UNC-წვდომა Windows-კონტეინერებში: ჯერ სახელი, შემდეგ იდენტობა

Windows-კონტეინერი, რომელსაც სჭირდება გაზიარებული საქაღალდე თქვენი გვირაბის მეორე მხარეს, ორი დამოუკიდებელი გზით ვარდება, და ჰოსტის Explorer არც ერთს არ ამტკიცებს. კონტეინერს აქვს საკუთარი ქსელური ბოლო წერტილი და საკუთარი პროცესის იდენტობა. სახელი, რომელიც სამუშაო მაგიდაზე გარდაიქმნება, და სესია, რომელსაც იქ ფაილური სერვერი იღებს, აღწერს სამუშაო მაგიდას და არა დატვირთვას.

ჰოსტის Explorer მტკიცებულება არ არის

ჰოსტზე გაზიარებული საქაღალდის გახსნა იყენებს ჰოსტის DNS კლიენტს, ჰოსტის მარშრუტიზაციის ცხრილს და ჰოსტზე შესული ანგარიშს. კონტეინერის პროცესი ამათგან არაფერს იმკვიდრებს ნაგულისხმევად, მაშინაც კი, როცა კონტეინერი იმავე მანქანაზე მუშაობს და VPN კლიენტიც იქ მუშაობს. პირველი საზღვარი ქსელური გზაა: შეუძლია კონტეინერს სახელის გარჩევა და შეუძლია TCP სესიის გახსნა SMB პორტთან. მეორე იდენტობაა: იღებს ფაილური სერვერი იმას, რასაც კონტეინერი წარმოადგენს, იმ ნებართვებით, რაც დატვირთვას სჭირდება.

მათი ერთ პრობლემად მიჩნევა წარმოშობს ნაცნობ ციკლს, როცა ბრენდმაურის წესებს აფართოებენ იმის გამოსასწორებლად, რაც სინამდვილეში გაზიარებული საქაღალდიდან მიღებული წვდომის უარყოფის პასუხია.

მიჰყევით თავად კონტეინერის მოთხოვნას

Windows-კონტეინერების ქსელს მართავს Host Networking Service, რომელიც ქმნის ბოლო წერტილებს საკუთარი ქსელური სახელთა სივრცით. თქვენ მიერ არჩეული რეჟიმი განსაზღვრავს, გარდაიქმნება ბოლო წერტილი, ხიდდება თუ უერთდება ჰოსტთან გაზიარებულ ქსელს. ეს გადაწყვეტილება ორ რამეს ერთდროულად ცვლის: რისი გარჩევა შეუძლია კონტეინერს და რომელ წყარო მისამართს ხედავს ფაილური სერვერი.

სანამ რამეს შეცვლით, დაადასტურეთ, რას აკვირდება თავად კონტეინერი. გარეთ გარდაქმნილი სახელი შიგნით შეიძლება ჩავარდეს, რადგან კონტეინერის DNS კონფიგურაცია ჰოსტისა არ არის, და გარდაქმნილმა ბოლო წერტილმა შეიძლება წარმოადგინოს წყარო, რომელსაც ფაილური სერვერის წესები არ ელის.

docker exec -it app powershell -Command "Resolve-DnsName files.corp.example"
docker exec -it app powershell -Command "Test-NetConnection files.corp.example -Port 445"
docker exec -it app powershell -Command "Get-NetIPConfiguration"

თუ გარჩევა ვერ მოხდება, გაასწორეთ DNS ქსელურ კონფიგურაციაში და ნუ ჩაანაცვლებთ მისამართს. სახელის IP-ით ჩანაცვლებამ შეიძლება შეცვალოს ავთენტიფიკაციის და სერვერის იდენტობის ქცევა, რაც ერთ პრობლემას ორად აქცევს. VPN კლიენტის საკუთარი პოლიტიკა შემდეგი შესამოწმებელია, რადგან მან შეიძლება განსხვავებულად მოეპყრას ჰოსტის პროცესებს და კონტეინერიდან წამოსულ ტრაფიკს.

იდენტობა ცალკე გადაწყვეტილებაა

ინტერაქტიული მომხმარებლის მიერ მიბმული დისკის ასო აპლიკაციის ინტერფეისი არ არის. ის არსებობს ერთ შესვლის სესიაში, და კონტეინერის პროცესი მისი ნაწილი არ არის. გამოიყენეთ UNC გზა და მიეცით დატვირთვას იდენტობა, რომელსაც განლაგების მოდელი მხარს უჭერს. სადაც დომენი მხარს უჭერს, ჯგუფურად მართული სერვისის ანგარიში (gMSA) უზრუნველყოფს მართულ იდენტობას იდენტიფიკაციის მონაცემების სპეციფიკაციის მეშვეობით.

Microsoft-ის gMSA-ს გზამკვლევი კონტეინერებისთვის აღწერს იდენტიფიკაციის მონაცემების სპეციფიკაციის ამ წყობას და მის წინაპირობებს, მათ შორის დომენის წევრობას და ჰოსტს, რომელსაც შეუძლია მონაცემების მიღება. ანგარიში, მიღება, კონტეინერის შიგნით პროცესის იდენტობა და გაზიარების ნებართვები ყველა უნდა შეესაბამებოდეს. VPN შესვლა არ არის ეს იდენტობა, და სურათში პაროლის ჩაშენება ჰოსტის მომხმარებლის სესიის გასამეორებლად ქმნის მუდმივ ექსპოზიციას.

შეცდომის ეტაპი თვალსაჩინოდ შეინახეთ

გარჩევის ჩავარდნა, კავშირის უარყოფა და წვდომის უარყოფა სხვადასხვა მტკიცებულებას მოითხოვს. ესენია შესაბამისად DNS კითხვა, მარშრუტიზაციის ან ფილტრაციის კითხვა და ავთენტიფიკაციის ან ნებართვის კითხვა. წაიკითხეთ პასუხი, რომელიც კონტეინერმა მიიღო და არა აპლიკაციის ზოგადი შეცდომა.

გამოსცადეთ დატვირთვის საკუთარი იდენტობით და გამოსცადეთ უარყოფაც.

დაგეგმეთ ხელახლა დაკავშირება

VPN გზები წყდება. როცა გვირაბი ბრუნდება, ბოლო წერტილი შეიძლება დაბრუნდეს სხვა გარდაქმნილი მისამართით, და არსებული SMB სესია შეიძლება მკვდარი იყოს აპლიკაციის შეუმჩნევლად. მართეთ ეს აპლიკაციაში: აღადგინეთ გზა და იდენტობა, გაიმეორეთ ოპერაცია და შეათანხმეთ უცნობი შედეგის მქონე ფაილური ოპერაცია, ნაცვლად იმისა, რომ ჩათვალოთ, თითქოს არაფერი მოხდა.

ჩაწერეთ ქსელის რეჟიმი, DNS წყარო და იდენტობის წყობა განლაგების ჩანაწერებში. სწორედ ეს სამი ფაქტი იქნება შემდეგი ჩავარდნის თემა.