Samba di alamat VPN: mengapa pendengar menghilang

Berbagi berfungsi sepanjang pagi, terowongan tersambung ulang saat makan siang, dan jalur UNC yang sama sekarang kehabisan waktu sementara ping ke server masih menjawab. Tidak ada yang berubah pada definisi berbagi dan VPN menyala. Yang berubah adalah alamat lokal tempat Samba terikat, yang tidak ada lagi setelah antarmuka dibuat ulang. Mode kegagalan itu adalah masalah siklus hidup pendengar, bukan masalah izin.

Berbagi berfungsi sampai terowongan tersambung ulang

Mengikat layanan ke sebuah alamat mengikat soketnya ke masa hidup alamat itu. Ketika antarmuka terowongan dihancurkan dan dibangun ulang, alamat lama hilang dan soket yang terikat padanya ikut hilang. Layanan tetap berjalan, tetapi tidak ada yang mendengarkan di tempat klien diarahkan.

Ping masih bisa berhasil jika alamat baru menjawab ICMP, dan karena itulah keterjangkauan terlihat baik sementara berbagi sudah mati. Satu keberhasilan yang menyesatkan itulah yang mengirim orang ke firewall.

Keterjangkauan bukan alamat pengikatan

Tiga keputusan tercampur di sini. Rute menentukan apakah paket klien tiba. Soket yang mendengarkan menentukan apakah ada yang menerimanya di alamat lokal. Konfigurasi berbagi dan izin sistem berkas menentukan apa yang terjadi setelahnya. Hanya yang kedua yang rusak saat antarmuka dibuat ulang.

Alamat dari kumpulan VPN juga tidak otomatis menjadi alamat pengikatan lokal. Itu milik klien, bukan server berkas. Ping adalah uji yang buruk untuk layanan berkas.

Pisahkan pemilik itu juga dalam dokumentasi. Perubahan di masa depan pada kumpulan VPN seharusnya tidak menuntut penyuntingan Samba, dan perubahan izin berbagi seharusnya tidak menuntut mulai ulang terowongan.

Ikat ke alamat yang stabil saja

Desain yang lebih stabil menahan Samba pada alamat permanen dan membiarkan VPN mengantar klien ke sana. Alamat server tidak berubah saat terowongan berkedip, jadi pendengar tidak pernah harus mengikuti antarmuka. Penerimaan kemudian ditegakkan oleh jalur VPN dan firewall host, yang memang dibuat untuk tugas itu.

Jika Anda harus mengikat ke terowongan, pahami kontrak rilis yang terpasang. Parameter interfaces dan bind interfaces only bukan hal yang sama, dan dokumentasi pengikatan memperingatkan tentang antarmuka yang terputus-putus. Penanganan pendengar dinamis ada di sebagian platform, tetapi itu kemampuan yang harus diverifikasi, bukan diasumsikan. Baca tabel sebelum dan sesudah kedipan lalu bandingkan kedua keluarannya.

ss -ltnp | grep ':445'

Uji penyambungan ulang, bukan lampu hijau

Verifikasi pendengar setelah penyambungan ulang, bukan hanya setelah layanan dimulai. Buat ulang terowongan, lalu baca tabel pendengaran dan pastikan soket ada di alamat tempat klien diarahkan. Indikator terowongan hijau dan pemeriksaan konfigurasi yang lulus tidak membuktikan keduanya.

smbclient -L //files.corp.example -U alice

Lalu jalankan satu operasi yang diizinkan dan satu jalur yang ditolak dari klien, dan ulangi setelah penyambungan ulang kedua. Jika berbagi hanya berfungsi sampai kedipan pertama, pengikatan masih terikat pada masa hidup antarmuka dan desainnya belum diperbaiki. Ubah pengikatan atau alamat layanan, dan gejalanya berhenti kembali.