El trànsit de Windows Sandbox no segueix la VPN de l’amfitrió per defecte

Inicieu Windows Sandbox, hi obriu un navegador i la pàgina es carrega per la vostra connexió habitual encara que l’amfitrió fos a la VPN un minut abans. No hi ha res espatllat. La sandbox rep un adaptador de xarxa virtual connectat al commutador per defecte de l’amfitrió, i si el túnel de l’amfitrió cobreix aquest camí és una propietat del client VPN, no del Windows.

Què rep realment la sandbox

La sandbox és una màquina virtual lleugera amb el seu propi adaptador de xarxa. Aquest adaptador es connecta a través del commutador per defecte de Hyper-V de l’amfitrió, que tradueix el trànsit de la sandbox a la interfície Ethernet virtual de l’amfitrió abans que surti de la màquina. Aquest detall explica gairebé tots els símptomes que la gent reporta sobre això.

Per tant, la sandbox no és un procés del vostre escriptori. És un extrem de xarxa separat els paquets del qual reenvia l’amfitrió, i el tallafoc de l’amfitrió i el client VPN veuen aquest reenviament cadascun a la seva manera. Una regla escrita per a un procés de navegador no encaixa automàticament amb una trama traduïda d’un commutador virtual.

Dos requisits que semblen un

Arribar a un recurs privat i forçar que cada petició de la sandbox passi pel túnel són objectius diferents. El primer necessita una ruta i una resolució de noms que funcionin per a l’extrem de la sandbox. El segon necessita una aplicació forçosa que sobrevisqui a una reconnexió i a un error. Cap dels dos no se segueix de l’altre, i una comprovació que en satisfà un no diu res sobre el segon.

Una comprovació de l’adreça pública no respon del tot cap de les dues preguntes. Veure la sortida de la VPN des de dins de la sandbox demostra que una part del trànsit feia servir el túnel. No diu res sobre si es resolen els noms privats ni sobre què passa amb una petició que comença mentre el túnel està caigut.

Anoteu quin dels dos necessiteu abans de provar res, perquè els dos requisits porten a dissenys diferents i només un es pot verificar amb un navegador.

Comproveu-ho des de dins de la sandbox

L’única observació significativa prové de la sessió de la pròpia sandbox, no de l’amfitrió. Obriu-hi el PowerShell i mireu l’adaptador, la resolució de noms i el camí fins a una adreça de documentació:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

La llista d’adaptadors us diu l’adreça i la passarel·la que ha rebut la sandbox. Una passarel·la diferent de la de l’amfitrió és normal en el commutador per defecte, així que compareu la sortida i no la passarel·la. La prova de resolució us diu si s’arriba a respondre un nom privat, i aquí és on les configuracions split-horizon solen divergir de l’amfitrió. La línia de ruta us diu quina passarel·la creu la sandbox que posseeix la ruta per defecte.

Repetiu les mateixes tres comprovacions amb el túnel connectat i desconnectat. Un resultat que no canvia entre aquests dos estats és una prova que el túnel no és gens al camí de la sandbox, sigui quina sigui l’adreça que hagi mostrat la comprovació pública.

Desactiveu la xarxa quan la sandbox no la necessiti

Per a una inspecció fora de línia, un fitxer de configuració personalitzat pot eliminar la xarxa del tot. El paràmetre és un sol element al document de configuració:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

La referència de configuració de la sandbox documenta aquest element i adverteix que la xarxa activada pot exposar xarxes internes a aplicacions en què no confieu. Aquesta advertència és el motiu sencer de fixar-ho explícitament en lloc d’acceptar el valor per defecte.

El commutador, però, no selecciona cap interfície VPN. És una decisió binària sobre si hi ha xarxa, no una manera de lligar la sandbox a un túnel concret. Un requisit que anomena una sortida no es pot satisfer amb un commutador que només decideix si n’hi ha una.

Dissenyeu la frontera abans de concedir res

Si el requisit és un aïllament estricte, trieu un disseny de xarxa de màquina virtual que el pugui imposar, i feu servir la política compatible del producte VPN per al trànsit reenviat o de màquines virtuals. Endevinar el comportament del client de l’amfitrió no és un disseny, i una sola comprovació reeixida no és una implementació.

No doneu a una sandbox no confiable un perfil VPN corporatiu ni credencials privades perquè una prova passi. Això canvia la frontera que intentàveu establir per un resultat verd, i la credencial sobreviu a la prova.

Anoteu el mode de xarxa, la sortida observada i el comportament de reconnexió a les notes de desplegament. Quan una actualització del client canviï com es tracta el trànsit reenviat, aquestes notes són el que us diu que el requisit mai no es va complir de veritat.