В который раз про jail, samba и broadcast

SiAl · Непрочитанное сообщение **SiAl** » 2014-02-26 18:58:08

Все пишут что samba может работать в jail-е, но я так и не нашел рабочего решения с nmbd и броадкастами. Может есть какой обход запретов клеток на broadcast, может через прокси кто делает, может есть какой не samba-сервер что может быть master-browserом, но что то гугль не выдал результат. На сервере с IP 192.168.0.5 клетка с IP 192.168.0.2 Если IP клетки прописывать 192.168.0.2/24 чтобы броадкаст для нее был 192.168.0.255, то наблюдается видимость HOMENAS в сетевом окружении WINDOWS, но без явного запроса соответствия имени и IP посредством nbtstat -a 192.168.0.2 выдается "не найден сетевой путь". Если есть ссылка на решение, буду премного благодарен, ниже привожу свои пункты, которые влияют на самбу в клетке.

FreeBSD 10.0-RELEASE
samba36-3.6.22
ifconfig lagg0 |grep inet
inet 192.168.0.5 netmask 0xffffff00 broadcast 192.168.0.255

/etc/jail.conf
homenas {\
...
host.hostname = "homenas.kosyachenko.ru";
#host.hostname = "homenas";
interface = lagg0;
#ip4.addr = 192.168.0.2;
ip4.addr = 192.168.0.2/24;
...
/usr/local/etc/smb.conf
...
interfaces = lagg0
bind interfaces only = yes
nmbd bind explicit broadcast = no
...
nbtstat -a 192.168.0.2
Адрес IP узла: [192.168.0.10] Код области: []

Таблица NetBIOS-имен удаленных компьютеров

Имя Тип Состояние
----------------------------------------------------
HOMENAS <00> Уникальный Зарегистрирован
HOMENAS <03> Уникальный Зарегистрирован
HOMENAS <20> Уникальный Зарегистрирован
HOME <1E> Группа Зарегистрирован
HOME <00> Группа Зарегистрирован

Адрес платы (MAC) = 00-00-00-00-00-00

Хостинг HostFood.ru · **Хостинг HostFood.ru**

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

guest · Непрочитанное сообщение **guest** » 2014-02-27 14:47:24

SiAl писал(а):Все пишут что samba может работать в jail-е, но я так и не нашел рабочего решения с nmbd и броадкастами. Может есть какой обход запретов клеток на broadcast, может через прокси кто делает, может есть какой не samba-сервер что может быть master-browserом, но что то гугль не выдал результат. На сервере с IP 192.168.0.5 клетка с IP 192.168.0.2 Если IP клетки прописывать 192.168.0.2/24 чтобы броадкаст для нее был 192.168.0.255, то наблюдается видимость HOMENAS в сетевом окружении WINDOWS, но без явного запроса соответствия имени и IP посредством nbtstat -a 192.168.0.2 выдается "не найден сетевой путь". Если есть ссылка на решение, буду премного благодарен, ниже привожу свои пункты, которые влияют на самбу в клетке.
Код: Выделить всё
FreeBSD 10.0-RELEASE
samba36-3.6.22
ifconfig lagg0 |grep inet
        inet 192.168.0.5 netmask 0xffffff00 broadcast 192.168.0.255

/etc/jail.conf
	homenas {\
		...
		host.hostname = "homenas.kosyachenko.ru";
		#host.hostname = "homenas";
		interface = lagg0;
		#ip4.addr = 192.168.0.2;
		ip4.addr = 192.168.0.2/24;

Если у Вас интерфейс lagg0 и на нем несколько ip из одной сети, один основной, остальные через алиасы из той же сети
с маской /32.

ifconfig_lagg0_alias0="inet 192.168.0.2 netmask 255.255.255.255"
ну и в jail соответственно только ip без маски.

