Umferð Windows Sandbox fylgir ekki VPN hýsilsins sjálfgefið

Þú ræsir Windows Sandbox, opnar vafra inni í því og síðan hleðst frá venjulegri tengingu þinni þótt hýsillinn hafi verið á VPN fyrir mínútu. Ekkert er bilað. Sandboxið fær sýndarnetþokka sem er tengdur sjálfgefna rofa hýsilsins, og hvort göng hýsilsins ná yfir þá leið er eiginleiki VPN-biðlarans, ekki Windows.

Hvað sandboxið fær í raun

Sandboxið er létt sýndarvél með sinn eigin netþokka. Sá þokki tengist um sjálfgefinn Hyper-V-rofa hýsilsins, sem þýðir umferð sandboxsins yfir á sýndar-Ethernet-tengi hýsilsins áður en hún yfirgefur vélina. Þessi smáatriði útskýrir nánast hverja þá einkennistákn sem fólk tilkynnir um þetta.

Sandboxið er því ekki ferli á skjáborðinu þínu. Það er sérstakur netendapunktur sem hýsillinn sendir pakkana þess áfram fyrir, og eldveggur hýsilsins og VPN-biðlarinn sjá hvort um sig þá sendingu á sinn hátt. Regla sem skrifuð er fyrir vafraferli passar ekki sjálfkrafa við þýddan ramma frá sýndarrofa.

Tvær kröfur sem líta út eins og ein

Að ná í einkaaðlind og að þvinga hverja beiðni sandboxsins í gegnum göngin eru tvö mismunandi markmið. Hið fyrra þarf leið og nafnupplausn sem virka fyrir endapunkt sandboxsins. Hið síðara þarf framfylgd sem stenst endurtengingu og bilun. Hvort tveggja fylgir ekki af hinu, og prófun sem fullnægir öðru segir ekkert um hitt.

Prófun á opinberu vistfangi svarar hvorugri spurningunni að fullu. Að sjá VPN-útganginn innan frá sandboxinu sýnir að einhver umferð notaði göngin. Hún segir ekkert um hvort einkanöfn séu leyst, eða hvað verður um beiðni sem hefst meðan göngin eru niðri.

Skrifaðu niður hvorrar þú þarft áður en þú prófar nokkuð, því kröfurnar tvær leiða til ólíkrar hönnunar og aðeins er hægt að sannreyna aðra með vafra.

Athugaðu innan frá sandboxinu

Eina merkingarbæra athugunin kemur frá setu sandboxsins sjálfs, ekki hýsilsins. Opnaðu PowerShell þar og skoðaðu þokkann, nafnupplausnina og leiðina að skjölunarvistfangi:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Þokkalistinn sýnir vistfangið og gáttina sem sandboxið fékk. Önnur gátt en hýsilsins er eðlileg fyrir sjálfgefna rofann, svo bera saman útganginn frekar en gáttina. Upplausnarprófið sýnir hvort svarað er einkanafni yfirhöfuð, og það er þar sem split-horizon-uppsetningar víkja venjulega frá hýsilnum. Leiðarlínan sýnir hvaða gátt sandboxið telur eiga sjálfgefnu leiðina.

Endurtaktu sömu þrjár prófanir með göngin tengd og aftengd. Niðurstaða sem breytist ekki milli þessara tveggja ástanda er sönnun þess að göngin eru alls ekki á leið sandboxsins, hvaða vistfang sem opinbera prófunin sýndi.

Slökktu á netkerfinu þegar sandboxið þarf ekki á því að halda

Fyrir skoðun án nettengingar getur sérsniðin stillingaskrá fjarlægt netið algjörlega. Stillingin er eitt atriði í stillingarskjölinu:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Stillingarviðmiðun sandboxsins skjalfestir þetta atriði og varar við því að virkt netkerfi geti afhjúpað innri net fyrir forritum sem þú treystir ekki. Þessi viðvörun er öll ástæðan til að stilla það skýrt í stað þess að samþykkja sjálfgefna gildið.

Rofinn velur þó ekki VPN-tengi. Hann er tvíundarákvörðun um hvort net sé til staðar, ekki leið til að binda sandboxið við tiltekin göng. Krafa sem nefnir útgang er ekki hægt að fullnægja með rofa sem aðeins ákveður hvort einn sé til.

Hannaðu mörkin áður en þú veitir nokkuð

Ef krafan er ströng einangrun, veldu nethönnun sýndarvélar sem getur framfylgt henni, og notaðu studda stefnu VPN-vörunnar fyrir áfram senda umferð eða umferð sýndarvéla. Að giska á hegðun biðlara hýsilsins er ekki hönnun, og ein vel heppnuð prófun er ekki útfærsla.

Ekki gefa ótraustu sandboxi fyrirtækja-VPN-snið eða einkaskilríki til að láta próf ganga. Það skiptir mörkunum sem þú reyndir að koma á fyrir græna niðurstöðu, og skilríkið lifir prófið af.

Skráðu netstillinguna, séða útgang og endurtengingarhegðun í uppsetningarskýrslurnar. Þegar biðlarauppfærsla breytir því hvernig áfram send umferð er meðhöndluð, eru það skýrslurnar sem segja að krafan hafi aldrei verið raunverulega uppfyllt.