NFS-werútfier oer in VPN is gjin pakketstjoering

In Linux-masine docht mei oan in VPN, mountet in eksport fan NFS op ôfstân en tsjinnet dy mount dêrnei oan in oare groep klanten. Dizze opset liket op routing mei ekstra stappen, en dat is de earste ferkearde oanname. De middelste masine is in klant fan 'e upstream-tsjinner en in tsjinner foar de downstream-klanten, en die nimt diel oan beide bestânstsjinstrelaasjes. Pakketstjoering hat gjin miening oer bestânshânsels, beskoatteling of bestânssysteemidentiteit; in werútfier hat dat wol.

Begjin mei de fraach oft de downstream-klanten de oarspronklike tsjinner direkt berikke koene. As se dat kinne, is de middelste masine opsjoneel.

Trije modellen, trije ferhalen oer gearhing

Direkte mount is it simpelst: elke klant mountet de oarspronklike tsjinner troch de tunnel, en it eksportbelied fan dy tsjinner regelet de tagong. Werútfier is de middelste masine dy't in oare tsjinstgrins presintearret, wat nuttich is as it netwurk oan 'e klantekant de tsjinner net direkt berikke mei. Replikaasje is in tredde model, en it ferskoot de fraach fan gearhing nei synchronisaasje en konfliktoplossing.

Besykje in replisearre kopy net te beskriuwen as wie it in libbene werútfier. De flatermodi ferskille, en in brûker dy't ferwachtet dat elke operaasje de oarspronklike bestânssysteem berikt, sil ferrast wurde by in ferbiningsûnderbrekking.

Identiteit libbet langer as it mount-kommando

Werútfieren hawwe in eksplisite bestânssysteem-ID nedich, en dy identiteit moat werstarts en konfiguraasje-opnijbou oerlibje. De dokumintaasje fan 'e kernel is dúdlik oer de eask, en se warskôget ek dat crossmnt de needsaak net fuorthellet om ûnderbestânssystemen mei har eigen ID's te eksportearjen. In mangediertebeam dy't foar in brûker trochrinnend liket, kin ferskate bestânssysteemgrinzen oerstekke. Hjoeddeiske nfs-utils kinne ID's automatysk tawize foar stipe konfiguraasjes, en as se dat dogge, wurdt har databank part fan 'e steat fan 'e poarte. Behannelje dy ID's as tsjinstidentiteit ynstee fan weismietbere bestannen.

Bestânshânsels binne de oare identiteitsgrins: in werútfier pakket it oarspronklike hânsel yn, wat it grutter makket en de limyt fan in klant oershiede kin. In slagge mount bewiist net dat elke eksportopset kompatibel is.

Net elke NFS-funksje oerlibbet de middelste masine

De werútfiergids fan 'e kernel stelt dat de tsjinner dy't werútfierret gjin beskoatteling of delegaasjeferzoeken stipet. Tapassingen dy't fan dy operaasjes ôfhinklik binne, hawwe in oare wei of in ûntwerp nedich dat dêr tsjin ferifiearre is. In slagge mount en in wurkjende mappeliist sjen net dat de echte operaasjes fan 'e tapassing wurkje.

Brûkersidentiteit en eksportbelied binne ek by elke sprong fan belang. In VPN-oanmelding bewiist dat in netwurkdielnimmer autentisearre is; it autorisearret gjin NFS-brûker, en it stjoert de legitimearringsgegevens fan in klant net troch de poarte.

De poarte hat twa upstream-ôfhinklikheden

De poarte is ôfhinklik fan 'e VPN foar de upstream-mount en fan 'e upstream-tsjinner foar it bestânssysteem sels. In pleatslik eksportproses dat noch rint, kin netbeskikbere opslach net sûn meitsje. Planearje startoarder, werferbineningsgedrach en werstarts fan 'e tsjinner, ynklusyf wat der bart mei bestânshânsels dy't klanten al hawwe. In klant dy't troch de poarte mounte en syn hânsel ferlern is, hat in nije mount nedich, en dat is in operasjonele barren en gjin transparante weromkearing.

As alles wat de eask ea nedich hie berikberens fan privee IP's wie, is direkt routing nei de oarspronklike tsjinner de ienfâldiger arsjitektuer. De werútfier moat bestean om in reden dy't it oerlibbet as it opskreaun wurdt.

Test de wurklêst, net de mount

Oefenje de echte bestânswurklêst yn in kontrolearre omjouwing: de operaasjes dy't de tapassing útfiert, de bestânsgrutten dy't se brûkt, en de gearrinigens dy't se ferwachtet. Let op 'e funksjeûntbrekkingen en net allinnich op transportflaters. Skriuw dan op hokker model oft jo keazen hawwe en wêrom, want oars sil de folgjende persoan oannimme dat de poarte in router is.

In werútfier is legitimearre as it bestiet om in bewuste reden, lykas in isolearre klantnetwurk of in kontrolearre ferzje-grins. It is in min ûngelok, en it ferskil is oft immen dat besletten hat.