Aċċess UNC fil-kontenituri Windows: l-ewwel l-isem, imbagħad l-identità

Kontenitur Windows li jeħtieġ konnessjoni maqsuma fuq in-naħa l-oħra tal-mina tiegħek ifalli b'żewġ modi indipendenti, u l-Explorer tal-host ma jipprova l-ebda waħda minnhom. Il-kontenitur għandu l-punt tat-tmiem tan-netwerk tiegħu u l-identità tal-proċess tiegħu. Isem li jiġi riżolt fuq id-desktop u sessjoni li l-file server jaċċetta hemmhekk jiddeskrivu d-desktop, mhux ix-xogħol.

L-Explorer tal-host mhuwiex prova

Il-ftuħ tal-konnessjoni maqsuma fuq il-host juża l-klijent DNS tal-host, it-tabella tar-rotta tal-host u l-kont li bih il-host huwa illoggjat. Proċess tal-kontenitur ma jirtix xejn minn dan b'mod impliċitu, anke meta l-kontenitur jaħdem fuq l-istess magna u l-klijent VPN jaħdem hemm ukoll. L-ewwel fruntiera hija t-triq tan-netwerk: il-kontenitur jista' jirriżolvi l-isem, u jista' jiftaħ sessjoni TCP għall-port SMB. It-tieni hija l-identità: il-file server jaċċetta dak li jippreżenta l-kontenitur, bil-permessi li jeħtieġ ix-xogħol.

Li jitqiesu bħala problema waħda jipproduċi ċ-ċirku magħruf li jwessa' r-regoli tal-firewall biex jissewwa dak li fil-verità huwa tweġiba ta' aċċess miċħud mill-konnessjoni maqsuma.

Segwi t-talba tal-kontenitur stess

In-netwerk tal-kontenituri Windows huwa amministrat mill-Host Networking Service, li joħloq punti tat-tmiem b'ispazju tal-ismijiet tan-netwerk tagħhom. Il-modalità li għażilt tiddetermina jekk il-punt tat-tmiem huwiex tradott, imwaqqaf fuq pont, jew imqabbad ma' netwerk maqsum mal-host. Dan id-deċiżjoni tbiddel żewġ affarijiet f'daqqa: x'jista' jirriżolvi l-kontenitur, u liema indirizz tas-sors jara l-file server.

Ikkonferma x'josserva l-kontenitur stess qabel ma tbiddel xejn. Isem li jiġi riżolt barra jista' jfalli ġewwa, għax il-konfigurazzjoni DNS tal-kontenitur mhijiex tal-host, u punt tat-tmiem tradott jista' jippreżenta sors li r-regoli tal-file server ma jistennewx.

docker exec -it app powershell -Command "Resolve-DnsName files.corp.example"
docker exec -it app powershell -Command "Test-NetConnection files.corp.example -Port 445"
docker exec -it app powershell -Command "Get-NetIPConfiguration"

Jekk ir-riżoluzzjoni tfalli, sewwi d-DNS fil-konfigurazzjoni tan-netwerk minflok ma tissostitwixxi indirizz. Is-sostituzzjoni tal-isem b'IP tista' tbiddel l-imġiba tal-awtentikazzjoni u tal-identità tas-server, li tbiddel problema waħda f'żewġ problemi. Il-politika tal-klijent VPN innifsu hija l-ħaġa li jmiss li għandha tiġi ċċekkjata, għax tista' tittratta b'mod differenti l-proċessi tal-host u t-traffiku li joħroġ mill-kontenitur.

L-identità hija deċiżjoni separata

Ittra tad-diska mappata minn utent interattiv mhijiex interface tal-applikazzjoni. Hija teżisti f'sessjoni waħda tal-login, u proċess tal-kontenitur mhuwiex parti minnha. Uża t-triq UNC u agħti lix-xogħol identità li l-mudell tal-varar jappoġġa. Fejn id-dominju jappoġġaha, kont tas-servizz amministrat mill-grupp (gMSA) jipprovdi identità amministrata permezz ta' speċifikazzjoni tal-kredenzjali.

Il-gwida gMSA għall-kontenituri ta' Microsoft tiddeskrivi dak l-arranġament tal-ispeċifikazzjoni tal-kredenzjali u l-prerekwiżiti tiegħu, li jinkludu sħubija fid-dominju u host li jista' jirkupra l-kredenzjali. Il-kont, il-ġbir, l-identità tal-proċess ġewwa l-kontenitur u l-permessi tal-konnessjoni maqsuma kollha jridu jaqblu. Login VPN mhuwiex dik l-identità, u l-inklużjoni ta' password f'immaġni biex tiġi riprodotta s-sessjoni tal-utent tal-host toħloq espożizzjoni permanenti.

Żomm il-fażi li qed tfalli viżibbli

Falliment fir-riżoluzzjoni, rifjut tal-konnessjoni u ċaħda tal-aċċess jeħtieġu provi differenti. Huma rispettivament mistoqsija DNS, mistoqsija tat-tqassim tar-rotot jew tal-filtrazzjoni, u mistoqsija tal-awtentikazzjoni jew tal-permessi. Aqra t-tweġiba li rċieva l-kontenitur minflok l-iżball ġeneriku tal-applikazzjoni.

Ittestja bl-identità tax-xogħol stess u ittestja wkoll ċaħda.

Ippjana għall-konnessjoni mill-ġdid

It-toroq tal-VPN jaqgħu. Meta l-mina tirritorna, punt tat-tmiem jista' jerġa' jiġi b'indirizz tradott differenti, u sessjoni SMB eżistenti tista' tkun mejta mingħajr l-applikazzjoni ma tinduna. Immaniġġja dan fl-applikazzjoni: erġa' stabbilixxi t-triq u l-identità, ipprova mill-ġdid l-operazzjoni, u rrikonċilja operazzjoni tal-fajl b'riżultat mhux magħruf minflok ma tassumi li ma ġara xejn.

Irreġistra l-modalità tan-netwerk, is-sors tad-DNS u l-arranġament tal-identità fin-noti tal-varar. Dawn it-tliet fatti se jkunu s-suġġett tal-falliment li jmiss.