Samba på ei VPN-adresse: kvifor lyttaren forsvinn

Delinga verkar heile formiddagen, tunnelen koplar til på nytt ved lunsjtid, og den same UNC-stien går no ut på tid medan ping til tenaren framleis svarar. Ingenting er endra i definisjonen av delinga, og VPN er oppe. Det som er endra, er den lokale adressa Samba var bunden til, og som ikkje finst lenger etter at grensesnittet er laga på nytt. Den feilmodusen er eit problem i livssyklusen til lyttaren, ikkje eit løyveproblem.

Delinga verkar til tunnelen startar på nytt

Å binda ein teneste til ei adresse knyter sockelen hennar til levetida til den adressa. Når tunnelgrensesnittet blir øydelagt og bygd opp att, forsvinn den gamle adressa, og sockelen som var bunden til ho, forsvinn med henne. Tenesta held fram med å køyre, men ingenting lyttar der klientane blir ruta.

Ping kan framleis lukkast om den nye adressa svarar på ICMP, og difor ser nåbarheita fin ut medan delinga er død. Nettopp den eine villeiande suksessen sender folk til brannmuren.

Nåbarheit er ikkje ei bindingsadresse

Tre avgjerder blir blanda saman her. Ruta avgjer om ein klientpakke kjem fram. Den lyttande sockelen avgjer om noko godtek han på den lokale adressa. Konfigurasjonen av delinga og løyva i filsystemet avgjer kva som skjer etterpå. Berre den andre blir broten når grensesnittet blir laga på nytt.

Ei adresse frå VPN-bassenget er heller ikkje automatisk ei lokal bindingsadresse. Ho høyrer til ein klient, ikkje filtenaren. Ping er ein dårleg test for ei filteneste.

Hald òg desse eigarane skilde i dokumentasjonen. Ei framtidig endring i VPN-bassenget bør ikkje krevja redigering av Samba, og ei endring av delingsløyve bør ikkje krevja omstart av tunnelen.

Bind heller til ei stabil adresse

Det meir stabile designet held Samba på ei fast adresse og lèt VPN føra klientane dit. Tenaradressa blir ikkje endra når ein tunnel blafrar, så lyttaren må aldri følgja eit grensesnitt. Tilgangen blir då handheva av VPN-ruta og vertsbrannmuren, som er bygde nettopp for den oppgåva.

Viss du absolutt må binda til tunnelen, må du forstå kontrakten til den installerte versjonen. Parametrane interfaces og bind interfaces only er ikkje det same, og dokumentasjonen for binding åtvarar mot ustabile grensesnitt. Dynamisk lyttarhandsaming finst på nokre plattformer, men det er ein eigenskap som må stadfestast, ikkje takast for gjeven. Les tabellen før og etter ein blafr og samanlikn dei to utskriftene.

ss -ltnp | grep ':445'

Test attkoplinga, ikkje det grøne lyset

Kontroller lyttaren etter ei attkopling, ikkje berre etter ein tenestestart. Lag tunnelen på nytt, les deretter lyttetabellen og stadfest at sockelen finst på adressa klientane blir ruta til. Ein grøn tunnelindikator og ein bestått konfigurasjonssjekk provar ingen av delane.

smbclient -L //files.corp.example -U alice

Køyr deretter éin tillaten operasjon og ein avvist sti frå ein klient, og gjer det om att etter ei andre attkopling. Viss delinga berre verkar til den første blafren, er bindinga framleis knytt til levetida til grensesnittet, og designet er ikkje retta. Endra bindinga eller tenesteadressa, og symptomet sluttar å koma attende.