Ядро Windows Server в Docker, брандмауэр
В настоящее время я работаю над проектом, в котором мне нужно докеризовать приложение, которое должно работать в Windows. Это приложение, которое можно установить и настроить через командную строку. В конце концов, вопрос применим к любому приложению.
Платформа, которую я выбрал, конечно же, Windows. Поэтому для начала я выбрал базовый образ mcr.microsoft.com/windows/servercore:1803.
После установки моему приложению потребуется добавить правило в брандмауэр. Поэтому я решил проверить, могу ли я управлять брандмауэром внутри контейнера. Получился очень проблемный опыт.
Что я сделал до сих пор.
FROM mcr.microsoft.com/windows/servercore:1803
# Add user
RUN net user /add MyUser
RUN net user MyUser ABCdef123!
RUN net localgroup "Administrators" MyUser /add
После этого я проверил, могу ли я увидеть правила FW, позвонив в Get-NetFirewallRule. Это привело к ошибке:
Get-NetFirewallRule : There are no more endpoints available from the endpoint mapper.
At line:1 char:1
+ Get-NetFirewallRule
+ ~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : NotSpecified: (MSFT_NetFirewallRule:root/standardcimv2/MSFT_NetFirewallRule) [Get-NetFirewallRule], CimException
+ FullyQualifiedErrorId : Windows System Error 1753,Get-NetFirewallRule
Я проверил службы, которые работают в настоящее время, позвонив Get-Service, что привело к списку служб, содержащих эту строку: Stopped mpssvc Windows Defender Firewall. Похоже, FW даже не запускается.
Я решил копнуть глубже и проверить реестр в поисках подсказок. Вызов этого cmd REG QUERY HKLM\SYSTEM\CurrentControlSet\services\MpsSvc /v Start дал мне значение 4, которое отключено. Поэтому я попытался включить его, установив для него значение 2, но мне не удалось запустить службу после:
REG ADD HKLM\SYSTEM\CurrentControlSet\services\MpsSvc /v Start /t REG_DWORD /d 2 /f
net start MpsSvc
Результат:
System error 1058 has occurred.
The service cannot be started, either because it is disabled or because it has no enabled devices associated with it.
Зависимые от FW службы работают нормально (BFE, RDC и т. д.) Это просто не начнется.
Есть подсказки от светлых умов? Заранее спасибо!
Ответы 1
Предполагая, что вы используете контейнер Windows Server, а не контейнер Hyper-V, у вас есть общее ядро, поэтому используйте брандмауэр хоста.
От Сетевая изоляция и безопасность:
Depending on which container and network driver is used, port ACLs are enforced by a combination of the Windows Firewall and VFP.
Windows Server containers
These use the Windows hosts' firewall (enlightened with network namespaces) as well as VFP
Default Outbound: ALLOW ALL
Default Inbound: ALLOW ALL (TCP, UDP, ICMP, IGMP) unsolicited network traffic
DENY ALL other network traffic not from these protocols
Контейнер Windows Server по умолчанию. У вас есть контейнер Hyper-V, если вы создали его с помощью --isolation=hyperv
Приложение, которое я собираюсь поместить в контейнер, требует разрешения FW при первом запуске. Это всплывающее диалоговое окно, в котором вы подтверждаете разрешение. Я немного сомневаюсь в реальном поведении, когда приложение будет работать в контейнере. Поскольку FW, как вы говорите, в некотором роде унаследован от хоста, то как бы это правило было запрошено / добавлено? Графического интерфейса для подтверждения нет, поэтому я поставил на то, чтобы определить его заранее. Представьте, что нет никакого контроля над микропрограммой хоста, тогда как бы можно было настроить микропрограмму для такого приложения ..?
Брандмауэр не настроен приложением. Вы должны настроить его на хосте. Эти всплывающие окна помогают упростить настройку и не работают внутри контейнеров.
Спасибо за предложение. Я новичок во всей этой изоляции и контейнерах. Как я могу проверить, использую ли я контейнер Hyper-v или Windows Server?