Windows Sandbox-ferkear folget standert net de VPN fan de host

Jo starte Windows Sandbox, iepenje dêryn in browser en de side laden fan jo normale ferbining, ek al wie de host in minút earder op ’e VPN. Neat is stikken. De sandbox krijt in firtuele netwurkadapter oan ’e standertskakelder fan ’e host, en oft de tunnel fan ’e host dat paad dekt is in eigenskip fan ’e VPN-klant, net fan Windows.

Wat de sandbox eins krijt

De sandbox is in lichte firtuele masine mei syn eigen netwurkadapter. Dy adapter ferbynt fia de Hyper-V-standertskakelder fan ’e host, dy ’t it ferkear fan ’e sandbox oerset nei it firtuele Ethernet-ynterface fan ’e host foar’t it de masine ferlit. Dat detail ferklearret hast elk symptoom dat minsken hjir oer melde.

De sandbox is dus gjin proses op jo buroblêd. It is in apart netwurkeinpunt wêrfan de pakketten troch de host trochstjoerd wurde, en de firewall fan ’e host en de VPN-klant sjogge dy trochstjoering elk op har eigen wize. In regel skreaun foar in browserproses past net automatysk op in oersetten frame fan in firtuele skakelder.

Twa easken dy ’t op ien lykje

In priveeboarne berikke en elk fersyk fan ’e sandbox troch de tunnel twinge binne ferskate doelen. It earste hat in rûte en namme-oplossing nedich dy ’t foar it einpunt fan ’e sandbox wurkje. It twadde hat twang nedich dy ’t in werferbining en in flater oerlibbet. Gjin fan beide folget út it oare, en in kontrôle dy ’t ien befrediget seit neat oer it twadde.

In kontrôle fan it iepenbiere adres beantwurdet gjin fan beide fragen folslein. It sjen fan ’e VPN-útgong fan binnen de sandbox wiist derop dat guon ferkear de tunnel brûkte. It seit neat oer oft priveenammen oplost wurde, of oer wat der bart mei in fersyk dat begjint wylst de tunnel del is.

Skriuw op hokker fan beide jo nedich hawwe foar’t jo eat testen, want de twa easken liede ta ferskate ûntwerpen en mar ien fan beide kin mei in browser ferifiearre wurde.

Kontrolearje fan binnen de sandbox

De iennige sinfolle waarnimming komt út ’e sesje fan ’e sandbox sels, net fan ’e host. Iepenje dêr PowerShell en sjoch nei de adapter, de namme-oplossing en it paad nei in dokumintaasje-adres:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

De adapterlist lit it adres en de gateway sjen dy ’t de sandbox kriget. In oare gateway as dy fan ’e host is normaal foar de standertskakelder, fergelykje dus de útgong ynstee fan ’e gateway. De oplossingstest lit sjen oft in privee namme hielendal beantwurde wurdt, en dêr wike split-horizon-ynstellings ornaris ôf fan ’e host. De rûteliner lit sjen hokker gateway de sandbox as eigner fan ’e standertrûte beskôget.

Werhelje deselde trije kontrôles mei de tunnel ferbûn en ferbrutsen. In resultaat dat tusken dy twa steaten net feroaret is bewiis dat de tunnel hielendal net op it paad fan ’e sandbox leit, hokker adres de iepenbiere kontrôle ek sjen liet.

Skeakelje it netwurk út as de sandbox it net nedich hat

Foar offline-ynspeksje kin in oanpast konfiguraasjebestân it netwurk folslein fuorthelje. De ynstelling is ien elemint yn it konfiguraasjedokumint:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

De referinsje foar sandbox-konfiguraasje dokumintearret dit elemint en warskôget dat oansketten netwurk ynterne netwurken bleatstelle kin oan applikaasjes dy ’t jo net fertrouwe. Dy warskôging is de hiele reden om it eksplisyt yn te stellen ynstee fan ’e standert te akseptearjen.

De skakelder selektearret lykwols gjin VPN-ynterface. It is in binêre beslissing oer it bestean fan in netwurk, net in manier om de sandbox oan in bepaald tunnel te binen. In eask dy ’t in útgong neamt kin net befredige wurde troch in skakelder dy ’t allinnich beslút oft der ien is.

Untwerp de grins foar’t jo eat tastean

As de eask strikte isolaasje is, kies dan in netwurkûntwerp foar firtuele masines dat it ôftwinge kin, en brûk it stipe belied fan it VPN-produkt foar trochstjoerd ferkear of ferkear fan firtuele masines. It gedrach fan ’e host-klant riede is gjin ûntwerp, en ien slagge kontrôle is gjin ymplemintaasje.

Jou in net betroubere sandbox gjin bedriuws-VPN-profyl of privee oanmeldgegevens om in test te slagjen. Dat ruilet de grins dy ’t jo besochten te festigjen foar in grien resultaat, en de oanmeldgegevens oerlibje de test.

Skriuw de netwurkmody, de waarnommen útgong en it werferbiniingsgedrach yn ’e ynsetnotysjes. As in klantfernijing feroaret hoe ’t trochstjoerd ferkear behannele wurdt, binne it dy notysjes dy ’t sizze dat de eask nea echt foldien wie.