Ponovni izvoz NFS prek VPN ni posredovanje paketov

Linux stroj se pridruži VPN, pripne oddaljeni izvoz NFS in nato to pripenjanje streže drugi skupini odjemalcev. Ta ureditev je videti kot usmerjanje z dodatnimi koraki, in to je prva napačna predpostavka. Vmesni stroj je odjemalec nadrejenega strežnika in strežnik za podrejene odjemalce ter sodeluje v obeh razmerjih datotečne storitve. Posredovanje paketov nima mnenja o ročajih datotek, zaklepanju ali identiteti datotečnega sistema; ponovni izvoz ga ima.

Začnite z vprašanjem, ali bi podrejeni odjemalci lahko dosegli izvirni strežnik neposredno. Če ga lahko, je vmesni stroj neobvezen.

Trije modeli, tri zgodbe o skladnosti

Neposredno pripenjanje je najpreprostejše: vsak odjemalec pripne izvirni strežnik skozi tunel, in izvozna politika tega strežnika ureja dostop. Ponovni izvoz je vmesni stroj, ki predstavlja drugo mejo storitve, kar je uporabno, ko omrežje, obrnjeno k odjemalcem, ne sme neposredno doseči strežnika. Replikacija je tretji model in vprašanje premakne s skladnosti na sinhronizacijo in razreševanje konfliktov.

Replicirane kopije ne opisujte, kot da bi bila živi ponovni izvoz. Načini okvar se razlikujejo, in uporabnik, ki pričakuje, da bo vsaka operacija dosegla izvirni datotečni sistem, bo med prekinitvijo povezave presenečen.

Identiteta preživi ukaz za pripenjanje

Ponovni izvozi potrebujejo izrecen ID datotečnega sistema, in ta identiteta mora preživeti ponovne zagone in obnove konfiguracije. Dokumentacija jedra je glede zahteve jasna in tudi opozarja, da crossmnt ne odpravi potrebe po izvažanju podrejenih datotečnih sistemov z njihovimi lastnimi ID-ji. Drevo imenikov, ki se uporabniku zdi neprekinjeno, lahko prečka več meja datotečnega sistema. Sedanji nfs-utils lahko samodejno dodelijo ID-je za podprte konfiguracije, in ko to storijo, njihova zbirka podatkov postane del stanja prehoda. Te ID-je obravnavajte kot identiteto storitve, ne kot enkratne datoteke.

Ročaji datotek so druga meja identitete: ponovni izvoz ovije izvirni ročaj, kar ga poveča in lahko preseže omejitev odjemalca. Uspešno pripenjanje ne dokazuje, da je vsaka razporeditev izvoza združljiva.

Vsaka funkcija NFS ne preživi vmesnega stroja

Vodnik jedra za ponovni izvoz navaja, da strežnik, ki ponovno izvaža, ne podpira zaklepanja ali zahtev za pooblastilo. Aplikacije, ki so odvisne od teh operacij, potrebujejo drugo pot ali zasnovo, preverjeno proti njim. Uspešno pripenjanje in delujoč seznam imenika ne kažeta, da resnične operacije aplikacije delujejo.

Identiteta uporabnika in izvozna politika sta pomembni tudi pri vsakem skoku. Prijava v VPN dokazuje, da se je omrežni udeleženec overil; ne pooblašča uporabnika NFS in ne posreduje poverilnic odjemalca skozi prehod.

Prehod ima dve nadrejeni odvisnosti

Prehod je odvisen od VPN za nadrejeno pripenjanje in od nadrejenega strežnika za sam datotečni sistem. Krajevni izvozni proces, ki še teče, ne more narediti nedostopne shrambe zdrave. Načrtujte vrstni red zagona, vedenje pri ponovnem povezovanju in ponovne zagone strežnika, vključno s tem, kaj se zgodi z ročaji datotek, ki jih odjemalci že imajo. Odjemalec, ki je pripel skozi prehod in izgubil svoj ročaj, potrebuje novo pripenjanje, in to je operativni dogodek, ne pregledna obnovitev.

Če je bila vse, kar je zahteva kdaj potrebovala, dosegljivost zasebnih naslovov IP, je neposredno usmerjanje na izvirni strežnik preprostejša arhitektura. Ponovni izvoz bi moral obstajati zaradi razloga, ki preživi zapis.

Preizkusite delovno obremenitev, ne pripenjanja

Vadite resnično datotečno obremenitev v nadzorovanem okolju: operacije, ki jih aplikacija izvaja, velikosti datotek, ki jih uporablja, in pričakovano sočasnost. Opazujte vrzeli v funkcijah, ne le napake prenosa. Nato zapišite, kateri model ste izbrali in zakaj, ker bo sicer naslednja oseba domnevala, da je prehod usmerjevalnik.

Ponovni izvoz je upravičen, ko obstaja iz namernega razloga, na primer izolirano odjemalsko omrežje ali nadzorovana meja različice. To je slaba nesreča, in razlika je v tem, ali se je nekdo tako odločil.