Рутерот како SMB клиент или како препраќач на пакети: што одговара

Препраќањето SMB сообраќај не е истата задача како неговото завршување, а рутерот што прави едното можеби не го совладува другото. Препраќање значи рутерот пренесува пакети чија содржина никогаш не ја анализира. Монтирање значи рутерот станува клиент за датотеки, со софтвер што можеби не го доставува, акредитиви што мора да ги заштити и режими на грешка што сега се негови. Изборот меѓу двете е прашање за тоа каде се потребни датотеките, а не за тоа што може да се наговори платформата за рутирање да инсталира.

Препраќање и завршување се различни работи

Во улогата на препраќање рутерот има една одговорност: да доставува пакети меѓу клиентот и серверот додека ја применува политиката што ја бара патеката. Тој не се автентицира на споделениот ресурс, не кешира податоци за датотеки и не го интересира дали серверот зборува SMB2 или SMB3, бидејќи никогаш не чита толку длабоко во текот. Ако ресурсот стане недостапен, корисникот гледа грешка и рутерот продолжува да рутира.

Во улогата на клиент рутерот се вклучува во разговорот на протоколот. Тој преговара за дијалект, се автентицира, решава имиња, држи точка на монтирање и претставува локален приказ на датотечниот систем на сите нешта што работат над него. Тоа е вистинска услуга со животен циклус, и го претвора порталот во зависност на работниот тек на датотеките. Тој ги наследува и сите режими на грешка на таа зависност, вклучително чекање при подигање и застарени акредитиви.

Споредбата не е само за способност. Платформа што може да монтира споделен ресурс не е автоматски платформа што треба тоа да го прави, а платформа што не може да монтира ниту еден можеби сѐ уште е вистинското место за рутирање на сообраќајот.

Што всушност бара монтирањето CIFS во јадрото

На уред со Linux, клиентот CIFS во јадрото и клиентот во корисничкиот простор се одделни способности, а малите слики често не содржат ниту една. Поддршката на јадрото мора да биде во сликата што работи, помошникот за монтирање мора да постои, а дијалектот SMB договорен со серверот мора да биде оној што го прифаќаат двете страни. Тоа го опишува водичот за клиент CIFS на Linux, односно распоредот на јадрото и неговите опции за монтирање, и тоа е вистинскиот извор пред да претпоставите дека градба на производител го содржи.

Проверете ја способноста пред да проектирате околу неа, и проверете ја верзијата, а не присуството на име на команда. Име на модул во списокот со пакети не е исто што и клиент што работи.

lsmod | grep -w cifs
modinfo cifs | head -5
mount.cifs --version
smbclient -L //fs02.corp.internal -U svc-router -m SMB3

Модул во јадрото што се вчитува и алатка во корисничкиот простор што известува верзија сѐ уште не гарантираат дека монтирањето ќе ја преживее обновата на клучевите на VPN, затоа третирајте ја проверката како почетен услов, а не како доказ. Ако сликата доставува само поддршка за SMB1, тоа е причина да запрете, а не причина да ја вклучите на серверот.

Акредитивите и идентитетот на изворот се разликуваат од оние на преносен компјутер

Препратеното барање го носи идентитетот на преносниот компјутер низ тунелот, додека барањето создадено на рутерот ја носи сопствената изворна адреса на рутерот, патеката на резолверот и филтрирањето на излезот. Тие можат да завршат во друго правило на заштитен ѕид, друг приказ на DNS и друг список на дозволени на страната на серверот. Затоа копија што работи од работна станица не докажува ништо за сопственото монтирање на рутерот. Тестирајте го монтирањето од сопствената обвивка на рутерот, а не од работна станица зад него.

Дајте му на рутерот тесно овластен идентитет на услуга ако улогата воопшто е одобрена. Никогаш не ставајте лозинка директно во командната линија за монтирање, бидејќи таа останува во историјата на обвивката и се појавува во табелата со процеси додека монтирањето работи.

Чувајте ги акредитивите преку заштитениот механизам на платформата и читајте ги од датотека со ограничени дозволи. Таа датотека треба да биде нечитлива за секоја сметка освен за онаа што го извршува монтирањето.

install -m 600 /dev/null /etc/cifs-reports.creds
printf 'username=svc-router\npassword=REPLACE_ME\ndomain=CORP\n' > /etc/cifs-reports.creds
mount -t cifs //fs02.corp.internal/reports /mnt/reports -o credentials=/etc/cifs-reports.creds,vers=3.1.1,ro

Чија е грешката кога споделениот ресурс исчезнува

Недостапниот оддалечен датотечен систем се однесува поинаку од недостапната патека. Монтирањето може да ги блокира процесите што го допираат, може да не успее при подигање пред тунелот да постои, а записот наменет за серверот може да заврши на погрешно место ако под точката на монтирање има локална папка. Тоа се грешки во складирањето што сега ги поседува мрежниот тим, сакал тој или не. Никој не се согласи со тоа сопственост, но таа доаѓа со монтирањето.

Дизајнирајте го редоследот на подигање и опциите за монтирање околу таа реалност. Монтирање само за читање со краток рок и документиран чекор за враќање е полесно да се брани отколку монтирање за пишување од кое зависи сѐ друго. Потврдете дека тунелот се подига пред нешто да се обиде да монтира, инаку првото подигање по прекин на струја ќе заглави.

За значителна обработка на датотеки, или за сите нешта што ги преизвезуваат податоците понатаму, одделен домаќин обично дава појасна граница на сопственост. Рутерот продолжува да рутира, а работниот тек на датотеките добива машина што може да се рестартира без да ја земе мрежата со себе.

Проверете ја одлуката спрема вистинската задача

Запишете која задача ги бара датотеките и каде се извршува таа задача. Ако одговорот е работна станица, рутирајте го споделениот ресурс и застанете таму. Ако одговорот е услуга на уредот, потврдете ја способноста на клиентот, поддржаниот дијалект и патеката на акредитивите пред првото монтирање, потоа одлучете дали уредот е навистина вистинскиот домаќин.

Проверете го монтираниот приказ и слободниот простор од самиот рутер, бидејќи таму работното оптоварување ќе ги види. Повторете ја проверката по повторно поврзување, а не само по чисто подигање.

findmnt -t cifs -o TARGET,SOURCE,OPTIONS
df -h /mnt/reports
ls -l /mnt/reports | head

Монтирање што набројува датотеки но известува за полн или само за читање датотечен систем веќе ви кажа со која грешка ќе се сретнете во 2 часот наутро. Потврдете ја и патеката за враќање: откачете чисто, спуштете го тунелот, вратете го и монтирајте повторно без рестартирање на уредот. Ако таа низа бара случај за поддршка секој пат, рутерот е погрешно место за улогата на клиент.