UNC-Zougrëff a Windows-Containeren: als éischt den Numm, duerno d'Identitéit

E Windows-Container, deen eng Freigabe op der anerer Säit vun Ärem Tunnel brauch, schléit op zwou onofhängege Weeër fehl, an den Explorer vum Host beweist keng vun deenen zwou. Den Container huet säin eegenen Netzwierkendpunkt a seng eege Prozessidentitéit. En Numm, deen um Desktop opgeléist gëtt, an eng Sessioun, déi de Fichierserver do unhëlt, beschreiwen den Desktop, net d'Aarbechtslaascht.

Den Explorer vum Host ass kee Beweis

D'Opmaache vun der Freigabe um Host benotzt den DNS-Client vum Host, d'Routingtabell vum Host an de Kont, mat deem um Host ageloggt ass. E Containerprozess ierft näischt dovu mat, och wann den Container op der selwechter Maschinn leeft an den VPN-Client och do leeft. Déi éischt Grenz ass den Netzwierkwee: kann den Container den Numm opléisen, a kann en eng TCP-Sessioun op den SMB-Port opmaachen. Déi zweet ass d'Identitéit: hëlt de Fichierserver un, wat den Container virweist, mat de Rechter déi d'Aarbechtslaascht brauch.

Se als ee Problem ze behandelen ergëtt déi bekannt Schläif, d'Firewallregelen méi breet ze maachen, fir dat ze flécken, wat tatsächlech eng Äntwert iwwert verweigerten Zougrëff vun der Freigabe ass.

Follegt d'Ufro vum Container selwer

D'Netzwierk vu Windows-Containeren gëtt vum Host Networking Service geréiert, deen Endpunkten mat hirem eegenen Netzwierknammraum schaaft. Dee gewielte Modus entscheet, ob den Endpunkt iwwersat, iwwerbréckt oder un en Netzwierk ugeschloss gëtt, dat mam Host gedeelt gëtt. Dës Entscheedung ännert zwee Saachen zur selwechter Zäit: wat den Container opléise kann, a wéi eng Quelladress de Fichierserver gesäit.

Bestätegt, wat den Container selwer observéiert, ier Dir eppes ännert. En Numm, deen dobaussen opgeléist gëtt, kann dobannen duerchfallen, well dem Container seng DNS-Konfiguratioun net déi vum Host ass, an en iwwersaten Endpunkt kann eng Quell virweiseen, déi d'Regelen vum Fichierserver net erwaarden.

docker exec -it app powershell -Command "Resolve-DnsName files.corp.example"
docker exec -it app powershell -Command "Test-NetConnection files.corp.example -Port 445"
docker exec -it app powershell -Command "Get-NetIPConfiguration"

Wann d'Opléisung duerchfält, fléckt DNS an der Netzwierkkonfiguratioun, amplaz eng Adress z'ersetzen. Den Numm duerch eng IP z'ersetzen kann d'Verhalen vun Authentifikatioun a Serveridentitéit änneren, wat aus engem Problem zwee mécht. Dem VPN-Client seng eegen Politik ass dat nächst, wat ee kucke sollt, well se Hostprozesser an Verkéier, deen aus dem Container kënnt, verschidde behandle kann.

Identitéit ass eng eegen Entscheedung

E Laufwierksbuschtawe, deen en interaktiven Benotzer mappt, ass keng Applikatiounsschnittstell. Hie existéiert an enger eenzeger Login-Sessioun, an e Containerprozess ass net Deel dovu. Benotzt den UNC-Wee a gitt der Aarbechtslaascht eng Identitéit, déi dem Deploymodell seng Ënnerstëtzung huet. Wou d'Domain et ënnerstëtzt, bitt e gruppegéréierte Servicekont (gMSA) eng geréiert Identitéit iwwert eng Spezifikatioun vu Referenzen.

Dem Microsoft seng gMSA-Leitfad fir Containeren beschreift dës Opstellung vun der Spezifikatioun vu Referenzen an hir Viraussetzungen, dorënner d'Memberschaft an der Domain an en Host, deen d'Referenz ka sichen. De Kont, d'Sichen, d'Prozessidentitéit am Container an d'Rechter op der Freigabe musse alleguer zesummenpassen. Eng VPN-Umeldung ass déi Identitéit net, an e Passwuert an en Image ze baken, fir d'Sessioun vum Hostbenotzer nozebauen, schaaft eng dauerhaft Expositioun.

Hält d'feelschlagend Etapp sichtbar

Eng feelgeschlo Opléisung, eng verweigert Verbindung an en verweigerten Zougrëff brauche verschidde Beweiser. Et sinn der Rei no eng DNS-Fro, eng Routing- oder Filterfro an eng Authentifikatiouns- oder Rechterfro. Liest d'Äntwert, déi den Container kritt huet, amplaz de generelle Fehler vun der Applikatioun.

Test mat der Aarbechtslaascht hirer eegener Identitéit an test och eng Verweigerung.

Plangt d'Neiverbindung an

VPN-Weeër fale fort. Wann den Tunnel zeréckkënnt, kann en Endpunkt mat enger anerer iwwersater Adress zeréckkommen, an eng bestoend SMB-Sessioun kann dout sinn, ouni datt d'Applikatioun et mierkt. Behandelt dat an der Applikatioun: stellt de Wee an d'Identitéit erëm hier, probéiert d'Operatioun nach emol a gläicht eng Fichiersoperatioun mat onbekanntem Resultat of, amplaz unzehuelen, et wier näischt geschitt.

Notéiert den Netzwierkmodus, d'DNS-Quell an d'Identitéitsopstellung an den Deploynotizen. Genau déi dräi Fakten wäerten d'Theme vum nächste Fehler sinn.