UNC-käyttö Windows-säilöissä: ensin nimi, sitten identiteetti

Windows-säilö, joka tarvitsee jaetun kansion tunnelisi toisella puolella, epäonnistuu kahdella toisistaan riippumattomalla tavalla, eikä isännän Resurssienhallinta todista kumpaakaan. Säilöllä on oma verkkopäätepisteensä ja oma prosessi-identiteettinsä. Nimi, joka selvitetään työpöydällä, ja istunto, jonka tiedostopalvelin siellä hyväksyy, kuvaavat työpöytää, eivät työkuormaa.

Isännän Resurssienhallinta ei ole todiste

Jaetun kansion avaaminen isännällä käyttää isännän DNS-asiakasta, isännän reititystaulua ja isännälle kirjautunutta tiliä. Säilöprosessi ei peri mitään näistä implisiittisesti, vaikka säilö ajetaan samalla koneella ja VPN-asiakas ajetaan siellä myös. Ensimmäinen raja on verkkoreitti: voiko säilö selvittää nimen ja voiko se avata TCP-istunnon SMB-porttiin. Toinen on identiteetti: hyväksyykö tiedostopalvelin sen, mitä säilö esittää, niillä käyttöoikeuksilla, joita työkuorma tarvitsee.

Niiden käsitteleminen yhtenä ongelmana tuottaa tutun silmukan, jossa palomuurisääntöjä laajennetaan korjaamaan se, mikä todellisuudessa on jaetulta kansiolta tullut käytön evätty -vastaus.

Seuraa säilön omaa pyyntöä

Windows-säilöjen verkkoa hallinnoi Host Networking Service, joka luo päätepisteitä omalla verkkonimiavaruudellaan. Valitsemasi tila ratkaisee, käännetäänkö päätepiste, sillataanko se vai liitetäänkö se isännän kanssa jaettuun verkkoon. Tämä päätös muuttaa kahta asiaa kerralla: mitä säilö voi selvittää ja minkä lähdeosoitteen tiedostopalvelin näkee.

Vahvista, mitä säilö itse havaitsee, ennen kuin muutat mitään. Nimi, joka selvitetään ulkona, voi epäonnistua sisällä, koska säilön DNS-määritys ei ole isännän määritys, ja käännetty päätepiste voi esittää lähteen, jota tiedostopalvelimen säännöt eivät odota.

docker exec -it app powershell -Command "Resolve-DnsName files.corp.example"
docker exec -it app powershell -Command "Test-NetConnection files.corp.example -Port 445"
docker exec -it app powershell -Command "Get-NetIPConfiguration"

Jos selvitys epäonnistuu, korjaa DNS verkkomäärityksessä sen sijaan, että korvaat osoitteen. Nimen korvaaminen IP:llä voi muuttaa todennuksen ja palvelimen identiteetin käyttäytymistä, mikä tekee yhdestä ongelmasta kaksi. VPN-asiakkaan oma käytäntö on seuraava tarkistettava asia, koska se voi kohdella isännän prosesseja ja säilöstä lähtevää liikennettä eri tavoin.

Identiteetti on erillinen päätös

Interaktiivisen käyttäjän yhdistämä asemakirjain ei ole sovellusrajapinta. Se on olemassa yhdessä kirjautumisistunnossa, eikä säilöprosessi ole osa sitä. Käytä UNC-polkua ja anna työkuormalle identiteetti, jota käyttöönottomalli tukee. Jos toimialue tukee sitä, ryhmän hallitsema palvelutili (gMSA) tarjoaa hallitun identiteetin tunnistetietomäärityksen kautta.

Microsoftin säilöjen gMSA-opas kuvaa tämän tunnistetietomääritysjärjestelyn ja sen edellytykset, joihin kuuluvat toimialueen jäsenyys ja isäntä, joka pystyy hakemaan tunnistetiedon. Tilin, haun, säilön sisäisen prosessi-identiteetin ja jaetun kansion käyttöoikeuksien on kaikkien sovittava yhteen. VPN-kirjautuminen ei ole tuo identiteetti, ja salasanan leipominen levykuvaan isännän käyttäjän istunnon toistamiseksi luo pysyvän altistuksen.

Pidä epäonnistuva vaihe näkyvissä

Selvityksen epäonnistuminen, yhteyden hylkääminen ja käytön kieltäminen tarvitsevat eri todisteet. Ne ovat vastaavasti DNS-kysymys, reititys- tai suodatuskysymys ja todennus- tai käyttöoikeuskysymys. Lue vastaus, jonka säilö sai, älä sovelluksen yleistä virhettä.

Testaa työkuorman omalla identiteetillä ja testaa myös kieltäminen.

Suunnittele uudelleenyhdistäminen

VPN-reitit katkeavat. Kun tunneli palaa, päätepiste voi palata eri käännetyllä osoitteella, ja olemassa oleva SMB-istunto voi olla kuollut sovelluksen huomaamatta. Käsittele se sovelluksessa: palauta reitti ja identiteetti, yritä toimintoa uudelleen ja täsmäytä tiedostotoiminto tuntemattomalla tuloksella sen sijaan, että olettaisit, ettei mitään tapahtunut.

Kirjaa verkkotila, DNS-lähde ja identiteettijärjestely käyttöönoton muistiinpanoihin. Juuri nämä kolme tosiasiaa ovat seuraavan epäonnistumisen aihe.