Windows контейнерлериндеги UNC жетүү: адегенде ат, анан инсандык

Туннелиңиздин аркы тарабындагы бөлүшүлгөн папканы талап кылган Windows контейнери эки көз карандысыз жол менен ийгиликсиз болот, ал эми хосттун Explorer программасы алардын эч бирин далилдебейт. Контейнердин өзүнүн тармактык акыркы чекити жана өзүнүн процесс инсандыгы бар. Иш тактасында чечилген ат жана файл сервери ошол жерде кабыл алган сессия иш тактасын сүрөттөйт, жумуш жүгүн эмес.

Хосттун Explorer программасы далил эмес

Хосттогу бөлүшүлгөн папканы ачуу хосттун DNS кардарын, хосттун маршруттоо таблицасын жана хостко кирген эсепти колдонулат. Контейнердин процесси булардын эч бирин жашыруун мураска албайт, контейнер ошол эле машинада иштеп, VPN кардары да ошол жерде иштесе да. Биринчи чек тармак жолу: контейнер атты чече алабы жана SMB портуна TCP сессиясын ача алабы. Экинчиси инсандык: файл сервери контейнер сунуш кылганды жумуш жүгүнө керектүү уруксаттар менен кабыл алабы.

Аларды бир маселе катары кароо — чындыгында бөлүшүлгөн папкадан келген жетүүгө тыюу салынды деген жоопту оңдоо үчүн брандмауэр эрежелерин кеңейтүүнүн тааныш циклин жаратат.

Контейнердин өзүнүн сурамын ээрчиңиз

Windows контейнерлеринин тармагын Host Networking Service башкарат, ал өзүнүн тармактык аттар мейкиндиги бар акыркы чекиттерди түзөт. Сиз тандаган режим акыркы чекиттин которуларын, көпүрөлөнөрүн же хост менен бөлүштүрүлгөн тармакка туташарын аныктайт. Бул чечим бир убакта эки нерсени өзгөртөт: контейнер эмнени чече алаарын жана файл сервери кайсы баштапкы даректи көрөрүн.

Бир нерсени өзгөртүүдөн мурун контейнердин өзү эмнени байкаарын тастыктаңыз. Сыртта чечилген ат ичинде ийгиликсиз болушу мүмкүн, анткени контейнердин DNS конфигурациясы хосттуку эмес, ал эми которулган акыркы чекит файл сервердин эрежелери күтпөгөн башка башатты сунушташы мүмкүн.

docker exec -it app powershell -Command "Resolve-DnsName files.corp.example"
docker exec -it app powershell -Command "Test-NetConnection files.corp.example -Port 445"
docker exec -it app powershell -Command "Get-NetIPConfiguration"

Эгер чечүү ийгиликсиз болсо, даректи алмаштыруунун ордуна тармак конфигурациясындагы DNSди оңдоңуз. Атты IP менен алмаштыруу аутентификациянын жана сервер инсандыгынын жүрүм-турумун өзгөртүшү мүмкүн, бул бир маселени экиге айландырат. VPN кардарынын өз саясаты — кийинки текшерилүүчү нерсе, анткени ал хосттун процесстерине жана контейнерден чыккан трафикке башкача мамиле кылышы мүмкүн.

Инсандык — өзүнчө чечим

Интерактивдүү колдонуучу байлаган диск тамгасы колдонмо интерфейси эмес. Ал бир кирүү сессиясында жашайт, ал эми контейнердин процесси анын бөлүгү эмес. UNC жолун колдонуңуз жана жумуш жүгүнө жайгаштыруу модели колдогон инсандыкты бериңиз. Домен колдогон жерлерде топтук башкарылуучу кызмат эсеби (gMSA) эсептик маалымат спецификациясы аркылуу башкарылуучу инсандыкты берет.

Microsoftтин контейнерлер үчүн gMSA колдонмосу ошол эсептик маалымат спецификациясынын түзүлүшүн жана анын шарттарын сүрөттөйт, аларга домен мүчөлүгү жана эсептик маалыматты ала алган хост кирет. Эсеп, алуу, контейнердин ичиндеги процесс инсандыгы жана бөлүшүү уруксаттары — баары шайкеш келиши керек. VPN аркылуу кирүү — ал инсандык эмес, ал эми хост колдонуучусунун сессиясын кайталоо үчүн сүрөткө сырсөздү күйгүзүү туруктуу ачык калууну жаратат.

Ийгиликсиз болгон баскычты көрүнүктүү кармаңыз

Чечүүнүн ийгиликсиздиги, туташуудан баш тартуу жана жетүүдөн баш тартуу ар кандай далилдерди талап кылат. Алар тиешелүүлүгүнө жараша DNS суроосу, маршруттоо же чыпкалоо суроосу жана аутентификация же уруксат суроосу. Колдонмонун жалпы катасын эмес, контейнер алган жоопту окуңуз.

Жумуш жүгүнүн өз инсандыгы менен сынаңыз жана баш тартууну да сынаңыз.

Кайра туташууну пландаңыз

VPN жолдору үзүлөт. Туннель кайтып келгенде, акыркы чекит башка которулган дарек менен кайтышы мүмкүн, ал эми учурдагы SMB сессиясы колдонмо байкабастан өлүк болушу мүмкүн. Муну колдонмодо иштетиңиз: жолду жана инсандыкты кайра орнотуңуз, операцияны кайталап көрүңүз жана эч нерсе болгон жок деп божомолдоонун ордуна натыйжасы белгисиз файлдык операцияны шайкештештириңиз.

Тармак режимин, DNS булагын жана инсандык түзүлүшүн жайгаштыруу жазууларына жазыңыз. Кийинки ийгиликсиздик так ушул үч факты жөнүндө болот.