Windows Sandbox srautas pagal numatytuosius nustatymus neseka prieglobos VPN

Paleidžiate Windows Sandbox, atidarote jame naršyklę, ir puslapis įkeliamas iš įprasto ryšio, nors priegloba prieš minutę buvo VPN. Niekas nesugedę. Smėlio dėžė gauna virtualų tinklo adapterį, prijungtą prie numatytojo prieglobos komutatoriaus, o ar prieglobos tunelis apima tą kelią, yra VPN kliento savybė, o ne Windows.

Ką smėlio dėžė iš tikrųjų gauna

Smėlio dėžė yra lengva virtualioji mašina su savo tinklo adapteriu. Tas adapteris jungiasi per prieglobos Hyper-V numatytąjį komutatorių, kuris smėlio dėžės srautą paverčia prieglobos virtualia Ethernet sąsaja, kol ji palieka mašiną. Ši detalė paaiškina beveik visus simptomus, apie kuriuos žmonės praneša šiuo klausimu.

Taigi smėlio dėžė nėra procesas jūsų darbalaukyje. Tai atskiras tinklo galinis taškas, kurio paketus persiunčia priegloba, o prieglobos ugniasienė ir VPN klientas tą persiuntimą mato kiekvienas savaip. Taisyklė, parašyta naršyklės procesui, automatiškai neatitinka iš virtualaus komutatoriaus gauto konvertuoto kadro.

Du reikalavimai, kurie atrodo kaip vienas

Pasiekti privatų išteklių ir priversti kiekvieną smėlio dėžės užklausą eiti per tunelį yra du skirtingi tikslai. Pirmajam reikia maršruto ir vardų skyrimo, kurie veiktų smėlio dėžės galiniam taškui. Antrajam reikia priverstinio vykdymo, kuris atlaikytų prisijungimą iš naujo ir gedimą. Nė vienas neišplaukia iš kito, o vieną tenkinantis patikrinimas nieko nesako apie antrą.

Viešojo adreso patikrinimas neatsako visiškai nė į vieną iš dviejų klausimų. VPN išėjimo matymas smėlio dėžės viduje rodo, kad dalis srauto naudojo tunelį. Jis nieko nesako apie tai, ar privatūs vardai išsprendžiami, ar apie tai, kas nutinka užklausai, kuri prasideda tuneliui esant išjungtam.

Užsirašykite, kurio iš dviejų jums reikia, prieš ką nors testuodami, nes du reikalavimai veda prie skirtingų projektų ir tik vieną galima patikrinti naršykle.

Tikrinkite smėlio dėžės viduje

Vienintelis prasmingas stebėjimas ateina iš pačios smėlio dėžės sesijos, o ne iš prieglobos. Atidarykite ten PowerShell ir pažiūrėkite adapterį, vardų skyrimą ir kelią iki dokumentacijos adreso:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Adapterių sąrašas rodo adresą ir tinklų sietuvą, kuriuos gavo smėlio dėžė. Kitoks nei prieglobos tinklų sietuvas yra normalus numatytajam komutatoriui, todėl lyginkite išėjimą, o ne tinklų sietuvą. Skyrimo testas rodo, ar į privatų vardą apskritai atsakoma, ir būtent čia split-horizon konfigūracijos paprastai skiriasi nuo prieglobos. Maršruto eilutė rodo, kurį tinklų sietuvą smėlio dėžė laiko numatytojo maršruto savininku.

Pakartokite tuos pačius tris patikrinimus su prijungtu ir atjungtu tuneliu. Rezultatas, kuris nesikeičia tarp šių dviejų būsenų, yra įrodymas, kad tunelis visai nėra smėlio dėžės kelyje, kad ir kokį adresą būtų parodęs viešasis patikrinimas.

Išjunkite tinklą, kai smėlio dėžei jo nereikia

Jei norite tikrinti neprisijungus, pasirinktinis konfigūracijos failas gali visiškai pašalinti tinklą. Nustatymas yra vienas elementas konfigūracijos dokumente:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Smėlio dėžės konfigūracijos nuoroda dokumentuoja šį elementą ir įspėja, kad įjungtas tinklas gali atskleisti vidinius tinklus programoms, kuriomis nepasitikite. Tas įspėjimas yra visa priežastis nustatyti tai aiškiai, o ne priimti numatytąją reikšmę.

Tačiau komutatorius nepasirenka VPN sąsajos. Tai dvejetainis sprendimas, ar yra tinklas, o ne būdas pririšti smėlio dėžę prie konkretaus tunelio. Reikalavimo, kuriame įvardijama išėjimas, negali įvykdyti komutatorius, kuris tik nusprendžia, ar toks yra.

Suprojektuokite ribą prieš ką nors suteikdami

Jei reikalavimas yra griežta izoliacija, pasirinkite virtualiosios mašinos tinklo projektą, galintį ją užtikrinti, ir naudokite VPN produkto palaikomą politiką persiunčiamam srautui arba virtualiųjų mašinų srautui. Prieglobos kliento elgsenos spėliojimas nėra projektas, o vienas sėkmingas patikrinimas nėra įgyvendinimas.

Neduokite nepatikimai smėlio dėžei įmonės VPN profilio ar privačių prisijungimo duomenų, kad testas praeitų. Tai iškeičia ribą, kurią bandėte nustatyti, į žalią rezultatą, o prisijungimo duomenys pergyvena testą.

Užrašykite tinklo režimą, stebėtą išėjimą ir prisijungimo iš naujo elgseną diegimo pastabose. Kai kliento naujinimas pakeis, kaip tvarkomas persiunčiamas srautas, būtent tos pastabos pasakys, kad reikalavimas niekada nebuvo tikrai įvykdytas.