Windows Sandboxin liikenne ei seuraa isännän VPN:ää oletuksena

Käynnistät Windows Sandboxin, avaat siinä selaimen ja sivu latautuu tavallisesta yhteydestäsi, vaikka isäntä oli VPN:ssä minuuttia aiemmin. Mikään ei ole rikki. Hiekkalaatikko saa virtuaalisen verkkoadapterin, joka on kytketty isännän oletuskykimeen, ja se, kattaako isännän tunneli tämän polun, on VPN-asiakasohjelman eikä Windowsin ominaisuus.

Mitä hiekkalaatikko todella saa

Hiekkalaatikko on kevyt virtuaalikone, jolla on oma verkkoadapteri. Tämä adapteri yhdistyy isännän Hyper-V-oletuskykimen kautta, joka kääntää hiekkalaatikon liikenteen isännän virtuaaliseksi Ethernet-liitännäksi ennen kuin se poistuu koneesta. Tämä yksityiskohta selittää lähes jokaisen oireen, josta ihmiset tästä kertovat.

Hiekkalaatikko ei siis ole prosessi työpöydälläsi. Se on erillinen verkkopäätepiste, jonka paketteja isäntä välittää, ja isännän palomuuri ja VPN-asiakasohjelma näkevät tämän välityksen kumpikin omalla tavallaan. Selainprosessille kirjoitettu sääntö ei vastaa automaattisesti virtuaalikykimestä käännettyä kehystä.

Kaksi vaatimusta, jotka näyttävät yhdeltä

Yksityiseen resurssiin pääseminen ja jokaisen hiekkalaatikon pyynnön pakottaminen tunnelin läpi ovat eri tavoitteita. Ensimmäinen tarvitsee reitin ja nimien selvityksen, jotka toimivat hiekkalaatikon päätepisteelle. Toinen tarvitsee pakotuksen, joka kestää uudelleenyhdistämisen ja vian. Kumpikaan ei seuraa toisesta, eikä toisen tyydyttävä tarkistus kerro toisesta mitään.

Julkisen osoitteen tarkistus ei vastaa täysin kumpaankaan kysymykseen. VPN:n poistumisen näkeminen hiekkalaatikon sisältä osoittaa, että osa liikenteestä käytti tunnelia. Se ei kerro, selvitetäänkö yksityisiä nimiä, eikä siitä, mitä tapahtuu pyynnölle, joka alkaa tunnelin ollessa alhaalla.

Kirjoita ylös, kumman tarvitset, ennen kuin testaat mitään, sillä vaatimukset johtavat erilaisiin ratkaisuihin ja vain toinen voidaan varmistaa selaimella.

Tarkista hiekkalaatikon sisältä

Ainoa merkityksellinen havainto tulee hiekkalaatikon omasta istunnosta, ei isännästä. Avaa siellä PowerShell ja katso adapteria, nimien selvitystä ja polkua dokumentaatio-osoitteeseen:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Adapteriluettelo näyttää osoitteen ja yhdyskäytävän, jotka hiekkalaatikko sai. Isännän yhdyskäytävästä poikkeava yhdyskäytävä on oletuskykimelle normaali, joten vertaa poistumista yhdyskäytävän sijaan. Selvitystesti näyttää, vastataanko yksityiseen nimeen lainkaan, ja juuri tässä split-horizon-asetukset yleensä poikkeavat isännästä. Reittirivi näyttää, minkä yhdyskäytävän hiekkalaatikko uskoo omistavan oletusreitin.

Toista samat kolme tarkistusta tunnelin ollessa yhdistettynä ja katkaistuna. Tulos, joka ei muutu näiden tilojen välillä, on todiste siitä, ettei tunneli ole lainkaan hiekkalaatikon polulla, minkä osoitteen julkinen tarkistus sitten näyttikään.

Kytke verkko pois, kun hiekkalaatikko ei tarvitse sitä

Offline-tarkastelua varten mukautettu asetustiedosto voi poistaa verkon kokonaan. Asetus on yksi elementti asetusasiakirjassa:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Viite hiekkalaatikon asetuksiin dokumentoi tämän elementin ja varoittaa, että käytössä oleva verkko voi altistaa sisäverkot sovelluksille, joihin et luota. Juuri tuo varoitus on koko syy asettaa se nimenomaisesti sen sijaan, että hyväksyisi oletuksen.

Kytkin ei kuitenkaan valitse VPN-liitäntää. Se on binäärinen päätös verkon olemassaolosta, ei tapa sitoa hiekkalaatikkoa tiettyyn tunneliin. Vaatimusta, joka nimeää poistumisen, ei voi täyttää kytkimellä, joka vain päättää, onko sellaista.

Suunnittele raja ennen kuin myönnät mitään

Jos vaatimus on tiukka eristys, valitse virtuaalikoneen verkkoratkaisu, joka voi pakottaa sen, ja käytä VPN-tuotteen tuettua käytäntöä välitetylle liikenteelle tai virtuaalikoneiden liikenteelle. Isännän asiakasohjelman käytöksen arvaaminen ei ole suunnitelma, eikä yksi onnistunut tarkistus ole toteutus.

Älä anna epäluotettavalle hiekkalaatikolle yrityksen VPN-profiilia tai yksityisiä tunnistetietoja, jotta testi menisi läpi. Se vaihtaa rajan, jota yritit perustaa, vihreään tulokseen, ja tunnistetieto elää testiä pidempään.

Kirjaa verkkotila, havaittu poistuminen ja uudelleenyhdistämiskäyttäytyminen käyttöönoton muistiinpanoihin. Kun asiakasohjelman päivitys muuttaa sitä, miten välitettyä liikennettä käsitellään, juuri ne muistiinpanot kertovat, ettei vaatimusta ollut koskaan todella täytetty.