Tái xuất NFS qua VPN không phải là chuyển tiếp gói tin

Một máy Linux tham gia VPN, gắn kết một xuất NFS từ xa và sau đó phục vụ gắn kết đó cho một nhóm máy khách khác. Cách bố trí này trông giống như định tuyến với các bước thừa, và đó là giả định sai đầu tiên. Máy ở giữa là máy khách của máy chủ thượng nguồn và là máy chủ cho các máy khách hạ nguồn, và nó tham gia vào cả hai mối quan hệ dịch vụ tệp. Việc chuyển tiếp gói tin không có ý kiến gì về tay cầm tệp, khóa hay danh tính hệ thống tệp; tái xuất thì có.

Hãy bắt đầu bằng câu hỏi liệu các máy khách hạ nguồn có thể đến thẳng máy chủ gốc hay không. Nếu có, máy ở giữa là tùy chọn.

Ba mô hình, ba câu chuyện nhất quán

Gắn kết trực tiếp là đơn giản nhất: mỗi máy khách gắn kết máy chủ gốc qua đường hầm, và chính sách xuất của máy chủ đó chi phối quyền truy cập. Tái xuất là máy ở giữa trình bày một ranh giới dịch vụ khác, điều này hữu ích khi mạng phía máy khách không được phép đến thẳng máy chủ. Sao chép là mô hình thứ ba, và nó chuyển câu hỏi từ nhất quán sang đồng bộ hóa và giải quyết xung đột.

Đừng mô tả một bản sao được sao chép như thể đó là một tái xuất sống. Các chế độ thất bại khác nhau, và người dùng kỳ vọng mọi thao tác đều đến được hệ thống tệp gốc sẽ bất ngờ khi liên kết bị đứt.

Danh tính sống lâu hơn lệnh gắn kết

Tái xuất cần một ID hệ thống tệp rõ ràng, và danh tính đó phải tồn tại qua các lần khởi động lại và tái tạo cấu hình. Tài liệu của nhân rõ ràng về yêu cầu này, và nó cũng cảnh báo rằng crossmnt không loại bỏ nhu cầu xuất các hệ thống tệp con với ID riêng của chúng. Một cây thư mục trông liên tục với người dùng có thể vượt qua nhiều ranh giới hệ thống tệp. nfs-utils hiện tại có thể cấp ID tự động cho các cấu hình được hỗ trợ, và khi làm vậy, cơ sở dữ liệu của nó trở thành một phần trạng thái của cổng. Hãy coi những ID đó là danh tính dịch vụ chứ không phải tệp dùng một lần.

Tay cầm tệp là ranh giới danh tính khác: tái xuất bọc tay cầm gốc, khiến nó lớn hơn và có thể vượt quá giới hạn của máy khách. Một lần gắn kết thành công không chứng minh rằng mọi bố cục xuất đều tương thích.

Không phải mọi tính năng NFS đều sống sót qua máy ở giữa

Hướng dẫn tái xuất của nhân nêu rằng máy chủ tái xuất không hỗ trợ khóa hoặc yêu cầu ủy quyền. Các ứng dụng phụ thuộc vào những thao tác đó cần một đường khác hoặc một thiết kế đã được xác minh với chúng. Một lần gắn kết thành công và một danh sách thư mục hoạt động không cho thấy các thao tác thực của ứng dụng hoạt động.

Danh tính người dùng và chính sách xuất cũng quan trọng ở mỗi bước nhảy. Đăng nhập VPN chứng minh rằng một người tham gia mạng đã được xác thực; nó không cấp quyền cho người dùng NFS và không chuyển thông tin đăng nhập của máy khách qua cổng.

Cổng có hai phụ thuộc thượng nguồn

Cổng phụ thuộc vào VPN cho lần gắn kết thượng nguồn và vào máy chủ thượng nguồn cho chính hệ thống tệp. Một tiến trình xuất cục bộ vẫn đang chạy không thể làm cho lưu trữ không sẵn sàng trở nên khỏe mạnh. Hãy lên kế hoạch thứ tự khởi động, hành vi kết nối lại và các lần khởi động lại máy chủ, bao gồm điều gì xảy ra với tay cầm tệp mà máy khách đã giữ. Một máy khách đã gắn kết qua cổng và mất tay cầm của nó cần gắn kết lại, và đó là một sự kiện vận hành chứ không phải phục hồi trong suốt.

Nếu tất cả những gì yêu cầu từng cần chỉ là khả năng tiếp cận IP riêng, thì định tuyến trực tiếp đến máy chủ gốc là kiến trúc đơn giản hơn. Tái xuất nên tồn tại vì một lý do sống sót khi được viết ra.

Hãy kiểm tra khối lượng công việc, không phải lần gắn kết

Hãy thực hành khối lượng công việc tệp thực trong một môi trường được kiểm soát: các thao tác ứng dụng thực hiện, kích thước tệp mà nó sử dụng và mức đồng thời mà nó mong đợi. Chú ý đến các khoảng trống tính năng chứ không chỉ lỗi truyền tải. Sau đó ghi lại mô hình bạn đã chọn và lý do, vì nếu không người tiếp theo sẽ cho rằng cổng là một bộ định tuyến.

Tái xuất là chính đáng khi nó tồn tại vì một lý do có chủ đích, chẳng hạn như mạng máy khách biệt lập hoặc ranh giới phiên bản được kiểm soát. Đó là một tai nạn tồi, và sự khác biệt là liệu ai đó đã quyết định điều đó.