O router como cliente SMB ou como encaminhador de pacotes: qual se adequa

Encaminhar tráfego SMB não é a mesma tarefa que terminá-lo, e um router que faz uma pode não dar conta da outra. Encaminhar significa que o router move pacotes cujo conteúdo nunca analisa. Montar significa que o router passa a ser cliente de ficheiros, com software que pode não trazer, credenciais que tem de proteger e modos de falha que agora são seus. Escolher entre os dois é uma questão de onde os ficheiros são necessários, não de a que se consegue convencer a plataforma de encaminhamento a instalar.

Encaminhar e terminar são tarefas diferentes

No papel de encaminhamento o router tem uma responsabilidade: entregar pacotes entre o cliente e o servidor aplicando a política que o caminho exigir. Não autentica na partilha, não guarda dados de ficheiros em cache e não se importa se o servidor fala SMB2 ou SMB3, porque nunca lê tão fundo no fluxo. Se a partilha ficar inacessível, o utilizador vê um erro e o router continua a encaminhar.

No papel de cliente o router junta-se à conversa do protocolo. Negocia um dialeto, autentica-se, resolve nomes, mantém um ponto de montagem e apresenta uma vista local do sistema de ficheiros a tudo o que corre por cima. É um serviço real com ciclo de vida, e transforma a gateway numa dependência do fluxo de trabalho de ficheiros. Também herda todos os modos de falha dessa dependência, incluindo esperas no arranque e credenciais expiradas.

A comparação não é só sobre capacidade. Uma plataforma que consegue montar uma partilha não é automaticamente uma plataforma que o devia fazer, e uma plataforma que não consegue montar nenhuma pode continuar a ser o lugar certo para encaminhar o tráfego.

Do que uma montagem CIFS do núcleo realmente precisa

Num equipamento baseado em Linux, o cliente CIFS do núcleo e um cliente em espaço de utilizador são capacidades separadas, e as imagens pequenas muitas vezes não incluem nenhuma. O suporte do núcleo tem de estar na imagem em execução, o auxiliar de montagem tem de existir, e o dialeto SMB negociado com o servidor tem de ser um que ambas as partes aceitem. Descreve-o o guia do cliente CIFS de Linux, que explica a organização do núcleo e as suas opções de montagem, e é a referência certa antes de assumir que uma compilação de fabricante a inclui.

Verifique a capacidade antes de desenhar em torno dela, e verifique a versão em vez da presença de um nome de comando. Um nome de módulo numa lista de pacotes não é o mesmo que um cliente a funcionar.

lsmod | grep -w cifs
modinfo cifs | head -5
mount.cifs --version
smbclient -L //fs02.corp.internal -U svc-router -m SMB3

Um módulo do núcleo que carrega e uma ferramenta em espaço de utilizador que reporta uma versão ainda não garantem que uma montagem sobreviva a uma renovação de chaves de VPN, por isso trate o teste como condição inicial e não como prova. Se a imagem só fornece suporte SMB1, isso é motivo para parar, não motivo para o ativar no servidor.

As credenciais e a identidade de origem diferem das de um portátil

Um pedido encaminhado leva a identidade do portátil pelo túnel, enquanto um pedido gerado no router leva o seu próprio endereço de origem, o caminho do resolvedor e a filtragem de saída. Podem cair numa regra de firewall diferente, numa vista de DNS diferente e numa lista de autorizados diferente do lado do servidor. Por isso, uma cópia que funciona a partir de uma estação de trabalho não prova nada sobre a montagem do próprio router. Teste a montagem a partir da própria shell do router, não de uma estação de trabalho atrás dele.

Dê ao router uma identidade de serviço com autorização estreita se o papel for sequer aprovado. Nunca coloque uma palavra-passe diretamente na linha de comando de montagem, porque fica no histórico da shell e aparece na tabela de processos enquanto a montagem corre.

Guarde a credencial através do mecanismo protegido da plataforma e leia-a de um ficheiro com permissões restritas. Esse ficheiro deve ser ilegível para todas as contas exceto a que executa a montagem.

install -m 600 /dev/null /etc/cifs-reports.creds
printf 'username=svc-router\npassword=REPLACE_ME\ndomain=CORP\n' > /etc/cifs-reports.creds
mount -t cifs //fs02.corp.internal/reports /mnt/reports -o credentials=/etc/cifs-reports.creds,vers=3.1.1,ro

Quem é dono da falha quando a partilha desaparece

Um sistema de ficheiros remoto ausente comporta-se de forma diferente de uma rota ausente. Uma montagem pode bloquear processos que a tocam, pode falhar no arranque antes de o túnel existir, e uma escrita destinada ao servidor pode acabar no lugar errado se houver um diretório local sob o ponto de montagem. São falhas de armazenamento que agora pertencem à equipa de rede, quer ela as quisesse ou não. Ninguém concordou com essa propriedade, mas ela chega com a montagem.

Desenhe a ordem de arranque e as opções de montagem em torno dessa realidade. Uma montagem só de leitura com um tempo limite curto e um passo de recuperação documentado é mais fácil de defender do que uma montagem de escrita de que tudo o resto depende. Confirme que o túnel sobe antes de algo tentar montar, ou o primeiro arranque após um corte de energia fica pendurado.

Para processamento de ficheiros substancial, ou para algo que reexporte os dados mais adiante, um anfitrião separado costuma dar um limite de propriedade mais claro. O router continua a encaminhar, e o fluxo de trabalho de ficheiros ganha uma máquina que pode ser reiniciada sem levar a rede consigo.

Verifique a decisão contra a tarefa real

Anote que tarefa precisa dos ficheiros e onde essa tarefa corre. Se a resposta for uma estação de trabalho, encaminhe a partilha e pare aí. Se a resposta for um serviço no equipamento, confirme a capacidade do cliente, o dialeto suportado e o caminho das credenciais antes da primeira montagem, e depois decida se o equipamento é realmente o anfitrião certo.

Verifique a vista montada e o espaço livre a partir do próprio router, porque é aí que a carga de trabalho os verá. Repita a verificação depois de uma reconexão, não apenas depois de um arranque limpo.

findmnt -t cifs -o TARGET,SOURCE,OPTIONS
df -h /mnt/reports
ls -l /mnt/reports | head

Uma montagem que lista ficheiros mas reporta um sistema de ficheiros cheio ou só de leitura já lhe disse com que falha se vai deparar às 2 da manhã. Confirme também o caminho de recuperação: desmonte de forma limpa, baixe o túnel, volte a subi-lo e monte outra vez sem reiniciar o equipamento. Se essa sequência exigir um caso de suporte de cada vez, o router é o lugar errado para o papel de cliente.