როუტერი როგორც SMB კლიენტი თუ პაკეტების გადამცემი: რომელი უფრო შეეფერება

SMB ტრაფიკის გადაცემა არ არის იგივე დავალება, რაც მისი დასრულება, და როუტერი, რომელიც ერთს აკეთებს, შეიძლება მეორეს ვერ უმკლავდებოდეს. გადაცემა ნიშნავს, რომ როუტერი გადაადგილებს პაკეტებს, რომელთა შიგთავსს არასოდეს აანალიზებს. მიბმა ნიშნავს, რომ როუტერი ხდება ფაილური კლიენტი, პროგრამული უზრუნველყოფით, რომელიც შეიძლება არ მოიტანოს, სერტიფიკატებით, რომლებიც უნდა დაიცვას და წარუმატებლობის რეჟიმებით, რომლებიც ახლა მისია. ორ მათგანს შორის არჩევა კითხვაა იმაზე, სად არის საჭირო ფაილები, და არა იმაზე, თუ რისი ინსტალაცია შეიძლება მოვთხოვოთ მარშრუტიზაციის პლატფორმას.

გადაცემა და დასრულება სხვადასხვა სამუშაოა

გადაცემის როლში როუტერს ერთი პასუხისმგებლობა აქვს: პაკეტები კლიენტსა და სერვერს შორის მიაწოდოს და გზის მოთხოვნილი პოლიტიკა გამოიყენოს. ის არ ავტორიზდება საზიარო რესურსზე, არ ინახავს ფაილის მონაცემებს ქეშში და არ აინტერესებს, სერვერი SMB2-ს ლაპარაკობს თუ SMB3-ს, რადგან ნაკადში არასოდეს კითხულობს ასე ღრმად. თუ რესურსი მიუწვდომელი გახდება, მომხმარებელი ხედავს შეცდომას და როუტერი განაგრძობს მარშრუტიზაციას.

კლიენტის როლში როუტერი პროტოკოლის საუბარს უერთდება. ის დიალექტზე მოლაპარაკებას აწარმოებს, ავტორიზდება, სახელებს ხსნის, მიბმის წერტილს ინახავს და ლოკალური ფაილური სისტემის ხედს წარუდგენს ყველაფერს, რაც მის ზემოთ მუშაობს. ეს სიცოცხლის ციკლის მქონე ნამდვილი სერვისია და კარიბჭეს ფაილური სამუშაო ნაკადის დამოკიდებულებად აქცევს. ის ასევე მემკვიდრეობით იღებს ამ დამოკიდებულების ყველა წარუმატებლობის რეჟიმს, მათ შორის გაშვებისას ლოდინს და მოძველებულ სერტიფიკატებს.

შედარება მხოლოდ შესაძლებლობაზე არ არის. პლატფორმა, რომელსაც საზიარო რესურსის მიბმა შეუძლია, ავტომატურად არ არის ის პლატფორმა, რომელსაც ეს უნდა გააკეთოს, და პლატფორმა, რომელსაც ერთის მიბმაც არ შეუძლია, შეიძლება მაინც იყოს სწორი ადგილი ტრაფიკის მარშრუტიზაციისთვის.

რა სჭირდება სინამდვილეში ბირთვის CIFS მიბმას

Linux-ზე დაფუძნებულ მოწყობილობაზე ბირთვის CIFS კლიენტი და მომხმარებლის სივრცის კლიენტი ცალკეული შესაძლებლობებია და პატარა იმიჯები ხშირად არც ერთს არ შეიცავს. ბირთვის მხარდაჭერა უნდა იყოს მოქმედ იმიჯში, მიბმის დამხმარე უნდა არსებობდეს, და სერვერთან შეთანხმებული SMB დიალექტი უნდა იყოს ის, რომელსაც ორივე მხარე იღებს. ამას აღწერს Linux-ის CIFS კლიენტის სახელმძღვანელო, ბირთვის აგებულება და მისი მიბმის პარამეტრები, და ეს არის სწორი ცნობარი, სანამ ჩათვლით, რომ მომწოდებლის აწყობა მას შეიცავს.

შეამოწმეთ შესაძლებლობა, სანამ მის ირგვლივ დაგეგმავთ, და შეამოწმეთ ვერსია და არა ბრძანების სახელის არსებობა. მოდულის სახელი პაკეტების სიაში არ არის იგივე, რაც მოქმედი კლიენტი.

lsmod | grep -w cifs
modinfo cifs | head -5
mount.cifs --version
smbclient -L //fs02.corp.internal -U svc-router -m SMB3

ჩატვირთული ბირთვის მოდული და ვერსიის მაუწყებელი მომხმარებლის სივრცის ხელსაწყო ჯერ არ იძლევა გარანტიას, რომ მიბმა VPN გასაღებების განახლებას გადაურჩება, ამიტომ ტესტს საწყის პირობად მოეპყარით და არა მტკიცებულებად. თუ იმიჯი მხოლოდ SMB1 მხარდაჭერას გვთავაზობს, ეს გაჩერების მიზეზია და არა სერვერზე მისი ჩართვის მიზეზი.

