Samba на VPN адреса: зошто слушателот исчезнува

Споделбата работи цело утро, тунелот повторно се поврзува напладне, и истата патека UNC сега поминува во истекување на времето додека ping кон серверот сѐ уште одговара. Ништо не се промени во дефиницијата на споделбата и VPN работи. Она што се промени е локалната адреса на која Samba беше поврзан, а која повеќе не постои откако интерфејсот е повторно создаден. Тој начин на откажување е проблем на животниот циклус на слушателот, не проблем со дозволи.

Споделбата работи додека тунелот не се рестартира

Поврзувањето на услуга со адреса го врзува нејзиниот сокет за животот на таа адреса. Кога интерфејсот на тунелот се уништува и повторно се гради, старата адреса исчезнува и сокетот врзан за неа исчезнува со неа. Услугата продолжува да работи, но ништо не слуша таму каде што се насочуваат клиентите.

Ping сѐ уште може да успее ако новата адреса одговара на ICMP, и затоа достапноста изгледа добро додека споделбата е мртва. Токму тој еден измамен успех ги испраќа луѓето кон огнениот ѕид.

Достапноста не е адреса за врзување

Овде се мешаат три одлуки. Рутата одлучува дали пакетот на клиентот ќе пристигне. Сокетот што слуша одлучува дали нешто ќе го прифати на локалната адреса. Конфигурацијата на споделбата и дозволите на датотечниот систем одлучуваат што се случува потоа. Кога интерфејсот се создава повторно, се крши само втората.

Ниту адреса од базенот на VPN не е автоматски локална адреса за врзување. Таа му припаѓа на клиент, не на датотечниот сервер. Ping е лош тест за датотечна услуга.

Држете ги тие сопственици одвоени и во документацијата. Идна промена во базенот на VPN не треба да бара уредување на Samba, а промена на дозволите на споделбата не треба да бара рестартирање на тунелот.

Наместо тоа, врзете се за стабилна адреса

Постабилниот дизајн ја држи Samba на постојана адреса и му дозволува на VPN да ги донесе клиентите таму. Адресата на серверот не се менува кога тунелот трепери, така што слушателот никогаш не мора да следи интерфејс. Тогаш приемот го спроведуваат патеката на VPN и огнениот ѕид на домаќинот, кои се изградени за таа работа.

Ако мора да се врзете за тунелот, разберете го договорот на инсталираното издание. Параметрите interfaces и bind interfaces only не се исто, а документацијата за врзување предупредува за испрекинати интерфејси. Динамичкото ракување со слушателот постои на некои платформи, но тоа е способност што треба да се провери, а не да се претпостави. Прочитајте ја табелата пред и по треперење и споредете ги двата излеза.

ss -ltnp | grep ':445'

Тестирајте го повторното поврзување, не зеленото светло

Проверете го слушателот по повторно поврзување, не само по стартување на услугата. Повторно создадете го тунелот, потоа прочитајте ја табелата за слушање и потврдете дека сокетот постои на адресата кон која се насочуваат клиентите. Зелениот показател на тунелот и успешната проверка на конфигурацијата не докажуваат ниту едно од двете.

smbclient -L //files.corp.example -U alice

Потоа изведете една дозволена операција и една забранета патека од клиент и повторете по второ повторно поврзување. Ако споделбата работи само до првото треперење, врзувањето сѐ уште е поврзано со животот на интерфејсот и дизајнот не е поправен. Променете го врзувањето или адресата на услугата и симптомот престанува да се враќа.