Nid yw traffig Windows Sandbox yn dilyn VPN y gwesteiwr yn ddiofyn

Rydych yn cychwyn Windows Sandbox, yn agor porwr ynddo, ac mae’r dudalen yn llwytho o’ch cysylltiad arferol er bod y gwesteiwr ar y VPN funud ynghynt. Nid oes dim wedi torri. Mae’r sandbox yn cael addasydd rhwydwaith rhithwir wedi’i atodi i switsh diofyn y gwesteiwr, ac mae a yw twnnel y gwesteiwr yn gorchuddio’r llwybr hwnnw yn briodwedd i’r cleient VPN, nid i Windows.

Beth mae’r sandbox yn ei gael mewn gwirionedd

Mae’r sandbox yn beiriant rhithwir ysgafn gyda’i addasydd rhwydwaith ei hun. Mae’r addasydd hwnnw’n cysylltu drwy switsh diofyn Hyper-V y gwesteiwr, sy’n trosi traffig y sandbox i ryngwyneb Ethernet rhithwir y gwesteiwr cyn iddo adael y peiriant. Mae’r manylyn hwn yn egluro bron pob symptom y mae pobl yn ei riportio am hyn.

Felly nid proses ar eich bwrdd gwaith yw’r sandbox. Mae’n ben pell rhwydwaith ar wahân y mae’r gwesteiwr yn anfon ei becynnau ymlaen, ac mae wal dân y gwesteiwr a’r cleient VPN ill dau yn gweld yr anfon ymlaen hwnnw yn eu ffordd eu hunain. Nid yw rheol a sgwennwyd ar gyfer proses porwr yn cyd-fynd yn awtomatig â ffrâm a drawsnewidiwyd o switsh rhithwir.

Dau ofyn sy’n edrych fel un

Mae cyrraedd adnodd preifat a gorfodi pob cais o’r sandbox drwy’r twnnel yn ddau nod gwahanol. Mae’r cyntaf angen llwybr a datrysiad enwau sy’n gweithio ar gyfer pen pell y sandbox. Mae’r ail angen gorfodaeth sy’n goroesi ailgysylltu a methiant. Nid yw’r naill yn dilyn o’r llall, ac nid yw gwiriad sy’n bodloni’r naill yn dweud dim am yr ail.

Nid yw gwiriad cyfeiriad cyhoeddus yn ateb y naill na’r llall o’r ddau gwestiwn yn llawn. Mae gweld allanfa’r VPN o du mewn y sandbox yn dangos bod rhywfaint o draffig wedi defnyddio’r twnnel. Nid yw’n dweud dim am a yw enwau preifat yn cael eu hateb, nac am beth sy’n digwydd i gais sy’n cychwyn tra bo’r twnnel i lawr.

Nodwch pa un sydd ei angen arnoch cyn profi unrhyw beth, oherwydd mae’r ddau ofyn yn arwain at ddyluniadau gwahanol a dim ond un ohonynt y gellir ei wirio gyda phorwr.

Gwiriwch o du mewn y sandbox

Daw’r unig arsylwad ystyrlon o sesiwn y sandbox ei hun, nid o’r gwesteiwr. Agorwch PowerShell yno a chymerwch olwg ar yr addasydd, y datrysiad enwau a’r llwybr i gyfeiriad dogfennaeth:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Mae rhestr yr addasyddion yn dweud y cyfeiriad a’r giât a roddwyd i’r sandbox. Mae giât wahanol i un y gwesteiwr yn arferol ar gyfer y switsh diofyn, felly cymharwch yr allanfa yn hytrach na’r giât. Mae’r prawf datrys yn dweud a yw enw preifat yn cael ateb o gwbl, a dyma lle mae setupiau split-horizon fel arfer yn gwahanu oddi wrth y gwesteiwr. Mae llinell y llwybr yn dweud pa giât y mae’r sandbox yn credu sy’n berchen ar y llwybr diofyn.

Ailadroddwch yr un tri gwiriad gyda’r twnnel wedi’i gysylltu a’i ddatgysylltu. Mae canlyniad nad yw’n newid rhwng y ddau gyflwr hynny’n dystiolaeth nad yw’r twnnel yn llwybr y sandbox o gwbl, pa gyfeiriad bynnag a ddangosodd y gwiriad cyhoeddus.

Diffoddwch rwydweithio pan nad oes ei angen ar y sandbox

Ar gyfer archwilio all-lein, gall ffeil ffurfweddu arferol dynnu’r rhwydwaith yn gyfan gwbl. Un elfen yn y ddogfen ffurfweddu yw’r gosodiad hwn:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Mae cyfeirlyfr ffurfweddu’r sandbox yn dogfennu’r elfen hon ac yn rhybuddio y gall rhwydweithio wedi’i alluogi ddinoethi rhwydweithiau mewnol i raglenni nad ydych yn ymddiried ynddynt. Y rhybudd hwnnw yw’r rheswm cyfan dros ei osod yn benodol yn lle derbyn y diofyn.

Nid yw’r switsh yn dewis rhyngwyneb VPN, fodd bynnag. Penderfyniad deuaidd yw hi ynghylch a oes rhwydwaith, nid ffordd o rwymo’r sandbox i dwnnel penodol. Ni all gofyn sy’n enwi allanfa gael ei fodloni gan switsh nad yw ond yn penderfynu a oes un.

Dyluniwch y ffin cyn rhoi unrhyw beth

Os yw’r gofyn yn unigedd llym, dewiswch gynllun rhwydwaith peiriant rhithwir a all ei orfodi, a defnyddiwch bolisi cefnogol y cynnyrch VPN ar gyfer traffig a anfonir ymlaen neu draffig peiriannau rhithwir. Nid yw dyfalu ymddygiad cleient y gwesteiwr yn ddyluniad, ac nid yw un gwiriad llwyddiannus yn weithrediad.

Peidiwch â rhoi proffil VPN corfforaethol na manylion mewngofnodi preifat i sandbox anniogel er mwyn i brawf lwyddo. Mae hynny’n cyfnewid y ffin yr oeddech yn ceisio’i sefydlu am ganlyniad gwyrdd, ac mae’r manylion yn goroesi’r prawf.

Cofnodwch y modd rhwydwaith, yr allanfa a arsylwyd a’r ymddygiad ailgysylltu yn y nodiadau defnyddio. Pan fydd diweddariad cleient yn newid sut y caiff traffig a anfonir ymlaen ei drin, y nodiadau hynny sy’n dweud nad oedd y gofyn byth wedi’i gyflawni mewn gwirionedd.