UNC-tilgang i Windows-behaldarar: namnet fyrst, identiteten etterpå

Ein Windows-behaldar som treng ei delt mappe på den andre sida av tunnelen din, feilar på to uavhengige måtar, og Utforskaren på verten provar ingen av dei. Behaldaren har sitt eige nettverksendepunkt og sin eigen prosessidentitet. Eit namn som blir løyst opp på skrivebordet, og ei økt som filtenaren godtek der, skildrar skrivebordet, ikkje arbeidslasta.

Utforskaren på verten er ikkje prov

Å opne den delte mappa på verten brukar DNS-klienten til verten, rutetabellen til verten og kontoen som er logga på verten. Ein behaldarprosess arvar ingenting av dette implisitt, sjølv når behaldaren køyrer på same maskin og VPN-klienten òg køyrer der. Den fyrste grensa er nettverksvegen: kan behaldaren løyse opp namnet, og kan han opne ei TCP-økt mot SMB-porten. Den andre er identitet: godtek filtenaren det behaldaren legg fram, med løyva arbeidslasta treng.

Å handsame dei som eitt problem gjev den kjende løkka der brannmurreglar blir utvida for å rette opp det som eigentleg er eit svar om nekta tilgang frå den delte mappa.

Følg førespurnaden til behaldaren sjølv

Nettverket for Windows-behaldarar blir styrt av Host Networking Service, som lagar endepunkt med sitt eige nettverksnamnerom. Modusen du valde avgjer om endepunktet blir omsett, brua eller knytt til eit nettverk som blir delt med verten. Den avgjerda endrar to ting samtidig: kva behaldaren kan løyse opp, og kva kjeldetadresse filtenaren ser.

Stadfest kva behaldaren sjølv observerer før du endrar noko. Eit namn som blir løyst opp utanfor, kan feile innanfor, fordi DNS-konfigurasjonen til behaldaren ikkje er verten sin, og eit omsett endepunkt kan leggje fram ei kjelde som reglane til filtenaren ikkje ventar.

docker exec -it app powershell -Command "Resolve-DnsName files.corp.example"
docker exec -it app powershell -Command "Test-NetConnection files.corp.example -Port 445"
docker exec -it app powershell -Command "Get-NetIPConfiguration"

Viss oppslaget feilar, rett opp DNS i nettverkskonfigurasjonen i staden for å byta ut ei adresse. Å byta ut namnet med ein IP kan endre åtferda til autentisering og tenaridentitet, noko som gjer eitt problem til to. Policyen til VPN-klienten sjølv er det neste du bør kontrollere, fordi han kan handsame vertsprosessar og trafikk som kjem frå behaldaren ulikt.

Identitet er ei eiga avgjerd

Ein stasjonsbokstav som ein interaktiv brukar tilordnar, er ikkje eit programgrensesnitt. Han finst i éi påloggingsøkt, og ein behaldarprosess er ikkje ein del av henne. Bruk UNC-stien og gje arbeidslasta ein identitet som distribusjonsmodellen støttar. Der domenet støttar det, gjev ein gruppestyrt tenestekonto (gMSA) ein administrert identitet gjennom ein legitimasjonsspesifikasjon.

Rettleiinga til Microsoft for behaldar-gMSA skildrar den legitimasjonsspesifikasjonsordninga og føresetnadene, som omfattar domenemedlemskap og ein vert som kan hente legitimasjonen. Kontoen, hentinga, prosessidentiteten inne i behaldaren og løyva på den delte mappa må alle stemme. Ei VPN-pålogging er ikkje den identiteten, og å baka inn eit passord i eit image for å gjenskape økta til vertsbrukaren skapar ei varig eksponering.

Hald det feilande trinnet synleg

Feila oppslag, avvist tilkobling og nekta tilgang treng ulike prov. Dei er høvesvis eit DNS-spørsmål, eit rutings- eller filtreringsspørsmål og eit autentiserings- eller løyvespørsmål. Les svaret behaldaren fekk, i staden for den generelle feilen til programmet.

Test med eigen identitet til arbeidslasta, og test òg ei nekting.

Planlegg for attilkoplinga

VPN-vegar fell ut. Når tunnelen kjem tilbake, kan eit endepunkt kome tilbake med ei anna omsett adresse, og ei eksisterande SMB-økt kan vere død utan at programmet merkar det. Handsame det i programmet: gjenopprett vegen og identiteten, prøv operasjonen på nytt, og avstem ein filoperasjon med ukjent resultat i staden for å gå ut frå at ingenting skjedde.

Noter nettverksmodusen, DNS-kjelda og identitetsordninga i distribusjonsnotata. Det er nettopp desse tre fakta den neste feilen vil handle om.