κατασκευή προμηθευτή την περιλαμβάνει.

Ελέγξτε τη δυνατότητα πριν σχεδιάσετε γύρω από αυτήν, και ελέγξτε την έκδοση αντί για την παρουσία ενός ονόματος εντολής. Ένα όνομα μονάδας σε μια λίστα πακέτων δεν είναι το ίδιο με έναν πελάτη που λειτουργεί.

lsmod | grep -w cifs
modinfo cifs | head -5
mount.cifs --version
smbclient -L //fs02.corp.internal -U svc-router -m SMB3

Μια μονάδα πυρήνα που φορτώνει και ένα εργαλείο χώρου χρήστη που αναφέρει έκδοση δεν εγγυώνται ακόμη ότι μια προσάρτηση επιβιώνει από ανανέωση κλειδιών VPN, οπότε αντιμετωπίστε τη δοκιμή ως αρχική συνθήκη, όχι ως απόδειξη. Αν η εικόνα παρέχει μόνο υποστήριξη SMB1, αυτός είναι λόγος να σταματήσετε, όχι λόγος να το ενεργοποιήσετε στον διακομιστή.

Τα διαπιστευτήρια και η ταυτότητα προέλευσης διαφέρουν από ενός φορητού

Ένα προωθημένο αίτημα μεταφέρει την ταυτότητα του φορητού μέσα από τη σήραγγα, ενώ ένα αίτημα που παράγεται στον δρομολογητή φέρει τη δική του διεύθυνση προέλευσης, τη διαδρομή του resolver και το φιλτράρισμα εξόδου. Αυτά μπορεί να καταλήξουν σε άλλον κανόνα τείχους προστασίας, άλλη όψη DNS και άλλη λίστα επιτρεπόμενων στην πλευρά του διακομιστή. Ένα αντίγραφο που λειτουργεί από σταθμό εργασίας δεν αποδεικνύει επομένως τίποτα για την προσάρτηση του ίδιου του δρομολογητή. Δοκιμάστε την προσάρτηση από το ίδιο το κέλυφος του δρομολογητή, όχι από σταθμό εργασίας πίσω του.

Δώστε στον δρομολογητή μια στενά εξουσιοδοτημένη ταυτότητα υπηρεσίας, αν ο ρόλος εγκριθεί καθόλου. Μην τοποθετείτε ποτέ κωδικό πρόσβασης απευθείας στη γραμμή εντολής προσάρτησης, γιατί παραμένει στο ιστορικό του κελύφους και εμφανίζεται στον πίνακα διεργασιών όσο εκτελείται η προσάρτηση.

Αποθηκεύστε τα διαπιστευτήρια μέσω του προστατευμένου μηχανισμού της πλατφόρμας και διαβάστε τα από αρχείο με περιοριστικά δικαιώματα. Αυτό το αρχείο θα πρέπει να είναι μη αναγνώσιμο σε κάθε λογαριασμό εκτός από εκείνον που εκτελεί την προσάρτηση.

install -m 600 /dev/null /etc/cifs-reports.creds
printf 'username=svc-router\npassword=REPLACE_ME\ndomain=CORP\n' > /etc/cifs-reports.creds
mount -t cifs //fs02.corp.internal/reports /mnt/reports -o credentials=/etc/cifs-reports.creds,vers=3.1.1,ro

Ποιος κατέχει την αστοχία όταν ο πόρος εξαφανιστεί

Ένα απόν απομακρυσμένο σύστημα αρχείων συμπεριφέρεται διαφορετικά από μια απούσα διαδρομή. Μια προσάρτηση μπορεί να μπλοκάρει διεργασίες που την αγγίζουν, μπορεί να αποτύχει κατά την εκκίνηση πριν υπάρξει η σήραγγα, και μια εγγραφή που προοριζόταν για τον διακομιστή μπορεί να καταλήξει σε λάθος θέση αν κάτω από το σημείο προσάρτησης βρίσκεται τοπικός κατάλογος. Πρόκειται για αστοχίες αποθήκευσης που πλέον τις κατέχει η ομάδα δικτύου, είτε τις ήθελε είτε όχι. Κανείς δεν συμφώνησε σε αυτή την ιδιοκτησία, αλλά έρχεται μαζί με την προσάρτηση.

Σχεδιάστε τη σειρά εκκίνησης και τις επιλογές προσάρτησης γύρω από αυτή την πραγματικότητα. Μια προσάρτηση μόνο για ανάγνωση με σύντομο χρονικό όριο και τεκμηριωμένο βήμα αποκατάστασης υπερασπίζεται ευκολότερα από μια προσάρτηση εγγραφής από την οποία εξαρτάται όλα τα υπόλοιπα. Επιβεβαιώστε ότι η σήραγγα ανεβαίνει πριν κάτι προσπαθήσει να προσαρτήσει, αλλιώς η πρώτη εκκίνηση μετά από διακοπή ρεύματος θα κολλήσει.

Για ουσιαστική επεξεργασία αρχείων, ή για οτιδήποτε επανεξάγει τα δεδομένα παραπέρα, ένας ξεχωριστός κεντρικός υπολογιστής δίνει συνήθως καθαρότερο όριο ιδιοκτησίας. Ο δρομολογητής συνεχίζει να δρομολογεί, και η ροή εργασίας αρχείων αποκτά μηχάνημα που μπορεί να επανεκκινηθεί χωρίς να πάρει μαζί του το δίκτυο.

Ελέγξτε την απόφαση απέναντι στην πραγματική εργασία

Γράψτε ποια εργασία χρειάζεται τα αρχεία και πού εκτελείται αυτή η εργασία. Αν η απάντηση είναι σταθμός εργασίας, δρομολογήστε τον πόρο και σταματήστε εκεί. Αν η απάντηση είναι υπηρεσία στη συσκευή, επιβεβαιώστε τη δυνατότητα του πελάτη, την υποστηριζόμενη διάλεκτο και τη διαδρομή των διαπιστευτηρίων πριν από την πρώτη προσάρτηση, και μετά αποφασίστε αν η συσκευή είναι πραγματικά ο σωστός κεντρικός υπολογιστής.

Επαληθεύστε την προσαρτημένη όψη και τον ελεύθερο χώρο από τον ίδιο τον δρομολογητή, αφού εκεί θα τα δει το φόρτο εργασίας. Επαναλάβετε τον έλεγχο μετά από επανασύνδεση, όχι μόνο μετά από καθαρή εκκίνηση.

findmnt -t cifs -o TARGET,SOURCE,OPTIONS
df -h /mnt/reports
ls -l /mnt/reports | head

Μια προσάρτηση που απαριθμεί αρχεία αλλά αναφέρει γεμάτο ή μόνο-για-ανάγνωση σύστημα αρχείων σας έχει ήδη πει ποια αστοχία θα συναντήσετε στις 2 τα ξημερώματα. Επιβεβαιώστε και τη διαδρομή αποκατάστασης: αποπροσαρτήστε καθαρά, κατεβάστε τη σήραγγα, ανεβάστε την ξανά και προσαρτήστε ξανά χωρίς επανεκκίνηση της συσκευής. Αν αυτή η ακολουθία απαιτεί υπόθεση υποστήριξης κάθε φορά, ο δρομολογητής είναι το λάθος μέρος για τον ρόλο του πελάτη.