Трафік Windows Sandbox па змаўчанні не ідзе праз VPN хоста

Вы запускаеце Windows Sandbox, адкрываеце ў ім браўзер, і старонка грузіцца праз вашае звычайнае злучэнне, хаця хост хвіліну таму быў у VPN. Нічога не зламана. Sandbox атрымлівае віртуальны сеткавы адаптар, падключаны да стандартнага камутатара хоста, і ці ахоплівае тунэль хоста гэты шлях — гэта ўласцівасць кліента VPN, а не Windows.

Што Sandbox атрымлівае насамрэч

Sandbox — гэта лёгкая віртуальная машына з уласным сеткавым адаптарам. Гэты адаптар падключаецца праз стандартны камутатар Hyper-V хоста, які пераўтварае трафік Sandbox у віртуальны Ethernet-інтэрфейс хоста, перш чым той пакіне машыну. Гэтая дэталь тлумачыць амаль кожны сімптом, пра які людзі паведамляюць у сувязі з гэтым.

Такім чынам, Sandbox — гэта не працэс на вашым працоўным стале. Гэта асобны сеткавы канчатковы пункт, пакеты якога перасылае хост, і міжсеткавы экран хоста і кліент VPN бачаць гэтую перасылку кожны па-свойму. Правіла, напісанае для працэсу браўзера, не супадае аўтаматычна з пераўтвораным кадрам ад віртуальнага камутатара.

Два патрабаванні, якія выглядаюць як адно

Досягненне прыватнага рэсурсу і прымус кожнага запыту Sandbox ісці праз тунэль — розныя мэты. Першай патрэбны маршрут і развязанне імён, якія працуюць для канчатковага пункта Sandbox. Другой патрэбна прымусовае выкананне, якое вытрывае перападключэнне і збой. Ні адно не вынікае з другога, і праверка, якая задавальняе адно, нічога не кажа пра другое.

Праверка публічнага адрасу не адказвае цалкам ні на адно з двух пытанняў. Бачанне выхаду VPN знутры Sandbox паказвае, што нейкі трафік выкарыстаў тунэль. Яна нічога не кажа пра тое, ці развязваюцца прыватныя імёны, або што адбываецца з запытам, які пачынаецца, калі тунэль не працуе.

Запішыце, якое з двух вам патрэбна, перш чым нешта тэставаць, бо гэтыя патрабаванні вядуць да розных праектаў і толькі адно з іх можна праверыць браўзерам.

Правярайце знутры Sandbox

Адзінае асэнсаванае назіранне паходзіць з уласнай сесіі Sandbox, а не з хоста. Адкрыйце там PowerShell і паглядзіце на адаптар, развязанне імён і шлях да адрасу з дакументацыі:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Спіс адаптараў паказвае адрас і шлюз, якія атрымаў Sandbox. Іншы шлюз, чым у хоста, — гэта норма для стандартнага камутатара, таму параўноўвайце выхад, а не шлюз. Тэст развязання паказвае, ці адказваюць на прыватнае імя наогул, і менавіта тут канфігурацыі split-horizon звычайна разыходзяцца з хостам. Радок маршруту паказвае, які шлюз Sandbox лічыць уладальнікам стандартнага маршруту.

Паўтарыце тыя ж тры праверкі з падключаным і адключаным тунэлем. Вынік, які не змяняецца паміж гэтымі станамі, — доказ таго, што тунэль наогул не ў шляху Sandbox, які б адрас ні паказала праверка публічнага адрасу.

Адключыце сетку, калі Sandbox яна не патрэбна

Для афлайн-агляду ўласны файл канфігурацыі можа цалкам прыбраць сетку. Налада — гэта адзін элемент у дакуменце канфігурацыі:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Даведнік па канфігурацыі Sandbox апісвае гэты элемент і папярэджвае, што ўключаная сетка можа адкрыць унутраныя сеткі праграмам, якім вы не давяраеце. Гэта папярэджанне — уся прычына задаваць наладу яўна, а не прымаць тыповую.

Але камутатар не выбірае інтэрфейс VPN. Гэта бінарнае рашэнне пра наяўнасць сеткі, а не спосаб прывязаць Sandbox да пэўнага тунэля. Патрабаванне, якое называе выхад, нельга задаволіць камутатарам, што вырашае толькі, ці ёсць выхад.

Праектуйце мяжу, перш чым што-небудзь даваць

Калі патрабаванне — строгая ізаляцыя, выбірайце сеткавы праект віртуальнай машыны, здольны яе забяспечыць, і выкарыстоўвайце падтрыманую палітыку прадукту VPN для перасылаемага трафіку або трафіку віртуальных машын. Здагадкі пра паводзіны кліента хоста — не праект, а адна паспяховая праверка — не рэалізацыя.

Не давайце недаверанаму Sandbox карпаратыўны профіль VPN ці прыватныя ўліковыя даныя, каб тэст прайшоў. Гэта абменьвае мяжу, якую вы спрабавалі ўсталяваць, на зялёны вынік, а ўліковыя даныя жывуць даўжэй за тэст.

Запішыце рэжым сеткі, назіраны выхад і паводзіны пры перападключэнні ў нататках разгортвання. Калі абнаўленне кліента зменіць апрацоўку перасылаемага трафіку, менавіта гэтыя нататкі скажуць, што патрабаванне ніколі не было рэальна выканана.