Windows Sandbox-ის ტრაფიკი ნაგულისხმევად არ მიჰყვება ჰოსტის VPN-ს

თქვენ უშვებთ Windows Sandbox-ს, მის შიგნით ხსნით ბრაუზერს და გვერდი იტვირთება თქვენი ჩვეულებრივი კავშირიდან, მიუხედავად იმისა, რომ ჰოსტი წუთით ადრე VPN-ში იყო. არაფერია გატეხილი. Sandbox იღებს ვირტუალურ ქსელურ ადაპტერს, რომელიც ჰოსტის ნაგულისხმევ გადამრთველზეა მიმაგრებული, და თუ ჰოსტის გვირაბი ამ გზას ფარავს, ეს VPN კლიენტის თვისებაა და არა Windows-ის.

რას იღებს Sandbox სინამდვილეში

Sandbox არის მსუბუქი ვირტუალური მანქანა საკუთარი ქსელური ადაპტერით. ეს ადაპტერი უკავშირდება ჰოსტის Hyper-V-ის ნაგულისხმევ გადამრთველს, რომელიც Sandbox-ის ტრაფიკს ჰოსტის ვირტუალურ Ethernet ინტერფეისად გარდაქმნის მანამ, სანამ ის მანქანას დატოვებს. ეს დეტალი ხსნის თითქმის ყველა იმ სიმპტომს, რომელსაც ადამიანები ამის შესახებ იტყობინებიან.

ასე რომ, Sandbox არ არის პროცესი თქვენს სამუშაო მაგიდაზე. ეს არის ცალკე ქსელური ბოლო წერტილი, რომლის პაკეტებსაც ჰოსტი გადაუგზავნის, და ჰოსტის firewall-ი და VPN კლიენტი ამ გადაგზავნას თითოეული თავისებურად ხედავს. ბრაუზერის პროცესისთვის დაწერილი წესი ავტომატურად არ ემთხვევა ვირტუალური გადამრთველიდან მიღებულ გარდაქმნილ კადრს.

ორი მოთხოვნა, რომლებიც ერთად გვეჩვენება

პირად რესურსზე მიღწევა და Sandbox-ის ყოველი მოთხოვნის გვირაბში გატარება ორი განსხვავებული მიზანია. პირველს სჭირდება მარშრუტი და სახელების ამოხსნა, რომლებიც Sandbox-ის ბოლო წერტილისთვის მუშაობს. მეორეს სჭირდება იძულებითი აღსრულება, რომელიც გაუძლებს ხელახალ დაკავშირებას და ჩავარდნას. არც ერთი არ გამომდინარეობს მეორისგან, და ერთის დამაკმაყოფილებელი შემოწმება მეორეზე არაფერს ამბობს.

საჯარო მისამართის შემოწმება ორივე კითხვას სრულად არ პასუხობს. VPN-ის გასასვლელის დანახვა Sandbox-ის შიგნიდან აჩვენებს, რომ ტრაფიკის ნაწილმა გვირაბი გამოიყენა. ის არაფერს ამბობს იმაზე, ამოიხსნება თუ არა პირადი სახელები, ან რა ხდება მოთხოვნასთან, რომელიც იწყება მაშინ, როცა გვირაბი გამორთულია.

ჩაწერეთ, რომელი გჭირდებათ, სანამ რამეს გამოსცდით, რადგან ორი მოთხოვნა სხვადასხვა დიზაინს იწვევს და მხოლოდ ერთის გადამოწმება შეიძლება ბრაუზერით.

