O tráfico de Windows Sandbox non segue a VPN do host por defecto

Inicias Windows Sandbox, abres un navegador dentro e a páxina cárgase pola túa conexión habitual aínda que o host estivese na VPN un minuto antes. Non hai nada roto. O sandbox recibe un adaptador de rede virtual conectado ao conmutador por defecto do host, e que o túnel do host cubra esa ruta é unha propiedade do cliente VPN, non de Windows.

Que recibe realmente o sandbox

O sandbox é unha máquina virtual lixeira co seu propio adaptador de rede. Ese adaptador conéctase a través do conmutador por defecto de Hyper-V do host, que traduce o tráfico do sandbox á interfaz Ethernet virtual do host antes de que saia da máquina. Este detalle explica case todos os síntomas que a xente notifica sobre isto.

Así que o sandbox non é un proceso no teu escritorio. É un extremo de rede aparte cuxos paquetes reenvía o host, e a devasa do host e o cliente VPN ven ese reenvío cada un á súa maneira. Unha regra escrita para un proceso de navegador non coincide automaticamente cunha trama traducida dun conmutador virtual.

Dous requisitos que parecen un

Chegar a un recurso privado e forzar que cada petición do sandbox pase polo túnel son obxectivos distintos. O primeiro necesita unha ruta e unha resolución de nomes que funcionen para o extremo do sandbox. O segundo necesita unha imposición que sobreviva a unha reconexión e a un fallo. Ningún se segue do outro, e unha comprobación que satisface un non di nada sobre o segundo.

Unha comprobación do enderezo público non responde de todo a ningunha das dúas preguntas. Ver a saída da VPN desde dentro do sandbox demostra que parte do tráfico usou o túnel. Non di nada sobre se se resolven os nomes privados nin sobre que ocorre cunha petición que comeza mentres o túnel está caído.

Anota cal dos dous necesitas antes de probar nada, porque os dous requisitos levan a deseños distintos e só un pode verificarse cun navegador.

Comproba desde dentro do sandbox

A única observación significativa vén da sesión do propio sandbox, non do host. Abre alí PowerShell e mira o adaptador, a resolución de nomes e a ruta cara a un enderezo de documentación:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

A lista de adaptadores indica o enderezo e a pasarela que recibiu o sandbox. Unha pasarela distinta da do host é normal no conmutador por defecto, así que compara a saída en lugar da pasarela. A proba de resolución indica se se responde ou non a un nome privado, e aquí é onde as configuracións split-horizon adoitan diverxer do host. A liña de ruta indica que pasarela cre o sandbox que é dona da ruta por defecto.

Repite as mesmas tres comprobacións co túnel conectado e desconectado. Un resultado que non cambia entre eses dous estados é proba de que o túnel non está na ruta do sandbox en absoluto, calquera que sexa o enderezo que mostrou a comprobación pública.

Desactiva a rede cando o sandbox non a necesite

Para unha inspección sen conexión, un ficheiro de configuración personalizado pode eliminar a rede por completo. O axuste é un só elemento no documento de configuración:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

A referencia de configuración do sandbox documenta este elemento e advirte de que a rede activada pode expor redes internas a aplicacións nas que non confías. Esa advertencia é o motivo completo para fixalo explicitamente en lugar de aceptar o valor por defecto.

O conmutador, con todo, non selecciona unha interface VPN. É unha decisión binaria sobre se hai rede, non unha forma de vincular o sandbox a un túnel concreto. Un requisito que nomea unha saída non pode satisfacerse cun conmutador que só decide se hai unha.

Deseña a fronteira antes de conceder nada

Se o requisito é illamento estrito, escolle un deseño de rede de máquina virtual que poida impoñelo, e usa a política compatible do produto VPN para o tráfico reenviado ou de máquinas virtuais. Adiviñar o comportamento do cliente do host non é un deseño, e unha soa comprobación exitosa non é unha implementación.

Non lle deas a un sandbox non fiable un perfil de VPN corporativo nin credenciais privadas para que unha proba pase. Iso cambia a fronteira que intentabas establecer por un resultado verde, e a credencial sobrevive á proba.

Anota o modo de rede, a saída observada e o comportamento de reconexión nas notas de despregamento. Cando unha actualización do cliente cambie como se trata o tráfico reenviado, esas notas son as que din que o requisito nunca se cumpriu de verdade.