Samba på en VPN-adresse: hvorfor lytteren forsvinner

Delingen virker hele formiddagen, tunnelen kobler til på nytt ved lunsj, og den samme UNC-stien utløper nå mens ping til serveren fortsatt svarer. Ingenting er endret i delingens definisjon, og VPN er oppe. Det som er endret, er den lokale adressen Samba var bundet til, og som ikke finnes lenger etter at grensesnittet er gjenskapt. Den feilmodusen er et problem i lytterens livssyklus, ikke et tillatelsesproblem.

Delingen virker til tunnelen starter på nytt

Å binde en tjeneste til en adresse knytter sockelen dens til levetiden til den adressen. Når tunnelgrensesnittet ødelegges og bygges opp igjen, forsvinner den gamle adressen, og sockelen som var bundet til den, forsvinner med den. Tjenesten fortsetter å kjøre, men ingenting lytter der klientene blir rutet.

Ping kan fortsatt lykkes hvis den nye adressen svarer på ICMP, og derfor ser nåbarheten fin ut mens delingen er død. Nettopp den ene villedende suksessen sender folk til brannmuren.

Nåbarhet er ikke en bindingsadresse

Tre beslutninger blandes sammen her. Ruten avgjør om en klientpakke kommer fram. Den lyttende sockelen avgjør om noe godtar den på den lokale adressen. Delingens konfigurasjon og filsystemets tillatelser avgjør hva som skjer etterpå. Bare den andre brytes når grensesnittet gjenskapes.

En adresse fra VPN-poolen er heller ikke automatisk en lokal bindingsadresse. Den tilhører en klient, ikke filserveren. Ping er en dårlig test for en filtjeneste.

Hold også disse eierne atskilt i dokumentasjonen. En framtidig endring i VPN-poolen bør ikke kreve redigering av Samba, og en endring av delingstillatelser bør ikke kreve omstart av tunnelen.

Bind i stedet til en stabil adresse

Det mer stabile designet holder Samba på en fast adresse og lar VPN føre klientene dit. Serveradressen endres ikke når en tunnel blafrer, så lytteren må aldri følge et grensesnitt. Adgangen håndheves da av VPN-ruten og vertsbrannmuren, som er bygget for nettopp det.

Hvis du absolutt må binde til tunnelen, må du forstå kontrakten til den installerte versjonen. Parametrene interfaces og bind interfaces only er ikke det samme, og dokumentasjonen for binding advarer mot ustabile grensesnitt. Dynamisk lytterhåndtering finnes på noen plattformer, men det er en egenskap som må verifiseres, ikke antas. Les tabellen før og etter en blafring, og sammenlign de to utskriftene.

ss -ltnp | grep ':445'

Test gjenoppkoblingen, ikke det grønne lyset

Kontroller lytteren etter en gjenoppkobling, ikke bare etter en tjenestestart. Gjenskap tunnelen, les deretter lyttetabellen og bekreft at sockelen finnes på adressen klientene rutes til. En grønn tunnelindikator og en bestått konfigurasjonssjekk beviser ingen av delene.

smbclient -L //files.corp.example -U alice

Kjør deretter én tillatt operasjon og én avvist sti fra en klient, og gjenta etter en andre gjenoppkobling. Hvis delingen bare virker til den første blafringen, er bindingen fortsatt knyttet til grensesnittets levetid, og designet er ikke rettet. Endre bindingen eller tjenesteadressen, og symptomet slutter å komme tilbake.