Samba num endereço VPN: porque o ouvinte desaparece

A partilha funciona toda a manhã, o túnel volta a ligar-se ao meio-dia, e o mesmo caminho UNC agora expira enquanto o ping ao servidor ainda responde. Nada mudou na definição da partilha e a VPN está ativa. O que mudou é o endereço local a que o Samba estava ligado, que já não existe depois de a interface ser recriada. Esse modo de falha é um problema do ciclo de vida do ouvinte, não um problema de permissões.

A partilha funciona até o túnel reiniciar

Ligar um serviço a um endereço prende o seu socket à vida desse endereço. Quando a interface do túnel é destruída e reconstruída, o endereço antigo desaparece e o socket ligado a ele desaparece com ele. O serviço continua a executar, mas nada escuta onde os clientes estão a ser encaminhados.

O ping pode ainda ter sucesso se o novo endereço responder a ICMP, e é por isso que a acessibilidade parece boa enquanto a partilha está morta. É esse único sucesso enganador que envia as pessoas para a firewall.

A acessibilidade não é um endereço de ligação

Aqui misturam-se três decisões. A rota decide se um pacote do cliente chega. O socket à escuta decide se algo o aceita no endereço local. A configuração da partilha e as permissões do sistema de ficheiros decidem o que acontece depois. Só a segunda se quebra quando a interface é recriada.

Um endereço do conjunto VPN também não é automaticamente um endereço de ligação local. Pertence a um cliente, não ao servidor de ficheiros. O ping é um mau teste para um serviço de ficheiros.

Mantenha esses proprietários separados também na documentação. Uma alteração futura no conjunto VPN não deveria exigir editar o Samba, e uma alteração de permissões da partilha não deveria exigir reiniciar o túnel.

Ligue antes a um endereço estável

O desenho mais estável mantém o Samba num endereço permanente e deixa a VPN levar os clientes até ele. O endereço do servidor não muda quando o túnel oscila, por isso o ouvinte nunca tem de seguir uma interface. A admissão é então imposta pelo caminho VPN e pela firewall do anfitrião, que são feitos para essa tarefa.

Se tiver de ligar ao túnel, compreenda o contrato da versão instalada. Os parâmetros interfaces e bind interfaces only não são a mesma coisa, e a documentação de ligação avisa sobre interfaces intermitentes. A gestão dinâmica do ouvinte existe em algumas plataformas, mas é uma capacidade a verificar, não a assumir. Leia a tabela antes e depois de uma oscilação e compare as duas saídas.

ss -ltnp | grep ':445'

Teste a reconexão, não a luz verde

Verifique o ouvinte depois de uma reconexão, não apenas depois de arrancar o serviço. Recrie o túnel, depois leia a tabela de escuta e confirme que o socket existe no endereço para onde os clientes são encaminhados. Um indicador de túnel verde e uma verificação de configuração aprovada não provam nenhuma das duas coisas.

smbclient -L //files.corp.example -U alice

Depois execute uma operação permitida e um caminho negado a partir de um cliente, e repita após uma segunda reconexão. Se a partilha só funciona até à primeira oscilação, a ligação continua presa à vida da interface e o desenho não foi corrigido. Mude a ligação ou o endereço do serviço, e o sintoma deixa de voltar.