VPN adresinde Samba: dinleyici neden kaybolur

Paylaşım bütün sabah çalışır, tünel öğlen yeniden bağlanır ve aynı UNC yolu artık zaman aşımına uğrar, oysa sunucuya ping hâlâ yanıt verir. Paylaşım tanımında hiçbir şey değişmedi ve VPN açık. Değişen, Samba’nın bağlı olduğu yerel adrestir ve arayüz yeniden oluşturulduktan sonra o adres artık yok. Bu arıza biçimi bir dinleyici yaşam döngüsü sorunudur, izin sorunu değildir.

Paylaşım tünel yeniden başlayana kadar çalışır

Bir hizmeti adrese bağlamak, soketini o adresin ömrüne bağlar. Tünel arayüzü yok edilip yeniden kurulduğunda eski adres kaybolur ve ona bağlı soket de onunla birlikte gider. Hizmet çalışmaya devam eder, ancak istemcilerin yönlendirildiği yerde hiçbir şey dinlemez.

Yeni adres ICMP’ye yanıt veriyorsa ping yine başarılı olabilir, bu yüzden paylaşım ölüyken erişilebilirlik iyi görünür. İnsanları güvenlik duvarına gönderen tam da bu tek yanıltıcı başarıdır.

Erişilebilirlik bir bağlama adresi değildir

Burada üç karar birbirine karışır. Yol, istemci paketinin ulaşıp ulaşmayacağını belirler. Dinleyen soket, yerel adreste bir şeyin onu kabul edip etmeyeceğini belirler. Paylaşım yapılandırması ve dosya sistemi izinleri sonrasında ne olacağını belirler. Arayüz yeniden oluşturulduğunda yalnızca ikincisi bozulur.

VPN havuzundan bir adres de otomatik olarak yerel bir bağlama adresi değildir. Bir istemciye aittir, dosya sunucusuna değil. Ping, dosya hizmeti için kötü bir testtir.

Bu sahipleri belgelerde de ayrı tutun. VPN havuzunda gelecekteki bir değişiklik Samba’nın düzenlenmesini gerektirmemeli ve paylaşım iznindeki bir değişiklik tünelin yeniden başlatılmasını gerektirmemelidir.

Bunun yerine kararlı bir adrese bağlayın

Daha kararlı tasarım Samba’yı kalıcı bir adreste tutar ve istemcileri oraya VPN taşır. Tünel titrediğinde sunucu adresi değişmez, böylece dinleyicinin hiçbir zaman bir arayüzü izlemesi gerekmez. Kabul daha sonra VPN yolu ve ana makine güvenlik duvarı tarafından uygulanır, bunlar bu iş için inşa edilmiştir.

Yine de tünele bağlanmanız gerekiyorsa, kurulu sürümün sözleşmesini anlayın. interfaces ve bind interfaces only parametreleri aynı şey değildir ve bağlama belgeleri kesintili arayüzler konusunda uyarır. Bazı platformlarda dinamik dinleyici işleme vardır, ancak bu varsayılacak değil doğrulanacak bir yetenektir. Tabloyu bir titreme öncesinde ve sonrasında okuyup iki çıktıyı karşılaştırın.

ss -ltnp | grep ':445'

Yeniden bağlanmayı test edin, yeşil ışığı değil

Dinleyiciyi hizmet başladıktan sonra değil, yeniden bağlandıktan sonra doğrulayın. Tüneli yeniden oluşturun, sonra dinleme tablosunu okuyun ve soketin istemcilerin yönlendirildiği adreste bulunduğunu onaylayın. Yeşil tünel göstergesi ve geçen yapılandırma denetimi ikisini de kanıtlamaz.

smbclient -L //files.corp.example -U alice

Sonra bir istemciden bir izinli işlem ve bir reddedilen yol çalıştırın ve ikinci yeniden bağlanmadan sonra tekrarlayın. Paylaşım yalnızca ilk titremeye kadar çalışıyorsa bağlama hâlâ arayüzün ömrüne bağlıdır ve tasarım düzeltilmemiştir. Bağlamayı veya hizmet adresini değiştirin, belirti geri gelmeyi bırakır.