Lalu lintas Windows Sandbox tidak mengikuti VPN host secara default

Anda menjalankan Windows Sandbox, membuka peramban di dalamnya, dan halaman dimuat dari koneksi normal Anda padahal host berada di VPN satu menit sebelumnya. Tidak ada yang rusak. Sandbox mendapat adaptor jaringan virtual yang terpasang pada sakelar default host, dan apakah tunnel host mencakup jalur itu adalah properti klien VPN, bukan Windows.

Apa yang sebenarnya didapat sandbox

Sandbox adalah mesin virtual ringan dengan adaptor jaringannya sendiri. Adaptor itu terhubung melalui sakelar default Hyper-V host, yang menerjemahkan lalu lintas sandbox ke antarmuka Ethernet virtual host sebelum keluar dari mesin. Detail ini menjelaskan hampir setiap gejala yang dilaporkan orang tentang hal ini.

Jadi sandbox bukan proses di desktop Anda. Ini titik akhir jaringan terpisah yang paketnya diteruskan oleh host, dan firewall host serta klien VPN masing-masing melihat penerusan itu dengan caranya sendiri. Aturan yang ditulis untuk proses peramban tidak otomatis cocok dengan frame terjemahan dari sakelar virtual.

Dua persyaratan yang tampak satu

Menjangkau sumber daya privat dan memaksa setiap permintaan sandbox melewati tunnel adalah dua tujuan berbeda. Yang pertama membutuhkan rute dan resolusi nama yang bekerja untuk titik akhir sandbox. Yang kedua membutuhkan penegakan yang bertahan terhadap penyambungan ulang dan kegagalan. Tidak satu pun mengikuti dari yang lain, dan pemeriksaan yang memenuhi salah satunya tidak mengatakan apa pun tentang yang kedua.

Pemeriksaan alamat publik tidak menjawab sepenuhnya kedua pertanyaan itu. Melihat keluar VPN dari dalam sandbox menunjukkan bahwa sebagian lalu lintas memakai tunnel. Itu tidak mengatakan apa pun tentang apakah nama privat teresolusi, atau apa yang terjadi pada permintaan yang mulai saat tunnel mati.

Tuliskan mana yang Anda butuhkan sebelum menguji apa pun, karena kedua persyaratan mengarah ke rancangan berbeda dan hanya satu yang dapat diverifikasi dengan peramban.

Periksa dari dalam sandbox

Satu-satunya pengamatan bermakna datang dari sesi sandbox itu sendiri, bukan dari host. Buka PowerShell di sana dan lihat adaptor, resolusi nama, serta jalur ke alamat dokumentasi:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Daftar adaptor memberi tahu alamat dan gateway yang diterima sandbox. Gateway berbeda dari milik host adalah hal normal pada sakelar default, jadi bandingkan keluarnya, bukan gateway-nya. Uji resolusi memberi tahu apakah nama privat dijawab sama sekali, dan di sinilah penyiapan split-horizon biasanya berbeda dari host. Baris rute memberi tahu gateway mana yang dianggap sandbox sebagai pemilik rute default.

Ulangi ketiga pemeriksaan yang sama dengan tunnel tersambung dan terputus. Hasil yang tidak berubah di antara kedua keadaan itu adalah bukti bahwa tunnel sama sekali tidak berada di jalur sandbox, alamat apa pun yang ditunjukkan pemeriksaan publik.

Matikan jaringan saat sandbox tidak membutuhkannya

Untuk pemeriksaan offline, berkas konfigurasi khusus dapat menghapus jaringan sepenuhnya. Pengaturannya adalah satu elemen dalam dokumen konfigurasi:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Referensi konfigurasi sandbox mendokumentasikan elemen ini dan memperingatkan bahwa jaringan yang diaktifkan dapat mengekspos jaringan internal ke aplikasi yang tidak Anda percayai. Peringatan itulah seluruh alasan menetapkannya secara eksplisit daripada menerima nilai default.

Namun sakelar tidak memilih antarmuka VPN. Ini keputusan biner tentang ada atau tidaknya jaringan, bukan cara mengikat sandbox ke tunnel tertentu. Persyaratan yang menyebut keluaran tidak dapat dipenuhi oleh sakelar yang hanya memutuskan apakah ada keluaran.

Rancang batasnya sebelum memberi apa pun

Jika persyaratannya isolasi ketat, pilih rancangan jaringan mesin virtual yang dapat menegakkannya, dan gunakan kebijakan yang didukung produk VPN untuk lalu lintas yang diteruskan atau lalu lintas mesin virtual. Menebak perilaku klien host bukan rancangan, dan satu pemeriksaan yang berhasil bukan implementasi.

Jangan beri sandbox yang tidak tepercaya profil VPN korporat atau kredensial privat agar satu uji lolos. Itu menukar batas yang Anda coba tegakkan dengan hasil hijau, dan kredensialnya bertahan lebih lama dari ujinya.

Catat mode jaringan, keluaran yang diamati, dan perilaku penyambungan ulang di catatan penyebaran. Ketika pembaruan klien mengubah cara lalu lintas yang diteruskan ditangani, catatan itulah yang mengatakan bahwa persyaratan tersebut tidak pernah benar-benar terpenuhi.