UNC-aðgangur í Windows-gáma: fyrst nafnið, svo auðkennið

Windows-gámur sem þarf sameiginlega möppu hinum megin við göngin þín mistekst á tvo óháða vegu, og Explorer hýsilsins sannar hvorugan. Gámurinn hefur sinn eigin netendapunkt og sína eigin ferlisauðkenni. Nafn sem leysist á skjáborðinu og seta sem skráþjónninn samþykkir þar lýsa skjáborðinu, ekki vinnuálaginu.

Explorer hýsilsins er ekki sönnun

Að opna sameiginlegu möppuna á hýsilnum notar DNS-biðlara hýsilsins, leiðartöflu hýsilsins og reikninginn sem skráður er inn á hýsilnum. Gámaferli erfir ekkert af þessu óbeint, jafnvel þegar gámurinn keyrir á sömu vél og VPN-biðlarinn keyrir þar líka. Fyrstu mörkin eru netleiðin: getur gámurinn leyst nafnið, og getur hann opnað TCP-setu að SMB-portinu. Þau seinni eru auðkennið: samþykkir skráþjónninn það sem gámurinn leggur fram, með þeim heimildum sem vinnuálagið þarf.

Meðferð þeirra sem eins vandamáls framkallar hina þekktu lykkju að víkka eldveggsreglur til að laga það sem er í raun svar um synjaðan aðgang frá sameiginlegu möppunni.

Fylgdu beiðni gámsins sjálfs

Netkerfi Windows-gáma er stýrt af Host Networking Service, sem býr til endapunkta með eigin nafnrými netsins. Stillingin sem þú valdir ræður því hvort endapunkturinn er þýddur, brúaður eða tengdur neti sem deilt er með hýsilnum. Þessi ákvörðun breytir tveimur hlutum í einu: hvað gámurinn getur leyst og hvaða upprunavistfang skráþjónninn sér.

Staðfestu hvað gámurinn sjálfur verður var við áður en þú breytir einhverju. Nafn sem leysist úti getur mistekist inni, því DNS-stilling gámsins er ekki stilling hýsilsins, og þýddur endapunktur getur lagt fram uppruna sem reglur skráþjónsins búast ekki við.

docker exec -it app powershell -Command "Resolve-DnsName files.corp.example"
docker exec -it app powershell -Command "Test-NetConnection files.corp.example -Port 445"
docker exec -it app powershell -Command "Get-NetIPConfiguration"

Ef leysing mistekst skaltu laga DNS í netstillingunni í stað þess að skipta út vistfangi. Að skipta nafninu út fyrir IP getur breytt hegðun auðkenningar og auðkennis þjónsins, sem gerir eitt vandamál að tveimur. Stefnur VPN-biðlarans sjálfs er það næsta sem á að athuga, því hann getur meðhöndlað ferli hýsilsins og umferð sem kemur frá gámnum á annan hátt.

Auðkenni er sérstök ákvörðun

Drifstafur sem gagnvirkur notandi tengir er ekki forritaskil. Hann er til í einni innskráningarsetu, og gámaferli er ekki hluti hennar. Notaðu UNC-slóðina og gefðu vinnuálaginu auðkenni sem dreifingarlíkanið styður. Þar sem lénin styðja það veitir hópsstýrður þjónustureikningur (gMSA) stýrt auðkenni í gegnum forskrift skilríkja.

gMSA-leiðarvísir Microsoft fyrir gáma lýsir þessari forskriftarskipan skilríkja og forsendum hennar, þar á meðal lénsaðild og hýsil sem getur sótt skilríkið. Reikningurinn, sóknin, ferlisauðkennið inni í gámnum og heimildir sameiginlegu möppunnar verða öll að stemma. VPN-innskráning er ekki þetta auðkenni, og að baka lykilorð inn í mynd til að endurskapa setu hýsilnotandans skapar varanlega áhættu.

Haltu misteknu stiginu sýnilegu

Leysingarmistök, hafnað tenging og synjaður aðgangur þurfa ólíkar sannanir. Þau eru í sömu röð DNS-spurning, leiðar- eða síuspurning og auðkenningar- eða heimildaspurning. Lestu svarið sem gámurinn fékk í stað almennrar villu forritsins.

Prófaðu með eigin auðkenni vinnuálagsins og prófaðu líka synjun.

Skipuleggðu endurtengingu

VPN-leiðir detta út. Þegar göngin koma aftur getur endapunktur komið aftur með öðru þýddu vistfangi, og núverandi SMB-seta getur verið dauð án þess að forritið taki eftir því. Meðhöndlaðu það í forritinu: endurreistu leiðina og auðkennið, reyndu aðgerðina aftur og samræmdu skráaaðgerð með óþekktri niðurstöðu í stað þess að gera ráð fyrir að ekkert hafi gerst.

Skráðu netstillinguna, DNS-uppruna og auðkennisskipanina í dreifingarnóturnar. Einmitt þessar þrjár staðreyndir verða efni næstu mistaka.