Windows Sandbox трафигі әдепкіде хосттың VPN-імен жүрмейді

Сіз Windows Sandbox-ты іске қосасыз, ішінде браузер ашасыз, және бет әдеттегі қосылымыңыздан жүктеледі, бірақ хост бір минут бұрын VPN-де еді. Ештеңе бұзылмаған. Sandbox хосттың әдепкі коммутаторына қосылған виртуалды желілік адаптер алады, ал хост туннелінің сол жолды қамтуы VPN клиентінің қасиеті, Windows-тің емес.

Sandbox шын мәнінде не алады

Sandbox — өз желілік адаптері бар жеңіл виртуалды машина. Бұл адаптер хосттың Hyper-V әдепкі коммутаторы арқылы қосылады, ол Sandbox трафигін машинадан шығар алдында хосттың виртуалды Ethernet интерфейсіне айналдырады. Бұл бөлшек адамдардың бұл туралы хабарлайтын барлық дерлік белгісін түсіндіреді.

Сондықтан Sandbox — жұмыс үстеліңіздегі процесс емес. Бұл пакеттерін хост жіберетін жеке желілік соңғы нүкте, ал хосттың брандмауэры мен VPN клиенті бұл жіберуді әрқайсысы өзінше көреді. Браузер процесі үшін жазылған ереже виртуалды коммутатордан келген түрлендірілген кадрға автоматты түрде сәйкес келмейді.

Бір сияқты көрінетін екі талап

Жеке ресурсқа жету және Sandbox-тың әрбір сұранысын туннельден өткізуге мәжбүрлеу — екі түрлі мақсат. Біріншісіне Sandbox-тың соңғы нүктесі үшін жұмыс істейтін маршрут пен атауларды шешу қажет. Екіншісіне қайта қосылуға және ақауға төтеп беретін мәжбүрлі орындалу қажет. Ешқайсысы екіншісінен туындамайды, ал біреуін қанағаттандыратын тексеру екіншісі туралы ештеңе айтпайды.

Жалпыға ортақ мекенжайды тексеру екі сұрақтың ешқайсысына толық жауап бермейді. Sandbox ішінен VPN шығысын көру трафиктің бір бөлігі туннельді пайдаланғанын көрсетеді. Ол жеке атаулардың шешілуі немесе туннель өшіп тұрғанда басталған сұранысқа не болатыны туралы ештеңе айтпайды.

Бірдеңені сынамас бұрын екеуінің қайсысы керегін жазып қойыңыз, өйткені екі талап түрлі жобаларға әкеледі және тек біреуін ғана браузермен тексеруге болады.

Sandbox ішінен тексеріңіз

Жалғыз мәнді байқау хосттан емес, Sandbox-тың өз сессиясынан келеді. Онда PowerShell ашып, адаптерге, атауларды шешуге және құжаттама мекенжайына дейінгі жолға қараңыз:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Адаптерлер тізімі Sandbox алған мекенжай мен шлюзді көрсетеді. Хосттан өзгеше шлюз әдепкі коммутатор үшін қалыпты, сондықтан шлюзді емес, шығысты салыстырыңыз. Шешу тесті жеке атауға жалпы жауап беріле ме, соны көрсетеді, және дәл осы жерде split-horizon конфигурациялары хосттан ажырайды. Маршрут жолы Sandbox қай шлюзді әдепкі маршруттың иесі деп санайтынын көрсетеді.

Сол үш тексеруді туннель қосылған және ажыратылған күйде қайталаңыз. Осы екі күй арасында өзгермейтін нәтиже туннельдің Sandbox жолында мүлдем жоқ екенінің дәлелі, жалпы тексеру қандай мекенжайды көрсетсе де.

Sandbox-қа желі қажет болмағанда оны өшіріңіз

Желісіз тексеру үшін теңшелген конфигурация файлы желіні толық алып тастай алады. Параметр конфигурация құжатындағы бір элемент:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Sandbox конфигурациясының анықтамалығы осы элементті құжаттайды және қосылған желі ішкі желілерді сіз сенбейтін қолданбаларға әшкерелей алатынын ескертеді. Әдепкіні қабылдаудың орнына оны анық орнатудың бүкіл себебі — осы ескерту.

Алайда коммутатор VPN интерфейсін таңдамайды. Бұл желінің бар-жоғы туралы екілік шешім, Sandbox-ты белгілі бір туннельге байлаудың жолы емес. Шығысты атайтын талапты тек шығыстың бар-жоғын шешетін коммутатор қанағаттандыра алмайды.

Бірдеңе бермес бұрын шекараны жобалаңыз

Егер талап қатаң оқшаулау болса, оны орындай алатын виртуалды машина желісінің жобасын таңдап, жіберілетін немесе виртуалды машиналар трафигі үшін VPN өнімінің қолдау көрсетілген саясатын пайдаланыңыз. Хост клиентінің мінез-құлқын болжау жоба емес, ал бір сәтті тексеру — іске асыру емес.

Тест өтуі үшін сенімсіз Sandbox-қа корпоративтік VPN профилін немесе жеке тіркелгі деректерін бермеңіз. Бұл орнатуға тырысқан шекараңызды жасыл нәтижеге айырбастайды, ал тіркелгі деректері тесттен ұзақ өмір сүреді.

Орналастыру жазбаларында желі режимін, байқалған шығысты және қайта қосылу мінез-құлқын жазыңыз. Клиент жаңартуы жіберілетін трафиктің өңделуін өзгерткенде, дәл сол жазбалар талаптың ешқашан шынымен орындалмағанын айтады.