Trafiko de Windows Sandbox defaŭlte ne sekvas la VPN de la gastiganto

Vi lanĉas Windows Sandbox, malfermas retumilon ene, kaj la paĝo ŝargiĝas per via normala konekto, kvankam la gastiganto estis en la VPN unu minuton antaŭe. Nenio rompiĝis. La sablujo ricevas virtualan retadaptilon alligitan al la defaŭlta ŝaltilo de la gastiganto, kaj ĉu la tunelo de la gastiganto kovras tiun vojon, estas eco de la VPN-kliento, ne de Windows.

Kion la sablujo efektive ricevas

La sablujo estas malpeza virtuala maŝino kun propra retadaptilo. Tiu adaptilo konektiĝas tra la defaŭlta ŝaltilo Hyper-V de la gastiganto, kiu tradukas la trafikon de la sablujo al la virtuala Ethernet-interfaco de la gastiganto antaŭ ol ĝi forlasas la maŝinon. Tiu detalo klarigas preskaŭ ĉiun simptomon, kiun homoj raportas pri tio.

Do la sablujo ne estas procezo sur via labortablo. Ĝi estas aparta reta finpunkto, kies pakaĵojn la gastiganto plusendas, kaj la fajroŝirmilo de la gastiganto kaj la VPN-kliento vidas tiun plusendadon ĉiu laŭ sia maniero. Regulo verkita por retumila procezo ne aŭtomate kongruas kun tradukita kadro el virtuala ŝaltilo.

Du postuloj, kiuj aspektas kiel unu

Atingi privatan rimedon kaj devigi ĉiun peton de la sablujo tra la tunelo estas malsamaj celoj. La unua bezonas itineron kaj nomrezolucion, kiuj funkcias por la finpunkto de la sablujo. La dua bezonas devigon, kiu postvivas rekonekton kaj paneon. Neniu sekvas el la alia, kaj kontrolo, kiu plenumas unu, diras nenion pri la dua.

Kontrolo de publika adreso plene respondas al neniu el la du demandoj. Vidi la eliron de la VPN el interne de la sablujo montras, ke iu trafiko uzis la tunelon. Ĝi diras nenion pri tio, ĉu privataj nomoj estas solvataj, aŭ pri tio, kio okazas al peto, kiu komenciĝas dum la tunelo estas malsupra.

Notu, kiun el la du vi bezonas antaŭ ol testi ion ajn, ĉar la du postuloj kondukas al malsamaj projektoj kaj nur unu el ili povas esti kontrolita per retumilo.

Kontrolu el interne de la sablujo

La sola senchava observo venas el la propra sesio de la sablujo, ne de la gastiganto. Malfermu tien PowerShell kaj rigardu la adaptilon, la nomrezolucion kaj la vojon al dokumenta adreso:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

La adaptila listo montras la adreson kaj pordegon, kiujn la sablujo ricevis. Malsama pordego ol tiu de la gastiganto estas normala por la defaŭlta ŝaltilo, do komparu la eliron prefere ol la pordegon. La rezolucia testado montras, ĉu privata nomo entute estas respondata, kaj ĝuste tie split-horizon-agordoj kutime diverĝas de la gastiganto. La itinera linio montras, kiun pordegon la sablujo opinias la posedanto de la defaŭlta itinero.

Ripetu la samajn tri kontrolojn kun la tunelo konektita kaj malkonektita. Rezulto, kiu ne ŝanĝiĝas inter tiuj du statoj, estas pruvo, ke la tunelo tute ne estas sur la vojo de la sablujo, kiun ajn adreson montris la publika kontrolo.

Malŝaltu la retadon, kiam la sablujo ne bezonas ĝin

Por eksterreta inspektado, propra agorda dosiero povas forigi la reton tute. La agordo estas unu sola elemento en la agorda dokumento:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

La referenco pri agordado de la sablujo dokumentas ĉi tiun elementon kaj averas, ke ŝaltita retado povas elmeti internajn retojn al aplikaĵoj, kiujn vi ne fidas. Tiu averto estas la tuta kialo agordi ĝin eksplicite anstataŭ akcepti la defaŭlton.

La ŝaltilo tamen ne elektas VPN-interfacon. Ĝi estas duuma decido pri tio, ĉu ekzistas reto, ne maniero ligi la sablujon al aparta tunelo. Postulo, kiu nomas eliron, ne povas esti plenumita de ŝaltilo, kiu nur decidas, ĉu ekzistas unu.

Projektu la limon antaŭ ol doni ion ajn

Se la postulo estas severa izolado, elektu retan projekton de virtuala maŝino, kiu povas ĝin devigi, kaj uzu la subtenatan politikon de la VPN-produkto por plusendita trafiko aŭ trafiko de virtualaj maŝinoj. Diveni la konduton de la gastiganta kliento ne estas projekto, kaj unu sukcesa kontrolo ne estas efektivigo.

Ne donu al nefidinda sablujo firman VPN-profilon aŭ privatajn akreditaĵojn por ke testo pasu. Tio interŝanĝas la limon, kiun vi provis establi, kontraŭ verda rezulto, kaj la akreditaĵo postvivas la teston.

Notu la retan reĝimon, la observitan eliron kaj la rekonekan konduton en la dokumentaro de surmeto. Kiam ĝisdatigo de la kliento ŝanĝos kiel plusendita trafiko estas traktata, ĝuste tiuj notoj diras, ke la postulo neniam estis vere plenumita.