Samba pada alamat VPN: mengapa pendengar hilang

Kongsi berfungsi sepanjang pagi, terowong bersambung semula pada tengah hari, dan laluan UNC yang sama kini tamat masa manakala ping ke pelayan masih menjawab. Tiada apa yang berubah dalam takrif kongsi dan VPN aktif. Yang berubah ialah alamat tempatan yang Samba terikat padanya, dan ia tidak lagi wujud selepas antara muka dicipta semula. Mod kegagalan itu ialah masalah kitaran hayat pendengar, bukan masalah kebenaran.

Kongsi berfungsi sehingga terowong dimulakan semula

Mengikat perkhidmatan pada alamat mengikat soketnya pada hayat alamat itu. Apabila antara muka terowong dimusnahkan dan dibina semula, alamat lama hilang dan soket yang terikat padanya turut hilang. Perkhidmatan terus berjalan, tetapi tiada apa yang mendengar di tempat klien dihalakan.

Ping masih boleh berjaya jika alamat baharu menjawab ICMP, dan sebab itulah ketersampaian kelihatan baik manakala kongsi sudah mati. Kejayaan tunggal yang mengelirukan itulah yang menghantar orang ke firewall.

Ketersampaian bukan alamat ikatan

Tiga keputusan bercampur di sini. Laluan menentukan sama ada paket klien tiba. Soket yang mendengar menentukan sama ada sesuatu menerimanya pada alamat tempatan. Konfigurasi kongsi dan kebenaran sistem fail menentukan apa yang berlaku selepas itu. Hanya yang kedua rosak apabila antara muka dicipta semula.

Alamat daripada kumpulan VPN juga tidak menjadi alamat ikatan tempatan secara automatik. Ia milik klien, bukan pelayan fail. Ping ialah ujian yang lemah untuk perkhidmatan fail.

Asingkan pemilik itu juga dalam dokumentasi. Perubahan masa depan pada kumpulan VPN tidak sepatutnya memerlukan penyuntingan Samba, dan perubahan kebenaran kongsi tidak sepatutnya memerlukan terowong dimulakan semula.

Ikat pada alamat yang stabil sebaliknya

Reka bentuk yang lebih stabil mengekalkan Samba pada alamat kekal dan membiarkan VPN membawa klien ke sana. Alamat pelayan tidak berubah apabila terowong berkelip, jadi pendengar tidak perlu mengikut antara muka. Kemasukan kemudian dikuatkuasakan oleh laluan VPN dan firewall hos, yang dibina untuk tugas itu.

Jika anda mesti mengikat pada terowong, fahami kontrak keluaran yang dipasang. Parameter interfaces dan bind interfaces only bukan perkara yang sama, dan dokumentasi ikatan memberi amaran tentang antara muka yang terputus-putus. Pengendalian pendengar dinamik wujud pada sesetengah platform, tetapi ia keupayaan yang perlu disahkan, bukan diandaikan. Baca jadual sebelum dan selepas kelipan dan bandingkan kedua-dua keluaran.

ss -ltnp | grep ':445'

Uji sambungan semula, bukan lampu hijau

Sahkan pendengar selepas sambungan semula, bukan hanya selepas perkhidmatan dimulakan. Cipta semula terowong, kemudian baca jadual pendengaran dan pastikan soket wujud pada alamat tempat klien dihalakan. Penunjuk terowong hijau dan pemeriksaan konfigurasi yang lulus tidak membuktikan kedua-duanya.

smbclient -L //files.corp.example -U alice

Kemudian jalankan satu operasi yang dibenarkan dan satu laluan yang ditolak daripada klien, dan ulangi selepas sambungan semula kedua. Jika kongsi hanya berfungsi sehingga kelipan pertama, ikatan masih terikat pada hayat antara muka dan reka bentuk belum diperbaiki. Tukar ikatan atau alamat perkhidmatan, dan gejala berhenti berulang.