Rieksportimi i NFS përmes një VPN nuk është përcjellje paketash

Një makinë Linux i bashkohet një VPN, monton një eksport NFS në distancë dhe më pas i shërben atë montim një grupi tjetër klientësh. Kjo rregullim duket si rrugëtim me hapa shtesë, dhe ky është supozimi i parë i gabuar. Makina e mesme është klient i serverit të sipërm dhe server për klientët e poshtëm, dhe merr pjesë në të dyja marrëdhëniet e shërbimit të skedarëve. Përcjellja e paketave nuk ka mendim për dorezat e skedarëve, bllokimin ose identitetin e sistemit të skedarëve; një rieksportim ka.

Filloni duke pyetur nëse klientët e poshtëm mund të arrinin serverin origjinal drejtpërdrejt. Nëse munden, makina e mesme është opsionale.

Tre modele, tre histori konsistence

Montimi i drejtpërdrejtë është më i thjeshti: çdo klient monton serverin origjinal përmes tunelit, dhe politika e eksportimit të atij serveri drejton aksesin. Rieksportimi është makina e mesme që paraqet një kufi tjetër shërbimi, gjë që është e dobishme kur rrjeti nga ana e klientëve nuk duhet ta arrijë serverin drejtpërdrejt. Replikimi është një model i tretë, dhe e zhvendos pyetjen nga konsistenca te sinkronizimi dhe zgjidhja e konflikteve.

Mos e përshkruani një kopje të replikuar sikur të ishte një rieksportim i gjallë. Mënyrat e dështimit ndryshojnë, dhe një përdorues që pret që çdo operacion të arrijë sistemin origjinal të skedarëve do të habiset gjatë një ndërprerjeje të lidhjes.

Identiteti mbijeton më shumë se komanda e montimit

Rieksportimet kanë nevojë për një ID eksplicite të sistemit të skedarëve, dhe ky identitet duhet t'i mbijetojë rindezjeve dhe rindërtimeve të konfigurimit. Dokumentacioni i kernelit është i qartë për kërkesën, dhe gjithashtu paralajmëron që crossmnt nuk e heq nevojën për të eksportuar sistemet e skedarëve fëmijë me ID-të e tyre. Një pemë drejtorish që i duket e vazhdueshme një përdoruesi mund të kalojë disa kufij të sistemit të skedarëve. nfs-utils aktuale mund të ndajnë ID automatikisht për konfigurime të mbështetura, dhe kur e bëjnë këtë, baza e tyre e të dhënave bëhet pjesë e gjendjes së portës. Trajtojini këto ID si identitet shërbimi, jo si skedarë të përdorshëm një herë.

Dorezat e skedarëve janë kufiri tjetër i identitetit: një rieksportim mbështjell dorezën origjinale, gjë që e bën më të madhe dhe mund të tejkalojë kufirin e një klienti. Një montim i suksesshëm nuk provon që çdo plan eksportimi është i përputhshëm.

Jo çdo veçori e NFS i mbijeton makinës së mesme

Udhëzuesi i rieksportimit të kernelit thotë se serveri që riekporton nuk mbështet bllokimin ose kërkesat e delegimit. Aplikacionet që varen nga këto operacione kanë nevojë për një rrugë tjetër ose një dizajn të verifikuar kundrejt tyre. Një montim i suksesshëm dhe një listim drejtorish funksional nuk tregojnë se operacionet reale të aplikacionit funksionojnë.

Identiteti i përdoruesit dhe politika e eksportimit kanë rëndësi edhe në çdo kërcim. Një hyrje në VPN provon që një pjesëmarrës i rrjetit është vërtetuar; nuk autorizon një përdorues NFS dhe nuk i përcjell kredencialet e një klienti përmes portës.

Porta ka dy varësi sipër

Porta varet nga VPN për montimin e sipërm dhe nga serveri i sipërm për vetë sistemin e skedarëve. Një proces eksportimi lokal që është ende duke u ekzekutuar nuk mund ta bëjë të shëndetshëm një ruajtje të padisponueshme. Planifikoni rendin e nisjes, sjelljen e rilidhjes dhe rindezjet e serverit, duke përfshirë çfarë ndodh me dorezat e skedarëve që klientët tashmë mbajnë. Një klient që montoi përmes portës dhe humbi dorezën e tij ka nevojë për rimontim, dhe ky është një ngjarje operative dhe jo një rikuperim transparencë.

Nëse e vetmja gjë që kërkesa i duhej ndonjëherë ishte arritshmëria e IP-ve private, rrugëtimi i drejtpërdrejtë te serveri origjinal është arkitektura më e thjeshtë. Rieksportimi duhet të ekzistojë për një arsye që i mbijeton të shkruarit.

Testoni ngarkesën e punës, jo montimin

Ushtroni ngarkesën reale të skedarëve në një mjedis të kontrolluar: operacionet që kryen aplikacioni, madhësitë e skedarëve që përdor dhe konkurrencën që pret. Vëzhgoni boshllëqet e veçorive dhe jo vetëm gabimet e transportit. Pastaj shkruani cilin model zgjodhët dhe pse, sepse përndryshe personi tjetër do të supozojë se porta është një ruter.

Rieksportimi është legjitim kur ekziston për një arsye të qëllimshme, si një rrjet klientësh i izoluar ose një kufi versioni i kontrolluar. Është një aksident i keq, dhe ndryshimi është nëse dikush e ka vendosur.