შეამოწმეთ Sandbox-ის შიგნიდან

ერთადერთი მნიშვნელოვანი დაკვირვება მოდის თავად Sandbox-ის სესიიდან და არა ჰოსტიდან. გახსენით იქ PowerShell და შეხედეთ ადაპტერს, სახელების ამოხსნას და დოკუმენტაციის მისამართამდე მიმავალ გზას:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

ადაპტერების სია გიჩვენებთ მისამართს და კარიბჭეს, რომლებიც Sandbox-მა მიიღო. ჰოსტისგან განსხვავებული კარიბჭე ნაგულისხმევი გადამრთველისთვის ნორმალურია, ამიტომ შეადარეთ გასასვლელი და არა კარიბჭე. ამოხსნის ტესტი გიჩვენებთ, პასუხობს თუ არა პირად სახელს საერთოდ, და სწორედ აქ განსხვავდება ჩვეულებრივ split-horizon კონფიგურაციები ჰოსტისგან. მარშრუტის ხაზი გიჩვენებთ, რომელი კარიბჭე მიაჩნია Sandbox-ს ნაგულისხმევი მარშრუტის მფლობელად.

გაიმეორეთ იგივე სამი შემოწმება დაკავშირებული და გათიშული გვირაბით. შედეგი, რომელიც ამ ორ მდგომარეობას შორის არ იცვლება, მტკიცებულებაა, რომ გვირაბი საერთოდ არ არის Sandbox-ის გზაზე, რომელი მისამართიც არ უნდა გამოეჩინა საჯარო შემოწმებას.

გამორთეთ ქსელი, როცა Sandbox-ს ის არ სჭირდება

ოფლაინ შემოწმებისთვის მორგებულ კონფიგურაციის ფაილს შეუძლია ქსელი სრულიად მოხსნას. პარამეტრი კონფიგურაციის დოკუმენტში ერთი ელემენტია:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Sandbox-ის კონფიგურაციის ცნობარი აღწერს ამ ელემენტს და აფრთხილებს, რომ ჩართულმა ქსელმა შეიძლება შიდა ქსელები გაამჟღავნოს იმ აპლიკაციებისთვის, რომლებსაც არ ენდობით. სწორედ ეს გაფრთხილებაა მთელი მიზეზი იმისა, რომ ის ცხადად დავაყენოთ ნაგულისხმები მნიშვნელობის მიღების ნაცვლად.

თუმცა გადამრთველი VPN ინტერფეისს არ ირჩევს. ეს ორობითი გადაწყვეტილებაა იმაზე, არსებობს თუ არა ქსელი, და არა Sandbox-ის კონკრეტულ გვირაბზე მიბმის გზა. მოთხოვნა, რომელიც გასასვლელს ასახელებს, ვერ დაკმაყოფილდება გადამრთველით, რომელიც მხოლოდ იმას წყვეტს, არსებობს თუ არა ის.

დააპროექტეთ საზღვარი, სანამ რამეს მისცემთ

თუ მოთხოვნა მკაცრი იზოლაციაა, აირჩიეთ ვირტუალური მანქანის ქსელური დიზაინი, რომელსაც შეუძლია მისი აღსრულება, და გამოიყენეთ VPN პროდუქტის მხარდაჭერილი პოლიტიკა გადაგზავნილი ან ვირტუალური მანქანების ტრაფიკისთვის. ჰოსტის კლიენტის ქცევის გამოცნობა დიზაინი არ არის, და ერთი წარმატებული შემოწმება იმპლემენტაცია არ არის.

ნუ მისცემთ არასანდო Sandbox-ს კორპორატიულ VPN პროფილს ან პირად რწმუნებულებს იმისთვის, რომ ტესტმა გაიაროს. ეს ცვლის საზღვარს, რომლის დამყარებასაც ცდილობდით, მწვანე შედეგში, და რწმუნება ტესტზე დიდხანს ცოცხლობს.

განლაგების შენიშვნებში ჩაწერეთ ქსელის რეჟიმი, დაკვირვებული გასასვლელი და ხელახალი დაკავშირების ქცევა. როცა კლიენტის განახლება შეცვლის, როგორ მუშავდება გადაგზავნილი ტრაფიკი, სწორედ ის შენიშვნები ამბობენ, რომ მოთხოვნა არასდროს ყოფილა ნამდვილად დაკმაყოფილებული.