სერტიფიკატები და წყაროს იდენტობა ლეპტოპისაგან განსხვავდება

გადაცემული მოთხოვნა ლეპტოპის იდენტობას გვირაბში გადააქვს, ხოლო როუტერზე შექმნილი მოთხოვნა ატარებს როუტერის საკუთარ წყაროს მისამართს, ამომხსნელის გზას და გამოსავლის ფილტრაციას. ესენი შეიძლება მოხვდეს სხვა ქსელური კედლის წესში, DNS-ის სხვა ხედში და სერვერის მხარეს სხვა დაშვებულთა სიაში. ამიტომ სამუშაო სადგურიდან მომუშავე ასლი როუტერის საკუთარი მიბმის შესახებ არაფერს ამტკიცებს. გამოსცადეთ მიბმა თავად როუტერის გარსიდან და არა მის უკან მდგარი სამუშაო სადგურიდან.

მიეცით როუტერს ვიწროდ უფლებამოსილი სერვისის იდენტობა, თუ როლი საერთოდ დამტკიცებულია. არასოდეს ჩადოთ პაროლი უშუალოდ მიბმის ბრძანების სტრიქონში, რადგან ის გარსის ისტორიაში რჩება და პროცესების ცხრილში ჩანს, სანამ მიბმა მუშაობს.

შეინახეთ სერტიფიკატი პლატფორმის დაცული მექანიზმით და წაიკითხეთ შეზღუდული უფლებების მქონე ფაილიდან. ეს ფაილი უნდა იყოს წაუკითხავი ყველა ანგარიშისთვის, გარდა იმისა, რომელიც მიბმას ასრულებს.

install -m 600 /dev/null /etc/cifs-reports.creds
printf 'username=svc-router\npassword=REPLACE_ME\ndomain=CORP\n' > /etc/cifs-reports.creds
mount -t cifs //fs02.corp.internal/reports /mnt/reports -o credentials=/etc/cifs-reports.creds,vers=3.1.1,ro

ვისია წარუმატებლობა, როცა რესურსი ქრება

დაკარგული დისტანციური ფაილური სისტემა სხვაგვარად იქცევა, ვიდრე დაკარგული მარშრუტი. მიბმამ შეიძლება შეაჩეროს მასზე შემხები პროცესები, შეიძლება ჩავარდეს გაშვებისას, სანამ გვირაბი არსებობს, და სერვერისთვის განკუთვნილი ჩანაწერი შეიძლება არასწორ ადგილას მოხვდეს, თუ მიბმის წერტილის ქვეშ ლოკალური დირექტორიაა. ეს საცავის წარუმატებლობებია, რომლებიც ახლა ქსელის გუნდს ეკუთვნის, უნდოდა მას ისინი თუ არა. არავინ დათანხმდა ამ საკუთრებას, მაგრამ ის მიბმასთან ერთად მოდის.

დააპროექტეთ გაშვების რიგი და მიბმის პარამეტრები ამ რეალობის გარშემო. მოკლე ვადით და დოკუმენტირებული აღდგენის ნაბიჯით მხოლოდ-წაკითხვადი მიბმის დაცვა უფრო ადვილია, ვიდრე ჩასაწერი მიბმისა, რომელზეც დანარჩენი ყველაფერია დამოკიდებული. დაადასტურეთ, რომ გვირაბი ადის, სანამ რაიმე მიბმას სცდის, თორემ დენის გათიშვის შემდეგ პირველი გაშვება ჩამოკიდდება.

ფაილების მნიშვნელოვანი დამუშავებისთვის, ან ყველაფრისთვის, რაც მონაცემებს წინ გადააქვს, ცალკე ჰოსტი ჩვეულებრივ უფრო მკაფიო საკუთრების საზღვარს იძლევა. როუტერი აგრძელებს მარშრუტიზაციას და ფაილური სამუშაო ნაკადი იღებს მანქანას, რომლის გადატვირთვაც ქსელის თან წაღების გარეშე შეიძლება.

შეამოწმეთ გადაწყვეტილება ფაქტობრივ დავალებაზე

ჩაწერეთ, რომელ დავალებას სჭირდება ფაილები და სად მუშაობს ის დავალება. თუ პასუხი სამუშაო სადგურია, დაამარშრუტეთ რესურსი და იქ გაჩერდით. თუ პასუხი მოწყობილობაზე მოქმედი სერვისია, პირველ მიბმამდე დაადასტურეთ კლიენტის შესაძლებლობა, მხარდაჭერილი დიალექტი და სერტიფიკატების გზა, შემდეგ კი გადაწყვიტეთ, ნამდვილად სწორი ჰოსტია თუ არა მოწყობილობა.

შეამოწმეთ მიბმული ხედი და თავისუფალი სივრცე თავად როუტერიდან, რადგან სწორედ იქ დაინახავს მათ სამუშაო დატვირთვა. გაიმეორეთ შემოწმება ხელახალი დაკავშირების შემდეგ და არა მხოლოდ სუფთა გაშვების შემდეგ.

findmnt -t cifs -o TARGET,SOURCE,OPTIONS
df -h /mnt/reports
ls -l /mnt/reports | head

მიბმა, რომელიც ფაილებს ჩამოთვლის, მაგრამ სავსე ან მხოლოდ-წაკითხვად ფაილურ სისტემას იუწყება, უკვე გითხრათ, რომელ წარუმატებლობას შეხვდებით ღამის 2 საათზე. დაადასტურეთ აღდგენის გზაც: სუფთად მოხსენით, ჩამოუშვით გვირაბი, ისევ ასწიეთ და ხელახლა მიამაგრეთ მოწყობილობის გადატვირთვის გარეშე. თუ ეს თანმიმდევრობა ყოველ ჯერზე მხარდაჭერის საქმეს მოითხოვს, როუტერი კლიენტის როლისთვის არასწორი ადგილია.