A Windows Sandbox forgalma alapértelmezés szerint nem követi a gazdagép VPN-jét

Elindítja a Windows Sandboxot, megnyit benne egy böngészőt, és az oldal a szokásos kapcsolatáról töltődik be, pedig a gazdagép egy perccel korábban VPN-en volt. Semmi sem romlott el. A sandbox egy virtuális hálózati adaptert kap, amely a gazdagép alapértelmezett kapcsolójára csatlakozik, és hogy a gazdagép alagútja lefedi-e ezt az útvonalat, a VPN-kliens tulajdonsága, nem a Windowsé.

Mit kap valójában a sandbox

A sandbox egy könnyű virtuális gép saját hálózati adapterrel. Ez az adapter a gazdagép Hyper-V alapértelmezett kapcsolóján keresztül csatlakozik, amely a sandbox forgalmát a gazdagép virtuális Ethernet-interfészére fordítja, mielőtt elhagyná a gépet. Ez a részlet magyarázza szinte az összes tünetet, amelyet az emberek ezzel kapcsolatban jelentenek.

A sandbox tehát nem folyamat az asztalán. Ez egy külön hálózati végpont, amelynek csomagjait a gazdagép továbbítja, és a gazdagép tűzfala és a VPN-kliens mindegyike a maga módján látja ezt a továbbítást. A böngészőfolyamathoz írt szabály nem illeszkedik automatikusan a virtuális kapcsolótól származó, átfordított kerethez.

Két követelmény, amely egynek látszik

Egy privát erőforrás elérése és a sandbox minden kérésének az alagúton való átkényszerítése két különböző cél. Az elsőhöz olyan útvonal és névfeloldás kell, amely a sandbox végpontjához működik. A másodikhoz olyan kényszerítés kell, amely túléli az újracsatlakozást és a hibát. Egyik sem következik a másikból, és az egyiket kielégítő ellenőrzés semmit sem mond a másikról.

A nyilvános cím ellenőrzése egyik kérdésre sem ad teljes választ. Ha a sandboxon belülről látja a VPN kijáratát, az azt mutatja, hogy valamennyi forgalom használta az alagutat. Arról viszont semmit sem mond, hogy a privát nevek feloldódnak-e, vagy hogy mi történik egy kéréssel, amely akkor indul, amikor az alagút le van állva.

Írja fel, melyikre van szüksége, mielőtt bármit tesztel, mert a két követelmény különböző tervekhez vezet, és csak az egyik ellenőrizhető böngészővel.

Ellenőrizze a sandboxon belülről

Az egyetlen értelmes megfigyelés a sandbox saját munkamenetéből származik, nem a gazdagépről. Nyissa meg ott a PowerShellt, és nézze meg az adaptert, a névfeloldást és egy dokumentációs címhez vezető útvonalat:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Az adapterek listája megmutatja a sandboxnak adott címet és átjárót. A gazdagépétől eltérő átjáró normális az alapértelmezett kapcsolónál, ezért a kijáratot hasonlítsa össze, ne az átjárót. A feloldási teszt megmutatja, hogy egy privát névre egyáltalán válaszolnak-e, és itt szoktak a split-horizon beállítások eltérni a gazdagéptől. Az útvonal sor megmutatja, melyik átjárót tartja a sandbox az alapértelmezett útvonal tulajdonosának.

Ismételje meg ugyanazt a három ellenőrzést csatlakoztatott és leválasztott alagúttal. Az az eredmény, amely nem változik a két állapot között, bizonyítja, hogy az alagút egyáltalán nincs a sandbox útvonalán, bármilyen címet is mutatott a nyilvános ellenőrzés.

Kapcsolja ki a hálózatot, amikor a sandboxnak nincs rá szüksége

Az offline vizsgálathoz egy egyéni konfigurációs fájl teljesen eltávolíthatja a hálózatot. A beállítás egyetlen elem a konfigurációs dokumentumban:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

A sandbox konfigurációs referenciája dokumentálja ezt az elemet, és figyelmeztet, hogy az engedélyezett hálózat belső hálózatokat tehet ki olyan alkalmazásoknak, amelyekben nem bízik. Ez a figyelmeztetés a teljes oka annak, hogy kifejezetten beállítsa, ahelyett hogy elfogadná az alapértelmezést.

A kapcsoló azonban nem választ ki VPN-interfészt. Ez egy bináris döntés arról, hogy van-e hálózat, nem módja annak, hogy a sandboxot egy adott alagúthoz kösse. Egy kijáratot megnevező követelményt nem elégíthet ki egy kapcsoló, amely csak azt dönti el, hogy van-e ilyen.

Tervezze meg a határt, mielőtt bármit engedélyez

Ha a követelmény szigorú elkülönítés, válasszon olyan virtuálisgép-hálózati tervet, amely kikényszerítheti, és használja a VPN-termék támogatott szabályzatát a továbbított vagy virtuálisgépes forgalomra. A gazdagép kliensének viselkedését kitalálni nem terv, és egyetlen sikeres ellenőrzés nem implementáció.

Ne adjon egy nem megbízható sandboxnak vállalati VPN-profilt vagy privát hitelesítő adatokat, hogy egy teszt átmenjen. Ez elcseréli a felállítani kívánt határt egy zöld eredményre, és a hitelesítő adat túléli a tesztet.

Jegyezze fel a hálózati módot, a megfigyelt kijáratot és az újracsatlakozási viselkedést az üzembe helyezési jegyzetekben. Amikor egy kliensfrissítés megváltoztatja a továbbított forgalom kezelését, ezek a jegyzetek mondják meg, hogy a követelmény soha nem teljesült igazán.