Ruteren som SMB-klient eller pakkevideresender: hva passer

Å videresende SMB-trafikk er ikke samme oppgave som å avslutte den, og en ruter som gjør det ene, mestrer kanskje ikke det andre. Videresending betyr at ruteren flytter pakker hvis innhold den aldri analyserer. Montering betyr at ruteren blir en filklient, med programvare den kanskje ikke leverer, påloggingsinformasjon den må beskytte og feilmoduser den nå eier. Valget mellom de to handler om hvor filene trengs, ikke om hva ruterplattformen kan overtales til å installere.

Videresending og avslutning er forskjellige oppgaver

I videresenderrollen har ruteren ett ansvar: å levere pakker mellom klienten og serveren mens den anvender den policyen banen krever. Den autentiserer seg ikke mot delingen, bufrer ikke fildata og bryr seg ikke om serveren snakker SMB2 eller SMB3, fordi den aldri leser så langt inn i strømmen. Hvis delingen blir utilgjengelig, ser brukeren en feil, og ruteren fortsetter å rute.

I klientrollen deltar ruteren i protokollsamtalen. Den forhandler om en dialekt, autentiserer seg, slår opp navn, holder et monteringspunkt og presenterer en lokal filsystemvisning for alt som kjører over den. Dette er en ekte tjeneste med livssyklus, og den gjør gatewayen til en avhengighet i filarbeidsflyten. Den arver også alle feilmodusene til den avhengigheten, inkludert venting ved oppstart og utdatert påloggingsinformasjon.

Sammenligningen handler ikke bare om evne. En plattform som kan montere en deling er ikke automatisk en plattform som bør gjøre det, og en plattform som ikke kan montere noen, kan fortsatt være riktig sted å rute trafikken.

Hva en CIFS-montering i kjernen faktisk krever

På en Linux-basert enhet er CIFS-klienten i kjernen og en klient i brukerområdet separate evner, og små avbildninger inneholder ofte ingen av dem. Kjernestøtte må finnes i avbildningen som kjører, monteringshjelperen må eksistere, og SMB-dialekten som forhandles med serveren, må være en begge parter godtar. Det beskriver veiledningen for Linux CIFS-klienten, som forklarer kjerneoppsettet og monteringsvalgene, og det er den riktige referansen før du antar at en leverandørbygging inneholder den.

Kontroller evnen før du designer rundt den, og kontroller versjonen framfor at et kommandonavn finnes. Et modulnavn i en pakkeliste er ikke det samme som en fungerende klient.

lsmod | grep -w cifs
modinfo cifs | head -5
mount.cifs --version
smbclient -L //fs02.corp.internal -U svc-router -m SMB3

En kjernemodul som lastes, og et brukerområdeverktøy som rapporterer en versjon, garanterer fortsatt ikke at en montering overlever en VPN-nøkkelutskifting, så behandle testen som en startbetingelse, ikke som bevis. Hvis avbildningen bare leverer SMB1-støtte, er det grunn til å stoppe, ikke grunn til å aktivere det på serveren.

Påloggingsinformasjon og kildeidentitet er annerledes enn på en bærbar

En videresendt forespørsel bærer den bærbares identitet gjennom tunnelen, mens en forespørsel som oppstår på ruteren, bærer ruterens egen kildeadresse, resolverbanen og utgangsfiltreringen. De kan havne i en annen brannmurregel, en annen DNS-visning og en annen tillatelsesliste på serversiden. En kopi som virker fra en arbeidsstasjon, beviser derfor ingenting om ruterens egen montering. Test monteringen fra ruterens eget skall, ikke fra en arbeidsstasjon bak den.

Gi ruteren en smalt autorisert tjenesteidentitet hvis rollen i det hele tatt godkjennes. Legg aldri et passord direkte i monteringskommandolinjen, siden det blir liggende i skallhistorikken og vises i prosesstabellen mens monteringen kjører.

Lagre påloggingsinformasjonen gjennom plattformens beskyttede mekanisme, og les den fra en fil med strenge rettigheter. Den filen bør være uleselig for alle kontoer unntatt den som kjører monteringen.

install -m 600 /dev/null /etc/cifs-reports.creds
printf 'username=svc-router\npassword=REPLACE_ME\ndomain=CORP\n' > /etc/cifs-reports.creds
mount -t cifs //fs02.corp.internal/reports /mnt/reports -o credentials=/etc/cifs-reports.creds,vers=3.1.1,ro

Hvem eier feilen når delingen forsvinner

Et manglende eksternt filsystem oppfører seg annerledes enn en manglende rute. En montering kan blokkere prosesser som berører den, den kan feile ved oppstart før tunnelen finnes, og en skriving ment for serveren kan havne på feil sted hvis en lokal mappe ligger under monteringspunktet. Det er lagringsfeil som netteamet nå eier, enten teamet ønsket dem eller ikke. Ingen samtykket i det eierskapet, men det følger med monteringen.

Design oppstartsrekkefølgen og monteringsvalgene rundt den virkeligheten. En skrivebeskyttet montering med kort tidsavbrudd og et dokumentert gjenopprettingstrinn er lettere å forsvare enn en skrivbar montering som alt annet avhenger av. Bekreft at tunnelen kommer opp før noe prøver å montere, ellers henger den første oppstarten etter et strømbrudd.

For omfattende filbehandling, eller for noe som reeksporterer dataene videre, gir en egen vert vanligvis en klarere eierskapsgrense. Ruteren fortsetter å rute, og filarbeidsflyten får en maskin som kan startes på nytt uten å ta med nettet.

Kontroller beslutningen mot den faktiske oppgaven

Skriv ned hvilken oppgave som trenger filene, og hvor den oppgaven kjører. Hvis svaret er en arbeidsstasjon, rut delingen og stopp der. Hvis svaret er en tjeneste på enheten, bekreft klientevnen, den støttede dialekten og banen for påloggingsinformasjon før den første monteringen, og avgjør deretter om enheten virkelig er riktig vert.

Kontroller den monterte visningen og ledig plass fra ruteren selv, siden det er der arbeidsbelastningen vil se dem. Gjenta kontrollen etter en gjentilkobling, ikke bare etter en ren oppstart.

findmnt -t cifs -o TARGET,SOURCE,OPTIONS
df -h /mnt/reports
ls -l /mnt/reports | head

En montering som lister filer, men rapporterer et fullt eller skrivebeskyttet filsystem, har allerede fortalt deg hvilken feil du møter klokka 2 om natten. Bekreft også gjenopprettingsbanen: avmonter rent, ta tunnelen ned, få den opp igjen og monter på nytt uten å starte enheten på nytt. Hvis den sekvensen krever en støttesak hver gang, er ruteren feil sted for klientrollen.