Samba trên một địa chỉ VPN: vì sao trình lắng nghe biến mất

Thư mục chia sẻ hoạt động suốt buổi sáng, đường hầm kết nối lại vào buổi trưa, và cùng đường dẫn UNC đó giờ hết thời gian trong khi ping tới máy chủ vẫn trả lời. Không có gì thay đổi trong định nghĩa chia sẻ và VPN đang bật. Thứ đã thay đổi là địa chỉ cục bộ mà Samba đã gắn vào, và nó không còn tồn tại sau khi giao diện được tạo lại. Kiểu hỏng đó là vấn đề vòng đời của trình lắng nghe, không phải vấn đề quyền.

Thư mục chia sẻ hoạt động cho đến khi đường hầm khởi động lại

Gắn một dịch vụ vào một địa chỉ buộc socket của nó vào vòng đời của địa chỉ đó. Khi giao diện đường hầm bị phá hủy và dựng lại, địa chỉ cũ biến mất và socket gắn với nó cũng biến mất theo. Dịch vụ vẫn chạy, nhưng không có gì lắng nghe ở nơi khách hàng được định tuyến tới.

Ping vẫn có thể thành công nếu địa chỉ mới trả lời ICMP, và đó là lý do khả năng tiếp cận trông ổn trong khi thư mục chia sẻ đã chết. Chính thành công gây nhầm lẫn duy nhất đó đẩy người ta tới tường lửa.

Khả năng tiếp cận không phải địa chỉ gắn kết

Ba quyết định bị trộn lẫn ở đây. Tuyến quyết định gói của khách hàng có tới hay không. Socket đang lắng nghe quyết định có gì đó chấp nhận nó tại địa chỉ cục bộ hay không. Cấu hình chia sẻ và quyền của hệ thống tệp quyết định điều gì xảy ra sau đó. Khi giao diện được tạo lại, chỉ cái thứ hai bị hỏng.

Một địa chỉ trong nhóm VPN cũng không tự động là địa chỉ gắn kết cục bộ. Nó thuộc về một khách hàng, không phải máy chủ tệp. Ping là phép thử tồi cho dịch vụ tệp.

Hãy giữ các chủ sở hữu đó tách biệt cả trong tài liệu. Một thay đổi tương lai trong nhóm VPN không nên đòi hỏi sửa Samba, và một thay đổi quyền chia sẻ không nên đòi hỏi khởi động lại đường hầm.

Thay vào đó, hãy gắn vào một địa chỉ ổn định

Thiết kế ổn định hơn giữ Samba trên một địa chỉ cố định và để VPN đưa khách hàng tới đó. Địa chỉ máy chủ không thay đổi khi đường hầm chập chờn, nên trình lắng nghe không bao giờ phải đi theo giao diện. Khi đó việc chấp nhận được thực thi bởi tuyến VPN và tường lửa của máy chủ, vốn được xây dựng cho công việc đó.

Nếu buộc phải gắn vào đường hầm, hãy hiểu hợp đồng của bản phát hành đã cài. Các tham số interfaces và bind interfaces only không giống nhau, và tài liệu về gắn kết cảnh báo về các giao diện chập chờn. Việc xử lý trình lắng nghe động có trên một số nền tảng, nhưng đó là khả năng cần kiểm chứng chứ không phải giả định. Hãy đọc bảng trước và sau một lần chập chờn rồi so sánh hai kết quả.

ss -ltnp | grep ':445'

Hãy kiểm tra việc kết nối lại, không phải đèn xanh

Xác minh trình lắng nghe sau khi kết nối lại, không chỉ sau khi dịch vụ khởi động. Tạo lại đường hầm, rồi đọc bảng lắng nghe và xác nhận socket tồn tại trên địa chỉ mà khách hàng được định tuyến tới. Đèn báo đường hầm xanh và kiểm tra cấu hình đạt không chứng minh được cả hai.

smbclient -L //files.corp.example -U alice

Sau đó chạy một thao tác được phép và một đường bị từ chối từ một khách hàng, rồi lặp lại sau lần kết nối lại thứ hai. Nếu thư mục chia sẻ chỉ hoạt động đến lần chập chờn đầu tiên, việc gắn kết vẫn bị buộc vào vòng đời giao diện và thiết kế chưa được sửa. Hãy đổi cách gắn hoặc địa chỉ dịch vụ, và triệu chứng sẽ không quay lại.