SiAl · Непрочитанное сообщение **SiAl** » 2014-02-28 12:34:18

guest писал(а): Если у Вас интерфейс lagg0 и на нем несколько ip из одной сети, один основной, остальные через алиасы из той же сети
с маской /32.

ifconfig_lagg0_alias0="inet 192.168.0.2 netmask 255.255.255.255"
ну и в jail соответственно только ip без маски.

Как вы пишете делать - так ессно правильно, но тогда теряется видимость сервера в домашней группе. Какие то броадкасты Шредингера - вроде как они есть и вроде как их нет. Логично предположить, что когда в клетке шиковещательный адрес 192.168.0.255 - то видимо через loopback из клетки всеж таки выход идет, а вот обратная процедура не проходит. И опять же аналогичная ситуация с мультикастами - plex DLNA из jail-а не пашет. Хоть опять же народ пишет, что на freenas и на nas4free народ успешно поднимает в клетках, а они на основе FreeBSD.

guest · Непрочитанное сообщение **guest** » 2014-02-28 16:08:50

SiAl писал(а):
guest писал(а): Если у Вас интерфейс lagg0 и на нем несколько ip из одной сети, один основной, остальные через алиасы из той же сети
с маской /32.

ifconfig_lagg0_alias0="inet 192.168.0.2 netmask 255.255.255.255"
ну и в jail соответственно только ip без маски.
Как вы пишете делать - так ессно правильно, но тогда теряется видимость сервера в домашней группе. Какие то броадкасты Шредингера - вроде как они есть и вроде как их нет. Логично предположить, что когда в клетке шиковещательный адрес 192.168.0.255 - то видимо через loopback из клетки всеж таки выход идет, а вот обратная процедура не проходит. И опять же аналогичная ситуация с мультикастами - plex DLNA из jail-а не пашет. Хоть опять же народ пишет, что на freenas и на nas4free народ успешно поднимает в клетках, а они на основе FreeBSD.

Вы представляете себе что такое роутинг, default gateway, как привязывать несколько ip на один интерфейс и какая маска
должна быть у всех что из одной подсети, за исключением одного?
Ну и не забываем про firewall для :

# grep netbios /etc/services
# grep microsoft /etc/services

SiAl · Непрочитанное сообщение **SiAl** » 2014-02-28 21:52:40

guest писал(а): Вы представляете себе что такое роутинг, default gateway, как привязывать несколько ip на один интерфейс и какая маска
должна быть у всех что из одной подсети, за исключением одного?
Ну и не забываем про firewall для :

# grep netbios /etc/services
# grep microsoft /etc/services

Ответ:

sockstat -4L | grep -E smbd\|nmbd
root smbd 78333 26 tcp4 192.168.0.2:445 *:*
root smbd 78333 27 tcp4 192.168.0.2:139 *:*
root nmbd 78330 9 udp4 192.168.0.2:137 *:*
root nmbd 78330 10 udp4 192.168.0.2:138 *:*
root nmbd 78330 11 udp4 192.168.0.2:137 *:*
root nmbd 78330 12 udp4 192.168.0.2:138 *:*

Ток вернусь к вопросу - мне важен широковещательный трафик в клетке на вход и выход. Броадкаст шлется на 255, причем всегда )) Если делать как "надо"

ifconfig lagg0 | grep -i broadcast
lagg0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
inet 192.168.0.5 netmask 0xffffff00 broadcast 192.168.0.255
inet 192.168.0.2 netmask 0xffffffff broadcast 192.168.0.2

то куда они в клетке пойдут?

inet 192.168.0.2 netmask 0xffffff00 broadcast 192.168.0.255

Так хоть на выход пашет, ток не понятно что мешает и на вход отрабатывать?
Нигде не могу найти подробного описания работы во FreeBSD сетевого стека через loopback в клетке. На чем основано собсно ограничение работы сети в jail-е? Мне безопасность там совершенно не требуется, если есть возможность снять данное ограничение - подскажите! И про firewall - эт совсем лишнее, на данной конфигурации его не будет.

