Windows Sandbox-ի երթևեկությունը լռելյայն չի հետևում հյուրընկալողի VPN-ին

Դուք գործարկում եք Windows Sandbox-ը, ներսում բացում եք զննարկիչ, և էջը բեռնվում է ձեր սովորական կապից, թեև հյուրընկալողը մեկ րոպե առաջ VPN-ում էր։ Ոչինչ կոտրված չէ։ Sandbox-ը ստանում է վիրտուալ ցանցային ադապտեր, որը միացված է հյուրընկալողի լռելյայն անջատիչին, և թե արդյոք հյուրընկալողի թունելը ծածկում է այդ ուղին, VPN հաճախորդի հատկություն է, ոչ թե Windows-ի։

Ինչ է իրականում ստանում Sandbox-ը

Sandbox-ը թեթև վիրտուալ մեքենա է՝ իր ցանցային ադապտերով։ Այդ ադապտերը միանում է հյուրընկալողի Hyper-V լռելյայն անջատիչի միջոցով, որը Sandbox-ի երթևեկությունը վերափոխում է հյուրընկալողի վիրտուալ Ethernet միջերեսի նախքան այն կլքի մեքենան։ Այս մանրամասնությունը բացատրում է գրեթե բոլոր ախտանիշները, որոնց մասին մարդիկ հայտնում են այս առնչությամբ։

Այսպիսով, Sandbox-ը պրոցես չէ ձեր աշխատասեղանին։ Այն առանձին ցանցային վերջնակետ է, որի փաթեթները փոխանցում է հյուրընկալողը, և հյուրընկալողի firewall-ը և VPN հաճախորդը յուրաքանչյուրն այդ փոխանցումը տեսնում է իր ձևով։ Զննարկիչի պրոցեսի համար գրված կանոնը ինքնաբերաբար չի համապատասխանում վիրտուալ անջատիչից ստացված վերափոխված շրջանակին։

Երկու պահանջ, որոնք նման են մեկին

Մասնավոր ռեսուրսին հասնելը և Sandbox-ի յուրաքանչյուր հարցում թունելով անցկացնելը տարբեր նպատակներ են։ Առաջինին անհրաժեշտ է երթուղի և անունների լուծում, որոնք աշխատում են Sandbox-ի վերջնակետի համար։ Երկրորդին անհրաժեշտ է պարտադրում, որը դիմանում է վերամիացմանը և խափանմանը։ Ոչ մեկը չի բխում մյուսից, և մեկին բավարարող ստուգումը ոչինչ չի ասում երկրորդի մասին։

Հանրային հասցեի ստուգումը լիարժեք չի պատասխանում երկու հարցերից ոչ մեկին։ Sandbox-ի ներսից VPN ելքը տեսնելը ցույց է տալիս, որ երթևեկության մի մասն օգտագործել է թունելը։ Այն ոչինչ չի ասում այն մասին, թե արդյոք մասնավոր անունները լուծվում են, կամ ինչ է պատահում այն հարցմանը, որը սկսվում է, երբ թունելն անջատված է։

Գրեք, թե որն է ձեզ անհրաժեշտ, նախքան որևէ բան փորձարկելը, քանի որ երկու պահանջները տանում են տարբեր նախագծերի, և միայն մեկը կարող է ստուգվել զննարկիչով։

Ստուգեք Sandbox-ի ներսից

Միակ իմաստալից դիտարկումը գալիս է հենց Sandbox-ի սեսիայից, ոչ հյուրընկալողից։ Բացեք այնտեղ PowerShell-ը և նայեք ադապտերին, անունների լուծմանը և փաստաթղթային հասցե տանող ուղուն:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Ադապտերների ցանկը ցույց է տալիս հասցեն և դարպասը, որոնք Sandbox-ը ստացել է։ Հյուրընկալողի դարպասից տարբեր դարպասը սովորական է լռելյայն անջատիչի համար, ուստի համեմատեք ելքը, ոչ թե դարպասը։ Լուծման թեստը ցույց է տալիս, թե արդյոք մասնավոր անվանը ընդհանրապես պատասխանվում է, և հենց այստեղ են split-horizon կարգավորումները սովորաբար տարբերվում հյուրընկալողից։ Երթուղու տողը ցույց է տալիս, թե որ դարպասն է Sandbox-ը համարում լռելյայն երթուղու սեփականատեր։

Կրկնեք նույն երեք ստուգումները թունելը միացված և անջատված վիճակում։ Արդյունքը, որը չի փոխվում այդ երկու վիճակների միջև, ապացույց է, որ թունելը բոլորովին Sandbox-ի ուղու վրա չէ, ինչ հասցե էլ ցույց տվեց հանրային ստուգումը։

Անջատեք ցանցը, երբ Sandbox-ին այն պետք չէ

Առանց ցանցի ստուգման համար հատուկ կոնֆիգուրացիոն ֆայլը կարող է ամբողջությամբ հեռացնել ցանցը։ Կարգավորումը մեկ տարր է կոնֆիգուրացիայի փաստաթղթում:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Sandbox-ի կարգավորումների տեղեկատուն փաստաթղթավորում է այս տարրը և զգուշացնում, որ միացված ցանցը կարող է ներքին ցանցերը բացել այն հավելվածների համար, որոնց դուք չեք վստահում։ Այդ զգուշացումը հենց ամբողջ պատճառն է այն բացահայտ սահմանելու՝ լռելյայնը ընդունելու փոխարեն։

Սակայն անջատիչը VPN միջերես չի ընտրում։ Դա երկուական որոշում է ցանցի գոյության մասին, ոչ թե Sandbox-ը կոնկրետ թունելի կապելու միջոց։ Ելք անվանող պահանջը չի կարող բավարարվել անջատիչով, որը միայն որոշում է՝ կա՞ այն, թե՞ ոչ։

Նախագծեք սահմանը, նախքան որևէ բան տալը

Եթե պահանջը խիստ մեկուսացում է, ընտրեք վիրտուալ մեքենայի ցանցային նախագիծ, որը կարող է այն պարտադրել, և օգտագործեք VPN արտադրանքի աջակցվող քաղաքականությունը փոխանցվող կամ վիրտուալ մեքենաների երթևեկության համար։ Հյուրընկալողի հաճախորդի վարքը գուշակելը նախագիծ չէ, և մեկ հաջող ստուգումը իրականացում չէ։

Չտվեք անվստահելի Sandbox-ին կորպորատիվ VPN պրոֆիլ կամ մասնավոր հավատարմագրեր, որպեսզի թեստը անցնի։ Դա փոխանակում է այն սահմանը, որը փորձում էիք հաստատել, կանաչ արդյունքի հետ, և հավատարմագիրը ապրում է ավելի երկար, քան թեստը։

Գրանցեք ցանցային ռեժիմը, դիտարկված ելքը և վերամիացման վարքը տեղակայման գրառումներում։ Երբ հաճախորդի թարմացումը փոխի, թե ինչպես է մշակվում փոխանցվող երթևեկությունը, հենց այդ գրառումներն են ասում, որ պահանջը երբեք իրականում չի կատարվել։