Windows Sandbox-verkeer volg nie by verstek die gasheer se VPN nie

Jy begin Windows Sandbox, maak ’n blaaier daarin oop, en die bladsy laai uit jou normale verbinding, al was die gasheer ’n minuut vantevore op die VPN. Niks is stukkend nie. Die sandbox kry ’n virtuele netwerkadapter wat aan die gasheer se verstek-skakelaar gekoppel is, en of die gasheer se tonnel daardie pad dek, is ’n eienskap van die VPN-kliënt, nie van Windows nie.

Wat die sandbox werklik kry

Die sandbox is ’n ligte virtuele masjien met sy eie netwerkadapter. Daardie adapter verbind deur die gasheer se Hyper-V-verstek-skakelaar, wat die sandbox se verkeer na die gasheer se virtuele Ethernet-koppelvlak vertaal voordat dit die masjien verlaat. Hierdie besonderheid verklaar byna elke simptoom wat mense hieroor rapporteer.

Die sandbox is dus nie ’n proses op jou lessenaar nie. Dit is ’n aparte netwerk-eindpunt wie se pakkies deur die gasheer deurgestuur word, en die gasheer se firewall en die VPN-kliënt sien elkeen daardie deursturing op sy eie manier. ’n Reël wat vir ’n blaaierproses geskryf is, pas nie outomaties op ’n vertaalde raam van ’n virtuele skakelaar nie.

Twee vereistes wat soos een lyk

Om ’n private hulpbron te bereik en om elke sandbox-versoek deur die tonnel te dwing, is verskillende doelwitte. Die eerste vereis ’n roete en naamresolusie wat vir die sandbox se eindpunt werk. Die tweede vereis afdwinging wat ’n herverbinding en ’n fout oorleef. Nie een volg uit die ander nie, en ’n toets wat die een bevredig, sê niks oor die tweede nie.

’n Toets van die publieke adres beantwoord nie een van die twee vrae ten volle nie. Om die VPN-uitgang van binne die sandbox te sien, wys dat sommige verkeer die tonnel gebruik het. Dit sê niks oor of private name opgelos word nie, of wat gebeur met ’n versoek wat begin terwyl die tonnel af is nie.

Skryf neer watter een jy nodig het voordat jy enigiets toets, want die twee vereistes lei tot verskillende ontwerpe en net een van hulle kan met ’n blaaier geverifieer word.

Kontroleer van binne die sandbox

Die enigste sinvolle waarneming kom uit die sandbox se eie sessie, nie van die gasheer nie. Maak PowerShell daar oop en kyk na die adapter, die naamresolusie en die pad na ’n dokumentasie-adres:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Die adapterlys wys die adres en gateway wat die sandbox gekry het. ’n Ander gateway as dié van die gasheer is normaal vir die verstek-skakelaar, so vergelyk die uitgang eerder as die gateway. Die resolusietoets wys of ’n private naam hoegenaamd beantwoord word, en dit is waar split-horizon-opstellings gewoonlik van die gasheer afwyk. Die roetelyn wys watter gateway volgens die sandbox die verstek besit.

Herhaal dieselfde drie toetse met die tonnel gekoppel en ontkoppel. ’n Uitslag wat nie tussen daardie toestande verander nie, is bewys dat die tonnel glad nie in die sandbox se pad is nie, watter adres die publieke toets ook al gewys het.

Skakel netwerkwerk uit wanneer die sandbox dit nie nodig het nie

Vir aflyn-inspeksie kan ’n pasgemaakte konfigurasielêer die netwerk heeltemal verwyder. Die instelling is ’n enkele element in die konfigurasiedokument:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Die sandbox-konfigurasieverwysing dokumenteer hierdie element en waarsku dat geaktiveerde netwerkwerk interne netwerke aan programme kan blootstel wat jy nie vertrou nie. Daardie waarskuwing is die hele rede om dit eksplisiet te stel eerder as om die verstek te aanvaar.

Die skakelaar kies egter nie ’n VPN-koppelvlak nie. Dit is ’n binêre beslissing oor of daar ’n netwerk is, nie ’n manier om die sandbox aan ’n bepaalde tonnel te bind nie. ’n Vereiste wat ’n uitgang noem, kan nie deur ’n skakelaar bevredig word wat net besluit of daar een is nie.

Ontwerp die grens voordat jy enigiets toestaan

As die vereiste streng isolasie is, kies ’n virtuele-masjien-netwerkontwerp wat dit kan afdwing en gebruik die VPN-produk se ondersteunde beleid vir deurgestuurde verkeer of verkeer van virtuele masjiene. Om die gedrag van die gasheer se kliënt te raai is nie ’n ontwerp nie, en ’n enkele suksesvolle toets is nie ’n implementering nie.

Moenie ’n onbetroubare sandbox ’n korporatiewe VPN-profiel of private geloofsbriewe gee om ’n toets te laat slaag nie. Dit ruil die grens wat jy wou vestig vir ’n groen uitslag, en die geloofsbrief oorleef die toets.

Teken die netwerkmodus, die waargenome uitgang en die herverbindingsgedrag in die ontplooiingsnotas aan. Wanneer ’n kliëntopdatering verander hoe deurgestuurde verkeer hanteer word, is daardie notas wat sê dat die vereiste nooit regtig nagekom is nie.