Windows Sandbox-trafik følger ikke værtens VPN som standard

Du starter Windows Sandbox, åbner en browser i den, og siden indlæses via din normale forbindelse, selv om værten var på VPN et minut før. Intet er i stykker. Sandkassen får en virtuel netværksadapter knyttet til værtens standardkontakt, og hvorvidt værtens tunnel dækker den vej, er en egenskab ved VPN-klienten, ikke ved Windows.

Hvad sandkassen faktisk får

Sandkassen er en let virtuel maskine med sin egen netværksadapter. Den adapter forbindes gennem værtens Hyper-V-standardkontakt, som oversætter sandkassens trafik til værtens virtuelle Ethernet-grænseflade, før den forlader maskinen. Den detalje forklarer næsten hvert symptom, folk rapporterer om dette.

Sandkassen er altså ikke en proces på dit skrivebord. Den er et særskilt netværksendepunkt, hvis pakker værten videresender, og værtens firewall og VPN-klienten ser hver især den videresendelse på deres egen måde. En regel skrevet til en browserproces matcher ikke automatisk en oversat ramme fra en virtuel kontakt.

To krav, der ligner ét

At nå en privat ressource og at tvinge hver sandkasseanmodning gennem tunnelen er to forskellige mål. Det første kræver en rute og en navneopløsning, der virker for sandkassens endepunkt. Det andet kræver håndhævelse, der overlever en genopkobling og en fejl. Ingen af dem følger af den anden, og en kontrol, der opfylder det ene, siger intet om det andet.

En kontrol af den offentlige adresse besvarer ikke noget af de to spørgsmål fuldt ud. At se VPN-udgangen inde fra sandkassen viser, at noget trafik brugte tunnelen. Den siger intet om, hvorvidt private navne opløses, eller hvad der sker med en anmodning, der starter, mens tunnelen er nede.

Skriv ned, hvilket af de to du har brug for, før du tester noget, for de to krav fører til forskellige designs, og kun det ene kan verificeres med en browser.

Tjek inde fra sandkassen

Den eneste meningsfulde observation kommer fra sandkassens egen session, ikke fra værten. Åbn PowerShell derinde, og se på adapteren, navneopløsningen og vejen til en dokumentationsadresse:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Adapterlisten viser den adresse og gateway, sandkassen har fået. En anden gateway end værtens er normal for standardkontakten, så sammenlign udgangen frem for gatewayen. Opløsningstesten viser, om et privat navn overhovedet besvares, og det er her, split-horizon-opsætninger normalt afviger fra værten. Rutelinjen viser, hvilken gateway sandkassen mener ejer standardruten.

Gentag de samme tre kontroller med tunnelen tilsluttet og frakoblet. Et resultat, der ikke ændrer sig mellem de to tilstande, er bevis for, at tunnelen slet ikke er på sandkassens vej, uanset hvilken adresse den offentlige kontrol viste.

Slå netværk fra, når sandkassen ikke har brug for det

Til offline-inspektion kan en brugerdefineret konfigurationsfil fjerne netværket helt. Indstillingen er et enkelt element i konfigurationsdokumentet:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Referencen til sandkassens konfiguration dokumenterer dette element og advarer om, at aktiveret netværk kan udsætte interne netværk for programmer, du ikke har tillid til. Den advarsel er hele grunden til at sætte den eksplicit i stedet for at acceptere standarden.

Kontakten vælger dog ikke en VPN-grænseflade. Det er en binær beslutning om at have et netværk, ikke en måde at binde sandkassen til en bestemt tunnel. Et krav, der navngiver en udgang, kan ikke opfyldes af en kontakt, der kun afgør, om der er en.

Design grænsen, før du giver noget som helst

Hvis kravet er streng isolation, så vælg et netværksdesign til en virtuel maskine, der kan håndhæve det, og brug VPN-produktets understøttede politik for videresendt trafik eller trafik fra virtuelle maskiner. At gætte på værtens klientadfærd er ikke et design, og én vellykket kontrol er ikke en implementering.

Giv ikke en utroværdig sandkasse en virksomheds-VPN-profil eller private legitimationsoplysninger for at få en test til at bestå. Det bytter den grænse, du forsøgte at etablere, for et grønt resultat, og legitimationsoplysningen overlever testen.

Skriv netværkstilstand, den observerede udgang og genopkoblingsadfærden ned i udrulningsnoterne. Når en klientopdatering ændrer, hvordan videresendt trafik håndteres, er det noterne, der fortæller, at kravet aldrig reelt blev opfyldt.