Samba na VPN adresi: zašto slušalac nestaje

Dijeljeni resurs radi cijelo jutro, tunel se ponovo poveže u podne, a ista UNC putanja sada istekne dok ping prema serveru još odgovara. U definiciji resursa ništa se nije promijenilo i VPN radi. Promijenila se lokalna adresa za koju je Samba bio vezan, a koja više ne postoji nakon što je interfejs ponovo stvoren. Taj način otkaza je problem životnog ciklusa slušaoca, ne problem dozvola.

Resurs radi do ponovnog pokretanja tunela

Vezivanje usluge za adresu veže njen soket za životni vijek te adrese. Kada se interfejs tunela uništi i ponovo izgradi, stara adresa nestaje, a soket vezan za nju odlazi s njom. Usluga nastavlja raditi, ali ništa ne sluša tamo gdje se klijenti usmjeravaju.

Ping može i dalje uspjeti ako nova adresa odgovara na ICMP, i zato dostupnost izgleda dobro dok je resurs mrtav. Taj jedini obmanjujući uspjeh šalje ljude prema firewallu.

Dostupnost nije adresa za vezivanje

Ovdje se miješaju tri odluke. Ruta odlučuje hoće li paket klijenta stići. Soket koji sluša odlučuje hoće li ga išta prihvatiti na lokalnoj adresi. Konfiguracija resursa i dozvole datotečnog sistema odlučuju šta se događa nakon toga. Kada se interfejs ponovo stvori, kvari se samo druga.

Adresa iz VPN pula također nije automatski lokalna adresa za vezivanje. Ona pripada klijentu, ne datotečnom serveru. Ping je loš test za datotečnu uslugu.

Držite te vlasnike odvojenim i u dokumentaciji. Buduća promjena VPN pula ne bi trebala zahtijevati uređivanje Sambe, a promjena dozvole resursa ne bi trebala zahtijevati ponovno pokretanje tunela.

Umjesto toga vežite se za stabilnu adresu

Stabilniji dizajn drži Sambu na trajnoj adresi i pušta VPN da vodi klijente do nje. Adresa servera se ne mijenja kada tunel zatitra, pa slušalac nikada ne mora slijediti interfejs. Pristup tada provode VPN putanja i firewall hosta, koji su za taj posao i napravljeni.

Ako se već morate vezati za tunel, razumite ugovor instaliranog izdanja. Parametri interfaces i bind interfaces only nisu ista stvar, a dokumentacija o vezivanju upozorava na isprekidane interfejse. Dinamičko upravljanje slušaocem postoji na nekim platformama, ali to je sposobnost koju treba provjeriti, a ne pretpostaviti. Pročitajte tabelu prije i poslije treptaja i uporedite dva izlaza.

ss -ltnp | grep ':445'

Testirajte ponovno povezivanje, ne zeleno svjetlo

Provjerite slušaoca nakon ponovnog povezivanja, ne samo nakon pokretanja usluge. Ponovo stvorite tunel, zatim pročitajte tabelu slušanja i potvrdite da soket postoji na adresi na koju se klijenti usmjeravaju. Zeleni pokazatelj tunela i uspješna provjera konfiguracije ne dokazuju ni jedno ni drugo.

smbclient -L //files.corp.example -U alice

Zatim izvedite jednu dozvoljenu operaciju i jednu zabranjenu putanju s klijenta i ponovite nakon drugog ponovnog povezivanja. Ako resurs radi samo do prvog treptaja, vezivanje je još uvijek vezano za životni vijek interfejsa i dizajn nije popravljen. Promijenite vezivanje ili adresu usluge i simptom prestaje da se vraća.