На счет сборок NAS на ядре BSD - разобрался, там используется VirtIO. На десятке ядро изначально с поддержкой, но jail как понимаю так и не доделали для его поддержки при автозапуске. т.е. морока bridge->epair остается? Не хотелось городить "лишние" сетевые интерфейсы, тогда уж наверно лучше смотреть в сторону опять же включенного в 10-ку BHyVe - ток вот не могу по нему ничегошеньки найти. Как запустить еще можно найти на оф сайте а вот как с ним работать, автозапуск, мониторинг и прочее? Где искать полноценные доки по FreeBSD, если офф сайт не содержит искомой информации?

guest · Непрочитанное сообщение **guest** » 2014-03-02 14:00:38

Ну давайте попробуем разобраться...

1. во FreeBSD не работает multihome как в Solaris или как в Linux, традиционный BSD TCP/IP стек с default routing

если у нас несколько ip из одной сети на одном интерфейсе: iface
имеем, например:

iface - интерфейс (em,re, rl и тд и тп)
iface -> bind ip default, ну например 192.168.1.1 -> он же default gateway (объяснять что есть default gw не буду, это понятно)
хотим использовать еще несколько ip из той же сети 192.168.1.0: 192.168.1.[10,11,12]
создаем алиасы:
ifconfig_iface_alias0="inet 192.168.1.10/32"
ifconfig_iface_alias1="inet 192.168.1.11/32"
and etc...
почему маска 32, потому что из одной сети и через один default (нет во FreeBSD ни метрики, ни multihome)!

Допустим к нам идут пакеты (входящие) на адрес 192.168.1.10 - все хорошо и мы их получАем на этот адрес, а вот исходящие,
обратно или взад, пойдут через default gateway через интерфейс iface. Ибо, как было сказано выше, multihome во FreeBSD
не поддерживается. Посему, если на алиасе будет маска /24, получим кашу в таблицах маршрутизации ядра и свитчи могут
сдуреть. (входящие на один ip, исходящие с другого ip/mac)

Одну ситуацию в первом приближении рассмотрели.

2. Теперь рассмотрим ТРАДИЦИОННУЮ реализацию JAIL:

- jail машины не имеют собственно стека и ethernet, а используют TCP/IP стек ХОСТ машины, значит ни loopback, ни ethernet
не имеют и listen 127.0.0.1 или 0.0.0.0 не могут, broadcasting не могут.

Что делать в этом случае, выходов два:

1) использовать Jail с VIMAGE: виртуальный стек и виртуальные ethernet, начиная с 8.4/9.2 и в 10.0 основа /etc/jail.conf,
в /etc/rc.conf минимум необходимый для старта jail через /etc/rc.d/jail.
Для использования по старинке есть порт sysutils/jail2, для jail+vnet(vimage), лучше всего подходит скрипт
vimage от Devin Teske:
http://druidbsd.sourceforge.net/vimage.shtml
но для 9.2/10 его нужно подправить под запуск с передаваемыми параметрами.

2) использовать традиционный JAIL без netbios name resolution - это означает что samba будет работать внутри jail,
но без бродкастов, без name resolution если она master - я так себе это понимаю, но по \ip\resource или \dns_name\resource
соединиться и монтировать можно.
Для этого нужно в smb.conf:

interfaces = ip/32 (если jail через alias)
bind interfaces only = yes

никаких lagg0/lo0 в interface кроме ip/mask быть не должно -> man smb.conf на предмет bind interfaces only

ps. И кстати, при таком подходе, nmbd по идее должен запускаться.
pps. К сожалению верхнее с традиционным JAIL проверить не могу ибо использую JAIL+VNET(vimage) и проблем не имею, но должно работать,
будет время попробую верхнее в традиционной реализации jail.

На простом языке как то так.

guest · Непрочитанное сообщение **guest** » 2014-03-02 19:05:35

Ну вот пример с традиционным jailv2 под 10.0