Samba pe o adresă VPN: de ce dispare ascultătorul

Partajarea funcționează toată dimineața, tunelul se reconectează la amiază, iar aceeași cale UNC expiră acum, în timp ce ping-ul către server încă răspunde. Nimic nu s-a schimbat în definiția partajării și VPN-ul este pornit. Ce s-a schimbat este adresa locală de care Samba era legat, care nu mai există după recrearea interfeței. Acel mod de eșec este o problemă a ciclului de viață al ascultătorului, nu o problemă de permisiuni.

Partajarea funcționează până la repornirea tunelului

Legarea unui serviciu de o adresă leagă socketul acestuia de durata de viață a adresei. Când interfața tunelului este distrusă și reconstruită, adresa veche dispare, iar socketul legat de ea dispare împreună cu ea. Serviciul continuă să ruleze, dar nimic nu ascultă acolo unde sunt direcționați clienții.

Ping-ul poate reuși încă dacă adresa nouă răspunde la ICMP, și de aceea accesibilitatea pare bună în timp ce partajarea este moartă. Exact acel singur succes înșelător îi trimite pe oameni la firewall.

Accesibilitatea nu este o adresă de legare

Aici se amestecă trei decizii. Ruta decide dacă un pachet al clientului ajunge. Socketul care ascultă decide dacă ceva îl acceptă la adresa locală. Configurația partajării și permisiunile sistemului de fișiere decid ce se întâmplă după aceea. La recrearea interfeței se rupe doar a doua.

Nici o adresă din pool-ul VPN nu este automat o adresă de legare locală. Ea aparține unui client, nu serverului de fișiere. Ping-ul este un test slab pentru un serviciu de fișiere.

Țineți acești proprietari separați și în documentație. O modificare viitoare a pool-ului VPN nu ar trebui să ceară editarea Samba, iar o modificare a permisiunilor partajării nu ar trebui să ceară repornirea tunelului.

Legați-vă mai bine de o adresă stabilă

Designul mai stabil ține Samba pe o adresă permanentă și lasă VPN-ul să aducă clienții acolo. Adresa serverului nu se schimbă când tunelul oscilează, așa că ascultătorul nu trebuie să urmărească niciodată o interfață. Admiterea este atunci impusă de calea VPN și de firewall-ul gazdei, care sunt construite pentru această sarcină.

Dacă trebuie neapărat să vă legați de tunel, înțelegeți contractul versiunii instalate. Parametrii interfaces și bind interfaces only nu sunt același lucru, iar documentația legării avertizează despre interfețe intermitente. Gestionarea dinamică a ascultătorului există pe unele platforme, dar este o capacitate de verificat, nu de presupus. Citiți tabelul înainte și după o oscilație și comparați cele două ieșiri.

ss -ltnp | grep ':445'

Testați reconectarea, nu lumina verde

Verificați ascultătorul după o reconectare, nu doar după pornirea serviciului. Recreați tunelul, apoi citiți tabelul de ascultare și confirmați că socketul există la adresa către care sunt direcționați clienții. Un indicator verde al tunelului și o verificare de configurare reușită nu dovedesc niciuna dintre ele.

smbclient -L //files.corp.example -U alice

Apoi executați o operație permisă și o cale refuzată de la un client, și repetați după o a doua reconectare. Dacă partajarea funcționează doar până la prima oscilație, legarea este încă legată de durata de viață a interfeței și designul nu a fost corectat. Schimbați legarea sau adresa serviciului, iar simptomul nu mai revine.