Ponovni izvoz NFS-a kroz VPN nije prosljeđivanje paketa

Linux računar se pridružuje VPN-u, montira udaljeni NFS izvoz, a zatim taj montirani sistem poslužuje drugoj grupi klijenata. Taj raspored izgleda kao rutiranje s dodatnim koracima, i to je prva pogrešna pretpostavka. Srednja mašina je klijent uzvodnog servera i server nizvodnim klijentima, i učestvuje u oba odnosa datotečne usluge. Prosljeđivanje paketa nema mišljenje o ručkama datoteka, zaključavanju ili identitetu datotečnog sistema; ponovni izvoz ima.

Počnite pitanjem mogu li nizvodni klijenti dosegnuti izvorni server direktno. Ako mogu, srednja mašina je opcionalna.

Tri modela, tri priče o konzistentnosti

Direktno montiranje je najjednostavnije: svaki klijent montira izvorni server kroz tunel, a izvozna politika tog servera upravlja pristupom. Ponovni izvoz je srednja mašina koja predstavlja drugačiju granicu usluge, što je korisno kada mreža okrenuta klijentima ne smije direktno dosegnuti server. Replikacija je treći model i mijenja pitanje s konzistentnosti na sinhronizaciju i rješavanje sukoba.

Ne opisujte repliciranu kopiju kao da je živi ponovni izvoz. Načini kvara se razlikuju, a korisnik koji očekuje da svaka operacija dosegne izvorni datotečni sistem bit će iznenađen tijekom prekida veze.

Identitet nadživljava naredbu za montiranje

Ponovni izvoz zahtijeva eksplicitni ID datotečnog sistema, a taj identitet mora preživjeti restarte i ponovne izgradnje konfiguracije. Dokumentacija kernela jasna je o tom zahtjevu i također upozorava da crossmnt ne uklanja potrebu da se podređeni datotečni sistemi izvezu s vlastitim ID-ovima. Stablo direktorija koje korisniku izgleda neprekinuto može prijeći nekoliko granica datotečnih sistema. Savremeni nfs-utils može automatski dodijeliti ID-ove za podržane konfiguracije, a kada to učini, njegova baza podataka postaje dio stanja pristupnika. Tretirajte te ID-ove kao identitet usluge, a ne kao potrošne datoteke.

Ručke datoteka su druga granica identiteta: ponovni izvoz umotava izvornu ručku, što je čini većom i može premašiti klijentov limit. Uspješno montiranje ne dokazuje da je svaki izvozni raspored kompatibilan.

Ne preživljava svaka NFS značajka srednju mašinu

Vodič kernela za ponovni izvoz navodi da server koji ponovno izvozi ne podržava zaključavanje ni zahtjeve za delegiranje. Aplikacije koje zavise od tih operacija trebaju drugačiji put ili dizajn provjeren prema njima. Uspješno montiranje i radni popis direktorija ne pokazuju da stvarne operacije aplikacije rade.

Identitet korisnika i izvozna politika također su važni na svakom koraku. Prijava na VPN dokazuje da se mrežni učesnik autentificirao; ona ne ovlašćuje NFS korisnika i ne prenosi klijentove vjerodajnice kroz pristupnik.

Pristupnik ima dvije uzvodne zavisnosti

Pristupnik zavisi od VPN-a za uzvodno montiranje i od uzvodnog servera za sam datotečni sistem. Lokalni izvozni proces koji još radi ne može učiniti nedostupno pohranjivanje zdravim. Planirajte redoslijed pokretanja, ponašanje pri ponovnom povezivanju i restarte servera, uključujući šta se događa s ručkama datoteka koje klijenti već drže. Klijent koji je montirao kroz pristupnik i izgubio svoju ručku treba ponovno montiranje, a to je operativni događaj, a ne transparentan oporavak.

Ako je sve što je zahtjevu ikada trebalo bila dostupnost privatnih IP adresa, rutiranje direktno na izvorni server je jednostavnija arhitektura. Ponovni izvoz treba postojati zbog razloga koji preživi kada se zapiše.

Testirajte radno opterećenje, ne montiranje

Vježbajte stvarno datotečno opterećenje u kontroliranom okruženju: operacije koje aplikacija izvodi, veličine datoteka koje koristi i paralelnost koju očekuje. Pazite na praznine u značajkama, a ne samo na transportne greške. Zatim zabilježite koji model ste odabrali i zašto, jer će inače sljedeća osoba pretpostaviti da je pristupnik ruter.

Ponovni izvoz je legitiman kada postoji zbog namjernog razloga, poput izolirane klijentske mreže ili kontrolirane granice verzije. To je loša slučajnost, a razlika je u tome je li neko to odlučio.