Den Trafic vu Windows Sandbox follegt net standardméisseg dem VPN vum Host

Dir start Windows Sandbox, maacht en Browser dodran op, an d’Säit lued aus ärer normaler Verbindung, obwuel den Host eng Minutt virdrun um VPN war. Näischt ass futti. D’Sandbox kritt en virtuelle Netzwierkadapter, deen um Standard-Schalter vum Host ugeschloss ass, an ob den Tunnel vum Host dee Wee deckt, ass eng Eegeschaft vum VPN-Client, net vu Windows.

Wat d’Sandbox tatsächlech kritt

D’Sandbox ass eng liicht virtuell Maschinn mat hirem eegenen Netzwierkadapter. Dee Adapter verbënnt sech iwwer den Hyper-V-Standard-Schalter vum Host, deen den Trafic vun der Sandbox op d’virtuell Ethernet-Interface vum Host iwwersetzt, ier en d’Maschinn verléisst. Dëst Detail erkläert bal all Symptom, deen d’Leit doriwwer mellen.

D’Sandbox ass also kee Prozess op Ärem Desktop. Et ass en eegene Netzendpunkt, deem seng Pakete vum Host weidergeleet ginn, an d’Firewall vum Host an de VPN-Client gesinn déi Weiderleetung all op seng Manéier. Eng Regel, déi fir e Browserprozess geschriwwe gouf, passt net automatesch op eng iwwersat Frame vun engem virtuelle Schalter.

Zwee Ufuerderunge, déi wéi eng ausgesinn

Eng privat Ressource erreechen an all Ufro vun der Sandbox duerch den Tunnel ze zwénken sinn zwee verschidde Ziler. Déi éischt brauch eng Route an eng Nummopléisung, déi fir den Endpunkt vun der Sandbox schaffen. Déi zweet brauch eng Duerchsetzung, déi eng Rekonnexioun an en Ausfall iwwersteet. Keent dovun ergëtt sech aus deem aneren, an eng Kontroll, déi ee erfëllt, seet näischt iwwer dat zweet.

Eng Kontroll vun der ëffentlecher Adress beäntwert keng vun den zwou Froe komplett. De VPN-Ausgang vun bannen der Sandbox ze gesinn weist, datt en Deel vum Trafic den Tunnel benotzt huet. Si seet näischt doriwwer, ob privat Nimm opgeléist ginn, oder wat mat enger Ufro geschitt, déi start wärend den Tunnel erof ass.

Schreift op, wéi eng vun den zwou Dir braucht, ier Dir eppes test, well déi zwou Ufuerderungen zu verschiddenen Designe féieren an nëmmen eng mat engem Browser verifizéiert ka ginn.

Kontrolléiert vu bannen der Sandbox

Déi eenzeg sënnvoll Observatioun kënnt aus der Sëtzung vun der Sandbox selwer, net vum Host. Maacht do PowerShell op a kuckt den Adapter, d’Nummopléisung an de Wee bis zu enger Dokumentatiounsadress:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

D’Lëscht vun den Adaptere weist d’Adress an de Gateway, déi d’Sandbox krut. En anere Gateway wéi dee vum Host ass normal fir den Standard-Schalter, also vergläicht den Ausgang an net de Gateway. Den Opléisungstest weist, ob iwwerhaapt op en privaten Numm geäntwert gëtt, an do wäichen split-horizon-Astellungen normalerweis vum Host of. D’Routelinn weist, wéi en Gateway d’Sandbox als Besëtzer vun der Standardroute gesäit.

Widderhëlt déiselwecht dräi Kontrollen mam Tunnel verbonnen an getrennt. En Resultat, dat sech tëscht dësen zwee Zustänn net ännert, ass de Beweis, datt den Tunnel guer net um Wee vun der Sandbox ass, wéi eng Adress d’ëffentlech Kontroll och ëmmer gewisen huet.

Schalt d’Netzwierk aus, wann d’Sandbox et net brauch

Fir eng Offline-Inspectioun kann eng ugepasst Konfiguratiounsdatei d’Netzwierk komplett ewechhuelen. D’Astellung ass een eenzegt Element am Konfiguratiounsdokument:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

D’Referenz zur Sandbox-Konfiguratioun dokumentéiert dëst Element a warnt, datt ageschalt Netzwierk intern Netzer Applikatiounen aussetze kann, dénen Dir net vertraut. Déi Warnung ass de ganzen Grond, et explizit ze setzen, amplaz de Standard z’acceptéieren.

Den Schalter wielt awer keng VPN-Interface. Et ass eng binär Entscheedung doriwwer, ob et en Netz gëtt, net e Wee, d’Sandbox un en bestëmmten Tunnel ze bannen. Eng Ufuerderung, déi en Ausgang nennt, kann net vun engem Schalter erfëllt ginn, deen nëmmen entscheet, ob et een gëtt.

Designt d’Grenz, ier Dir eppes accordéiert

Wann d’Ufuerderung strikt Isolatioun ass, wielt eng virtuell Maschinnen-Netzwierkdesign, déi se duerchsetze kann, a benotzt déi ënnerstëtzt Politik vum VPN-Produkt fir weidergeleet Trafic oder Trafic vu virtuellen Maschinnen. D’Verhalen vum Host-Client ze roden ass keen Design, an eng eenzeg erfollegräich Kontroll ass keng Ëmsetzung.

Gitt enger net vertrauenswierdeger Sandbox kee Firmen-VPN-Profil oder privat Umeldungsdaten, fir en Test ze bestoen. Dat tauscht d’Grenz, déi Dir versicht hutt opzebauen, géint e gréngt Resultat, an d’Umeldungsdaten iwwerliewe den Test.

Schreift de Netzwierkmodus, den observéierten Ausgang an d’Rekonnexiounsverhalen an den Asaznotizen op. Wann eng Client-Aktualiséierung ännert, wéi weidergeleeten Trafic behandelt gëtt, sinn et déi Notizen, déi soen, datt d’Ufuerderung ni wierklech erfëllt war.