Windows Sandboxi liiklus ei järgi vaikimisi hosti VPN-i

Käivitad Windows Sandboxi, avad selles brauseri ja leht laaditakse sinu tavalisest ühendusest, kuigi host oli minut varem VPN-is. Miski ei ole katki. Liivakast saab virtuaalse võrguadapteri, mis on ühendatud hosti vaike-lülitiga, ja see, kas hosti tunnel seda teed katab, on VPN-kliendi, mitte Windowsi omadus.

Mida liivakast tegelikult saab

Liivakast on kerge virtuaalmasin oma võrguadapteriga. See adapter ühendub läbi hosti Hyper-V vaike-lüliti, mis tõlgib liivakasti liikluse hosti virtuaalseks Ethernet-liideseks enne, kui see masinast lahkub. See detail selgitab peaaegu iga sümptomit, millest inimesed selle kohta teatavad.

Nii et liivakast ei ole protsess sinu töölaual. See on eraldi võrgupäätepunt, mille pakette host edasi suunab, ning hosti tulemüür ja VPN-klient näevad seda edasisuunamist kumbki omal moel. Brauseriprotsessi jaoks kirjutatud reegel ei sobi automaatselt virtuaalsest lülitist tõlgitud kaadriga.

Kaks nõuet, mis näivad ühena

Privaatsele ressursile jõudmine ja iga liivakasti päringu tunnelist läbi surumine on eri eesmärgid. Esimene vajab marsruuti ja nimelahendust, mis töötavad liivakasti lõpp-punkti jaoks. Teine vajab jõustamist, mis peab vastu taasühendusele ja rikkele. Kumbki ei tulene teisest ning ühte rahuldav kontroll ei ütle teise kohta midagi.

Avaliku aadressi kontroll ei vasta täielikult kummalelegi kahest küsimusest. VPN-i väljumise nägemine liivakasti seest näitab, et osa liiklusest kasutas tunnelit. See ei ütle midagi selle kohta, kas privaatseid nimesid lahendatakse, ega selle kohta, mis juhtub päringuga, mis algab siis, kui tunnel on maas.

Kirjuta üles, kumba sa vajad, enne kui midagi testid, sest need kaks nõuet viivad erinevate lahendusteni ja ainult ühte saab brauseriga kontrollida.

Kontrolli liivakasti seest

Ainus mõttekas vaatlus tuleb liivakasti enda seansist, mitte hostist. Ava seal PowerShell ja vaata adapterit, nimelahendust ja teed dokumentatsiooni aadressini:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Adapterite loend näitab aadressi ja lüüsi, mille liivakast sai. Hosti omast erinev lüüs on vaike-lüliti puhul tavaline, seega võrdle pigem väljumist kui lüüsi. Lahendustest näitab, kas privaatsele nimele üldse vastatakse, ja just siin erinevad split-horizon-seadistused tavaliselt hostist. Marsruudirida näitab, millist lüüsi peab liivakast vaikemarsruudi omanikuks.

Korda samu kolme kontrolli tunneliga ühendatud ja lahtiühendatud olekus. Tulemus, mis nende kahe oleku vahel ei muutu, on tõend, et tunnel ei ole liivakasti teel üldse, ükskõik millist aadressi avalik kontroll näitas.

Lülita võrk välja, kui liivakast seda ei vaja

Võrguühenduseta uurimiseks võib kohandatud konfiguratsioonifail võrgu täielikult eemaldada. Seade on konfiguratsioonidokumendis üks element:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Liivakasti konfiguratsiooni viide kirjeldab seda elementi ja hoiatab, et lubatud võrk võib paljastada sisemised võrgud rakendustele, mida sa ei usalda. Just see hoiatus on kogu põhjus, miks see seade tuleks sõnaselgelt määrata, selle asemel et vaikeväärtust aktsepteerida.

Lüliti ei vali aga VPN-liidest. See on binaarne otsus selle kohta, kas võrk on olemas, mitte viis siduda liivakast konkreetse tunneliga. Nõuet, mis nimetab väljumise, ei saa rahuldada lülitiga, mis otsustab ainult, kas see on olemas.

Kujunda piir enne, kui midagi lubad

Kui nõue on range isolatsioon, vali virtuaalmasina võrgulahendus, mis suudab seda jõustada, ja kasuta VPN-toote toetatud poliitikat edasisaadetud või virtuaalmasinate liikluse jaoks. Hosti kliendi käitumise oletamine ei ole lahendus ja üks õnnestunud kontroll ei ole juurutamine.

Ära anna ebausaldusväärsele liivakastile ettevõtte VPN-profiili ega privaatseid mandaate, et test läbi läheks. See vahetab piiri, mida sa püüdsid luua, rohelise tulemuse vastu ja mandaat elab testist kauem.

Kirjuta võrgurežiim, vaadeldud väljumine ja taasühenduskäitumine juurutamise märkmetesse. Kui kliendi uuendus muudab seda, kuidas edasisaadetud liiklust käsitletakse, siis just need märkmed ütlevad, et nõue ei olnud kunagi tegelikult täidetud.