Saobraćaj Windows Sandbox-a prema zadanim postavkama ne prati VPN hosta

Pokrenete Windows Sandbox, otvorite preglednik u njemu i stranica se učita preko vaše uobičajene veze, iako je host prije minute bio na VPN-u. Ništa nije pokvareno. Sandbox dobija virtualni mrežni adapter priključen na zadani prekidač hosta, a pokriva li tunel hosta taj put, svojstvo je VPN klijenta, ne Windowsa.

Šta sandbox zapravo dobija

Sandbox je lagana virtualna mašina s vlastitim mrežnim adapterom. Taj se adapter povezuje preko zadanog prekidača Hyper-V hosta, koji saobraćaj sandboxa prevodi na virtualno Ethernet sučelje hosta prije nego što napusti mašinu. Taj detalj objašnjava gotovo svaki simptom koji ljudi prijavljuju u vezi s tim.

Dakle sandbox nije proces na vašem radnom stolu. To je zasebna mrežna krajnja točka čije pakete prosljeđuje host, a hostov vatrozid i VPN klijent to prosljeđivanje vide svaki na svoj način. Pravilo napisano za proces preglednika ne odgovara automatski prevedenom okviru s virtualnog prekidača.

Dva zahtjeva koji izgledaju kao jedan

Dosezanje privatnog resursa i prisiljavanje svakog zahtjeva sandboxa kroz tunel dva su različita cilja. Prvi traži rutu i razrješavanje imena koji rade za krajnju točku sandboxa. Drugi traži provođenje koje izdrži ponovno povezivanje i kvar. Ni jedno ne slijedi iz drugoga, a provjera koja zadovoljava jedno ne govori ništa o drugom.

Provjera javne adrese ne odgovara potpuno ni na jedno od dva pitanja. Viđenje VPN izlaza iznutra sandboxa pokazuje da je dio saobraćaja koristio tunel. Ne govori ništa o tome razrješavaju li se privatna imena ili šta se događa sa zahtjevom koji počne dok je tunel pao.

Zapišite koji vam od dva treba prije nego što bilo šta testirate, jer dva zahtjeva vode do različitih dizajna i samo se jedan može provjeriti preglednikom.

Provjerite iznutra sandboxa

Jedino smisleno zapažanje dolazi iz vlastite sesije sandboxa, ne s hosta. Otvorite tamo PowerShell i pogledajte adapter, razrješavanje imena i put do adrese iz dokumentacije:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Popis adaptera pokazuje adresu i pristupnik koje je sandbox dobio. Drugačiji pristupnik od onog na hostu normalan je za zadani prekidač, zato uspoređujte izlaz, a ne pristupnik. Test razrješavanja pokazuje odgovara li se na privatno ime uopće, i tu se split-horizon postavke obično razilaze s hostom. Linija rute pokazuje koji pristupnik sandbox smatra vlasnikom zadanog puta.

Ponovite iste tri provjere s priključenim i isključenim tunelom. Rezultat koji se ne mijenja između tih stanja dokaz je da tunel uopće nije na putu sandboxa, koju god adresu pokazala javna provjera.

Isključite umrežavanje kad sandboxu nije potrebno

Za pregled bez mreže prilagođena konfiguracijska datoteka može potpuno ukloniti mrežu. Postavka je jedan element u konfiguracijskom dokumentu:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Referenca za konfiguraciju sandboxa opisuje taj element i upozorava da omogućeno umrežavanje može izložiti interne mreže aplikacijama kojima ne vjerujete. To je upozorenje cijeli razlog da je postavite izričito umjesto da prihvatite zadanu.

Prekidač, međutim, ne odabire VPN sučelje. To je binarna odluka o tome postoji li mreža, a ne način da sandbox vežete na određeni tunel. Zahtjev koji imenuje izlaz ne može zadovoljiti prekidač koji samo odlučuje postoji li on.

Dizajnirajte granicu prije nego što bilo šta dopustite

Ako je zahtjev stroga izolacija, odaberite dizajn mreže virtualne mašine koji je može provesti i upotrijebite podržanu politiku VPN proizvoda za proslijeđeni saobraćaj ili saobraćaj virtualnih mašina. Nagađanje o ponašanju klijenta hosta nije dizajn, a jedna uspješna provjera nije implementacija.

Ne dajte nepouzdanom sandboxu korporativni VPN profil ili privatne vjerodajnice da bi test prošao. To granicu koju ste pokušavali uspostaviti mijenja za zeleni rezultat, a vjerodajnica nadživljava test.

Zabilježite mrežni način, zapaženi izlaz i ponašanje pri ponovnom povezivanju u bilješke o implementaciji. Kada ažuriranje klijenta promijeni način obrade proslijeđenog saobraćaja, te bilješke su ono što kaže da zahtjev nikada nije stvarno ispunjen.