Penghala sebagai klien SMB atau penyampai paket: mana yang sesuai

Menyampaikan trafik SMB bukan tugas yang sama dengan menamatkannya, dan penghala yang melakukan satu mungkin tidak mengendalikan yang lain. Penyampaian bermaksud penghala memindahkan paket yang kandungannya tidak pernah dianalisisnya. Pemasangan bermaksud penghala menjadi klien fail, dengan perisian yang mungkin tidak dibawanya, kelayakan yang mesti dilindunginya dan mod kegagalan yang kini menjadi miliknya. Memilih antara keduanya ialah persoalan di mana fail diperlukan, bukan apa yang boleh dipujuk untuk dipasang oleh platform penghalaan.

Penyampaian dan penamatan ialah tugas berbeza

Dalam peranan penyampaian penghala mempunyai satu tanggungjawab: menghantar paket antara klien dan pelayan sambil menggunakan dasar yang dikehendaki oleh laluan. Ia tidak mengesahkan dirinya pada perkongsian, tidak menyimpan data fail dalam cache dan tidak peduli sama ada pelayan bertutur SMB2 atau SMB3, kerana ia tidak pernah membaca sejauh itu ke dalam aliran. Jika perkongsian menjadi tidak dapat dicapai, pengguna melihat ralat dan penghala terus menghala.

Dalam peranan klien penghala menyertai perbualan protokol. Ia berunding dialek, mengesahkan dirinya, menyelesaikan nama, memegang titik lekap dan mempersembahkan paparan sistem fail tempatan kepada apa sahaja yang berjalan di atasnya. Itu perkhidmatan sebenar dengan kitaran hayat, dan ia menjadikan get laluan sebagai kebergantungan aliran kerja fail. Ia juga mewarisi setiap mod kegagalan kebergantungan itu, termasuk penantian semasa but dan kelayakan yang luput.

Perbandingan bukan hanya tentang keupayaan. Platform yang boleh melekap perkongsian tidak semestinya platform yang patut melakukannya, dan platform yang tidak boleh melekap satu pun mungkin masih tempat yang betul untuk menghala trafik.

Apa yang sebenarnya diperlukan oleh lekap CIFS kernel

Pada peranti berasaskan Linux, klien CIFS kernel dan klien ruang pengguna ialah keupayaan berasingan, dan imej kecil selalunya tidak mengandungi kedua-duanya. Sokongan kernel mesti ada dalam imej yang berjalan, pembantu lekap mesti wujud, dan dialek SMB yang dirunding dengan pelayan mesti dialek yang diterima kedua-dua pihak. Itu diterangkan panduan klien CIFS Linux, iaitu susunan kernel dan pilihan lekapnya, dan itulah rujukan yang betul sebelum menganggap binaan vendor mengandunginya.

Semak keupayaan itu sebelum mereka bentuk di sekelilingnya, dan semak versi dan bukan kewujudan nama arahan. Nama modul dalam senarai pakej bukan sama dengan klien yang berfungsi.

lsmod | grep -w cifs
modinfo cifs | head -5
mount.cifs --version
smbclient -L //fs02.corp.internal -U svc-router -m SMB3

Modul kernel yang dimuatkan dan alat ruang pengguna yang melaporkan versi masih tidak menjamin lekap akan bertahan daripada pembaharuan kunci VPN, jadi anggap ujian itu syarat permulaan, bukan bukti. Jika imej hanya menyediakan sokongan SMB1, itu sebab untuk berhenti, bukan sebab untuk mengaktifkannya pada pelayan.

Kelayakan dan identiti sumber berbeza daripada komputer riba

Permintaan yang disampaikan membawa identiti komputer riba melalui terowong, manakala permintaan yang dijana pada penghala membawa alamat sumbernya sendiri, laluan penyelesai dan penapisan output. Ia boleh mendarat dalam peraturan tembok api lain, paparan DNS lain dan senarai kebenaran sisi pelayan yang lain. Oleh itu salinan yang berfungsi dari stesen kerja tidak membuktikan apa-apa tentang lekap penghala itu sendiri. Uji lekap dari shell penghala itu sendiri, bukan dari stesen kerja di belakangnya.

Berikan penghala identiti perkhidmatan yang sempit kuasanya jika peranan itu diluluskan sama sekali. Jangan sekali-kali meletakkan kata laluan terus dalam baris arahan lekap, kerana ia kekal dalam sejarah shell dan muncul dalam jadual proses semasa lekap berjalan.

Simpan kelayakan melalui mekanisme terlindung platform dan bacanya dari fail dengan kebenaran yang ketat. Fail itu sepatutnya tidak boleh dibaca oleh mana-mana akaun kecuali yang menjalankan lekap.

install -m 600 /dev/null /etc/cifs-reports.creds
printf 'username=svc-router\npassword=REPLACE_ME\ndomain=CORP\n' > /etc/cifs-reports.creds
mount -t cifs //fs02.corp.internal/reports /mnt/reports -o credentials=/etc/cifs-reports.creds,vers=3.1.1,ro

Siapa yang memiliki kegagalan apabila perkongsian hilang

Sistem fail jauh yang tiada berkelakuan berbeza daripada laluan yang tiada. Lekap boleh menyekat proses yang menyentuhnya, ia boleh gagal semasa but sebelum terowong wujud, dan tulisan yang ditujukan untuk pelayan boleh mendarat di tempat yang salah jika ada direktori tempatan di bawah titik lekap. Itu kegagalan storan yang kini dimiliki pasukan rangkaian, sama ada pasukan itu mahu atau tidak. Tiada siapa bersetuju dengan pemilikan itu, tetapi ia datang bersama lekap.

Reka susunan but dan pilihan lekap di sekeliling realiti itu. Lekap baca-sahaja dengan tamat masa pendek dan langkah pemulihan berdokumen lebih mudah dipertahankan daripada lekap boleh tulis yang menjadi sandaran segala-galanya. Sahkan terowong naik sebelum apa-apa cuba melekap, atau but pertama selepas gangguan bekalan elektrik akan tergantung.

Untuk pemprosesan fail yang besar, atau untuk apa-apa yang mengeksport semula data lebih jauh, hos berasingan biasanya memberi sempadan pemilikan yang lebih jelas. Penghala terus menghala, dan aliran kerja fail mendapat mesin yang boleh dimulakan semula tanpa membawa rangkaian bersamanya.

Semak keputusan itu terhadap tugas sebenar

Tuliskan tugas mana yang memerlukan fail itu dan di mana tugas itu berjalan. Jika jawapannya stesen kerja, halakan perkongsian itu dan berhenti di situ. Jika jawapannya perkhidmatan pada peranti, sahkan keupayaan klien, dialek yang disokong dan laluan kelayakan sebelum lekap pertama, kemudian tentukan sama ada peranti itu benar-benar hos yang betul.

Sahkan paparan yang dilekap dan ruang kosong dari penghala itu sendiri, kerana di situlah beban kerja akan melihatnya. Ulang pemeriksaan selepas sambungan semula, bukan hanya selepas but yang bersih.

findmnt -t cifs -o TARGET,SOURCE,OPTIONS
df -h /mnt/reports
ls -l /mnt/reports | head

Lekap yang menyenaraikan fail tetapi melaporkan sistem fail penuh atau baca-sahaja sudah memberitahu anda kegagalan mana yang akan anda temui pada pukul 2 pagi. Sahkan juga laluan pemulihan: nyahlekap dengan bersih, turunkan terowong, naikkan semula dan lekap semula tanpa memulakan semula peranti. Jika urutan itu memerlukan kes sokongan setiap kali, penghala ialah tempat yang salah untuk peranan klien.