UNC-tagong yn Windows-containers: earst de namme, dan de identiteit

In Windows-container dy't in dielde map nedich hat oan 'e oare kant fan jo tunnel, falt op twa ûnôfhinklike manieren út, en de Explorer fan 'e host bewiist gjinien fan beide. De container hat syn eigen netwurkeinpunt en syn eigen prosesidentiteit. In namme dy't op it buroblêd oplost en in sesje dy't de triemtsjinner dêr akseptearret, beskriuwe it buroblêd, net de wurklast.

De Explorer fan 'e host is gjin bewiis

It iepenjen fan 'e dielde map op 'e host brûkt de DNS-klant fan 'e host, de routingstabel fan 'e host en it account dêr't de host mei oanmeld is. In containerproses erft dêr neat fan ymplisyt, sels as de container op deselde masine rint en de VPN-klant dêr ek rint. De earste grins is it netwurkpaad: kin de container de namme oplosse, en kin er in TCP-sesje nei de SMB-poarte iepenje. De twadde is identiteit: akseptearret de triemtsjinner wat de container presintearret, mei de rjochten dy't de wurklast nedich hat.

As jo se as ien probleem behannelje, ûntstiet de bekende lus wêrby't firewallregels ferbrede wurde om te reparearjen wat eins in antwurd fan wegere tagong fan 'e dielde map is.

Folgje it eigen fersyk fan 'e container

Netwurkjen fan Windows-containers wurdt beheard troch de Host Networking Service, dy't einpunten makket mei har eigen netwurknammeromte. De modus dy't jo keazen hawwe, beslút oft it einpunt oerset, oerbrêge of oan in netwurk ferbûn wurdt dat mei de host dield wurdt. Dat beslút feroaret twa dingen tagelyk: wat de container oplosse kin, en hokker boarneadres de triemtsjinner sjocht.

Befêstigje wat de container sels waarnimt foar't jo wat feroarje. In namme dy't bûten oplost, kin binnen mislearje, om't de DNS-konfiguraasje fan 'e container net dy fan 'e host is, en in oerset einpunt kin in boarne presintearje dy't de regels fan 'e triemtsjinner net ferwachtsje.

docker exec -it app powershell -Command "Resolve-DnsName files.corp.example"
docker exec -it app powershell -Command "Test-NetConnection files.corp.example -Port 445"
docker exec -it app powershell -Command "Get-NetIPConfiguration"

As de oplossing mislearret, reparearje dan DNS yn 'e netwurkkonfiguraasje ynstee fan in adres te ferfangen. It ferfangen fan 'e namme troch in IP kin it gedrach fan autentikaasje en tsjinneridentiteit feroarje, wat ien probleem twa makket. It eigen belied fan 'e VPN-klant is it folgjende dat jo besjen moatte, om't it hostprosessen en ferkear dat út 'e container komt oars behannelje kin.

Identiteit is in apart beslút

In skivelletter dy't troch in ynteraktive brûker ferbûn is, is gjin applikaasje-ynterface. Hy bestiet yn ien oanmeldingssesje, en in containerproses is dêr gjin part fan. Brûk it UNC-paad en jou de wurklast in identiteit dy't it útrôlmodel stipet. Dêr't it domein it stipet, leveret in groepsbeheard serviceaccount (gMSA) in behearde identiteit fia in spesifikaasje fan referinsjes.

De gMSA-gids foar containers fan Microsoft beskriuwt dy opstelling mei spesifikaasje fan referinsjes en de betingsten dêrfan, wêrûnder domeinlidmaatskip en in host dy't de referinsje helje kin. It account, it heljen, de prosesidentiteit yn 'e container en de rjochten op 'e dielde map moatte allegear kloppe. In VPN-oanmelding is dy identiteit net, en in wachtwurd yn in image bakke om de sesje fan 'e hostbrûker nei te meitsjen, makket in bliuwende bleatstelling.

Hâld de mislearjende faze sichtber

In mislearre oplossing, in wegere ferbining en in wegere tagong hawwe ferskillend bewiis nedich. It binne efterinoar in DNS-fraach, in routing- of filterfraach, en in autentikaasje- of rjochtenfraach. Lês it antwurd dat de container kriget, ynstee fan 'e algemiene flater fan 'e applikaasje.

Test mei de eigen identiteit fan 'e wurklast en test ek in wegering.

Plan foar it opnij ferbinen

VPN-paden falle fuort. As de tunnel weromkomt, kin in einpunt weromkomme mei in oar oerset adres, en in besteande SMB-sesje kin dea wêze sûnder dat de applikaasje it merkt. Behannelje dat yn 'e applikaasje: meitsje it paad en de identiteit opnij, besykje de operaasje opnij en ferienigje in triemoperaasje mei in ûnbekend resultaat ynstee fan oan te nimmen dat der neat barde.

Skriuw de netwurkmode, de DNS-boarne en de identiteitsopstelling yn 'e útrôlnottys. Krekt dy trije feiten sille it ûnderwerp fan 'e folgjende flater wêze.