Usmerjevalnik kot odjemalec SMB ali kot posredovalnik paketov: kaj ustreza

Posredovanje prometa SMB ni ista naloga kot njegovo zaključevanje, in usmerjevalnik, ki počne eno, morda ne obvlada drugega. Posredovanje pomeni, da usmerjevalnik premika pakete, katerih vsebine nikoli ne analizira. Pripenjanje pomeni, da usmerjevalnik postane odjemalec datotek, s programsko opremo, ki je morda ne priloži, s poverilnicami, ki jih mora zaščititi, in z načini napak, ki so zdaj njegovi. Izbira med obema je vprašanje, kje so datoteke potrebne, ne pa, kaj je mogoče prepričati platformo za usmerjanje, da namesti.

Posredovanje in zaključevanje sta različni nalogi

V vlogi posredovanja ima usmerjevalnik eno odgovornost: dostavljati pakete med odjemalcem in strežnikom ter pri tem uveljavljati politiko, ki jo zahteva pot. Ne preverja se pri skupni rabi, ne shranjuje podatkov datotek v predpomnilnik in ga ne zanima, ali strežnik govori SMB2 ali SMB3, ker nikoli ne bere tako globoko v tok. Če skupna raba postane nedosegljiva, uporabnik vidi napako, usmerjevalnik pa še naprej usmerja.

V vlogi odjemalca se usmerjevalnik pridruži pogovoru protokola. Pogaja se o dialektu, preverja se, razrešuje imena, drži priponsko točko in predstavlja lokalni pogled na datotečni sistem vsemu, kar teče nad njim. To je resnična storitev z življenjskim ciklom in prehode naredi odvisnost datotečnega delovnega toka. Podeduje tudi vse načine napak te odvisnosti, vključno s čakanjem ob zagonu in zastarelimi poverilnicami.

Primerjava ni samo o zmožnosti. Platforma, ki lahko pripne skupno rabo, ni samodejno platforma, ki bi to morala početi, in platforma, ki ne more pripeti nobene, je lahko še vedno pravo mesto za usmerjanje prometa.

Kaj pripenjanje CIFS v jedru v resnici potrebuje

Na napravi z Linuxom sta odjemalec CIFS v jedru in odjemalec v uporabniškem prostoru ločeni zmožnosti, majhne slike pa pogosto ne vsebujejo nobene. Podpora jedra mora biti v delujoči sliki, pomočnik za pripenjanje mora obstajati, dialekt SMB, dogovorjen s strežnikom, pa mora biti tak, ki ga sprejmeta obe strani. To opisuje vodnik po odjemalcu CIFS za Linux, ki razlaga zgradbo jedra in njegove možnosti pripenjanja, in to je prava referenca, preden domnevate, da ga sestav ponudnika vsebuje.

Preverite zmožnost, preden okoli nje načrtujete, in preverite različico, ne prisotnosti imena ukaza. Ime modula na seznamu paketov ni isto kot delujoč odjemalec.

lsmod | grep -w cifs
modinfo cifs | head -5
mount.cifs --version
smbclient -L //fs02.corp.internal -U svc-router -m SMB3

Modul jedra, ki se naloži, in orodje v uporabniškem prostoru, ki poroča različico, še ne zagotavljata, da bo pripenjanje preživelo obnovitev ključev VPN, zato preizkus obravnavajte kot začetni pogoj, ne kot dokaz. Če slika prinaša samo podporo SMB1, je to razlog, da se ustavite, ne razlog, da jo omogočite na strežniku.

Poverilnice in identiteta vira se razlikujejo od tistih na prenosniku

Posredovana zahteva nosi identiteto prenosnika skozi tunel, medtem ko zahteva, ustvarjena na usmerjevalniku, nosi njegov lastni izvorni naslov, pot razreševalnika in filtriranje izhoda. Lahko pristanejo v drugem pravilu požarnega zidu, drugem pogledu DNS in drugem seznamu dovoljenih na strani strežnika. Kopija, ki deluje z delovne postaje, torej ne dokazuje ničesar o lastnem pripenjanju usmerjevalnika. Preizkusite pripenjanje iz lastne lupine usmerjevalnika, ne z delovne postaje za njim.

Dajte usmerjevalniku ozko pooblaščeno identiteto storitve, če je vloga sploh odobrena. Nikoli ne postavite gesla neposredno v ukazno vrstico pripenjanja, ker ostane v zgodovini lupine in se pojavi v tabeli procesov, dokler pripenjanje teče.

Shranite poverilnice prek zaščitenega mehanizma platforme in jih berite iz datoteke z omejenimi pravicami. Ta datoteka naj bo neberljiva za vsak račun razen tistega, ki izvaja pripenjanje.

install -m 600 /dev/null /etc/cifs-reports.creds
printf 'username=svc-router\npassword=REPLACE_ME\ndomain=CORP\n' > /etc/cifs-reports.creds
mount -t cifs //fs02.corp.internal/reports /mnt/reports -o credentials=/etc/cifs-reports.creds,vers=3.1.1,ro

Kdo je lastnik napake, ko skupna raba izgine

Manjkajoč oddaljeni datotečni sistem se obnaša drugače kot manjkajoča pot. Pripenjanje lahko blokira procese, ki se ga dotikajo, lahko spodleti ob zagonu, preden tunel obstaja, in pisanje, namenjeno strežniku, lahko pristane na napačnem mestu, če pod priponsko točko leži lokalna mapa. To so napake shrambe, ki so zdaj v lasti omrežne ekipe, ne glede na to, ali jih je želela. Nihče ni pristal na to lastništvo, a prihaja s pripenjanjem.

Načrtujte vrstni red zagona in možnosti pripenjanja okoli te resničnosti. Pripenjanje samo za branje s kratko časovno omejitvijo in dokumentiranim korakom obnovitve je lažje braniti kot pripenjanje za pisanje, od katerega je odvisno vse drugo. Potrdite, da se tunel dvigne, preden se karkoli poskusi pripeti, sicer bo prvi zagon po izpadu elektrike obvisel.

Za obsežno obdelavo datotek ali za kar koli, kar podatke naprej izvaža, ločen gostitelj običajno da jasnejšo mejo lastništva. Usmerjevalnik še naprej usmerja, datotečni delovni tok pa dobi stroj, ki ga je mogoče znova zagnati, ne da bi s seboj vzel omrežje.

Preverite odločitev glede na dejansko nalogo

Zapišite, katera naloga potrebuje datoteke in kje ta naloga teče. Če je odgovor delovna postaja, usmerite skupno rabo in se tam ustavite. Če je odgovor storitev na napravi, potrdite zmožnost odjemalca, podprti dialekt in pot poverilnic pred prvim pripenjanjem, nato pa odločite, ali je naprava res pravi gostitelj.

Preverite pripeti pogled in prosti prostor z usmerjevalnika samega, ker tam ju bo delovna obremenitev videla. Ponovite preverjanje po ponovni povezavi, ne le po čistem zagonu.

findmnt -t cifs -o TARGET,SOURCE,OPTIONS
df -h /mnt/reports
ls -l /mnt/reports | head

Pripenjanje, ki izpiše datoteke, a poroča o polnem ali samo za branje datotečnem sistemu, vam je že povedalo, s katero napako se boste srečali ob 2 zjutraj. Potrdite tudi pot obnovitve: čisto odpnite, spustite tunel, dvignite ga znova in pripnite še enkrat brez ponovnega zagona naprave. Če ta zaporedje vsakič zahteva primer pri podpori, je usmerjevalnik napačno mesto za vlogo odjemalca.