O router como cliente SMB fronte a reenviador de paquetes: cal encaixa

Reenviar o tráfico SMB non é a mesma tarefa que terminalo, e un router que fai unha pode que non domine a outra. Reenviar significa que o router move paquetes cuxo contido nunca analiza. Montar significa que o router se converte en cliente de ficheiros, con software que pode non incluír, credenciais que debe protexer e modos de fallo que agora asume. Escoller entre ambos é unha cuestión de onde se necesitan os ficheiros, non de a que se pode convencer a plataforma de encamiñamento para que instale.

Reenviar e terminar son tarefas distintas

No papel de reenvío o router ten unha responsabilidade: entregar paquetes entre o cliente e o servidor aplicando a política que exixa o camiño. Non se autentica no recurso compartido, non cachea datos de ficheiros e non lle importa se o servidor fala SMB2 ou SMB3, porque nunca le tan dentro do fluxo. Se o recurso deixa de estar accesible, o usuario ve un erro e o router segue encamiñando.

No papel de cliente o router súmase á conversa do protocolo. Negocia un dialecto, autentícase, resolve nomes, mantén un punto de montaxe e presenta unha vista local do sistema de ficheiros a todo o que corre por riba. É un servizo real cun ciclo de vida, e converte a pasarela nunha dependencia do fluxo de traballo de ficheiros. Tamén herda todos os modos de fallo desa dependencia, incluídas as esperas durante o arranque e as credenciais obsoletas.

A comparación non vai só de capacidade. Unha plataforma que pode montar un recurso non é automaticamente unha plataforma que debería facelo, e unha plataforma que non pode montar ningún pode seguir sendo o lugar correcto para encamiñar o tráfico.

Que necesita realmente unha montaxe CIFS do núcleo

Nun aparello baseado en Linux, o cliente CIFS do núcleo e un cliente de espazo de usuario son capacidades separadas, e as imaxes pequenas a miúdo non inclúen ningunha. O soporte do núcleo ten que estar na imaxe en execución, ten que existir o asistente de montaxe e o dialecto SMB negociado co servidor ten que ser un que acepten as dúas partes. Descríbeo a guía do cliente CIFS de Linux, que explica a disposición do núcleo e as súas opcións de montaxe, e é a referencia correcta antes de supor que unha compilación de fabricante a inclúe.

Comprobe a capacidade antes de deseñar ao seu redor, e comprobe a versión en lugar da presenza dun nome de orde. Un nome de módulo nunha lista de paquetes non é o mesmo que un cliente que funciona.

lsmod | grep -w cifs
modinfo cifs | head -5
mount.cifs --version
smbclient -L //fs02.corp.internal -U svc-router -m SMB3

Un módulo do núcleo que se carga e unha ferramenta de espazo de usuario que informa dunha versión aínda non garanten que unha montaxe sobreviva a unha renovación de claves de VPN, así que trate a proba como unha condición inicial e non como unha proba concluínte. Se a imaxe só trae soporte SMB1, iso é motivo para deterse, non motivo para activalo no servidor.

As credenciais e a identidade de orixe difiren das dun portátil

Unha petición reenviada leva a identidade do portátil polo túnel, mentres que unha petición xerada no router leva o seu propio enderezo de orixe, a ruta do resolvedor e o filtrado de saída. Poden acabar nunha regra de devasas distinta, unha vista de DNS distinta e unha lista de permitidos distinta no lado do servidor. Por tanto, unha copia que funciona desde unha estación de traballo non demostra nada sobre a montaxe propia do router. Probe a montaxe desde a propia consola do router, non desde unha estación de traballo situada detrás.

Dea ao router unha identidade de servizo con autorización estreita se o papel se aproba de todo. Nunca poña un contrasinal directamente na liña de ordes de montaxe, porque queda no historial da consola e aparece na táboa de procesos mentres a montaxe se executa.

Garde a credencial mediante o mecanismo protexido da plataforma e léaa dun ficheiro con permisos restrinxidos. Ese ficheiro debería ser ilexible para toda conta excepto a que executa a montaxe.

install -m 600 /dev/null /etc/cifs-reports.creds
printf 'username=svc-router\npassword=REPLACE_ME\ndomain=CORP\n' > /etc/cifs-reports.creds
mount -t cifs //fs02.corp.internal/reports /mnt/reports -o credentials=/etc/cifs-reports.creds,vers=3.1.1,ro

Quen é dono do fallo cando o recurso desaparece

Un sistema de ficheiros remoto ausente compórtase de forma distinta a unha ruta ausente. Unha montaxe pode bloquear procesos que a tocan, pode fallar no arranque antes de que exista o túnel, e unha escritura destinada ao servidor pode acabar no lugar equivocado se hai un directorio local baixo o punto de montaxe. Son fallos de almacenamento que agora asume o equipo de rede, tanto se os quería como se non. Ninguén aceptou esa propiedade, pero chega coa montaxe.

Deseñe a orde de arranque e as opcións de montaxe arredor desa realidade. Unha montaxe de só lectura cun tempo de espera curto e un paso de recuperación documentado é máis doado de defender que unha montaxe de escritura da que depende todo o demais. Confirme que o túnel sobe antes de que algo intente montar, ou o primeiro arranque tras un corte de luz quedará colgado.

Para un procesamento de ficheiros considerable, ou para calquera cousa que reexporte os datos máis adiante, un host separado adoita dar un límite de propiedade máis claro. O router segue encamiñando, e o fluxo de traballo de ficheiros obtén unha máquina que se pode reiniciar sen levar a rede consigo.

Comprobe a decisión contra a tarefa real

Anote que tarefa necesita os ficheiros e onde se executa esa tarefa. Se a resposta é unha estación de traballo, encamiñe o recurso e detéñase aí. Se a resposta é un servizo no aparello, confirme a capacidade do cliente, o dialecto admitido e a ruta das credenciais antes da primeira montaxe, e despois decida se o aparello é realmente o host correcto.

Verifique a vista montada e o espazo libre desde o propio router, xa que é aí onde a carga de traballo os verá. Repita a comprobación tras unha reconexión, non só tras un arranque limpo.

findmnt -t cifs -o TARGET,SOURCE,OPTIONS
df -h /mnt/reports
ls -l /mnt/reports | head

Unha montaxe que lista ficheiros pero informa dun sistema de ficheiros cheo ou de só lectura xa lle dixo con que fallo se atopará ás 2 da madrugada. Confirme tamén a ruta de recuperación: desmonte limpiamente, baixe o túnel, volva subilo e monte de novo sen reiniciar o aparello. Se esa secuencia necesita un caso de soporte cada vez, o router é o lugar equivocado para o papel de cliente.