Windows Sandbox trafiks pēc noklusējuma neiet caur resursdatora VPN

Jūs palaižat Windows Sandbox, atverat tajā pārlūku, un lapa ielādējas no jūsu parastā savienojuma, lai gan resursdators pirms minūtes bija VPN. Nekas nav salūzis. Sandbox saņem virtuālo tīkla adapteri, kas pievienots resursdatora noklusējuma komutatoram, un tas, vai resursdatora tunelis pārklāj šo ceļu, ir VPN klienta īpašība, nevis Windows.

Ko Sandbox patiešām saņem

Sandbox ir viegla virtuālā mašīna ar savu tīkla adapteri. Šis adapters pieslēdzas caur resursdatora Hyper-V noklusējuma komutatoru, kas pārtulko Sandbox trafiku uz resursdatora virtuālo Ethernet saskarni, pirms tas atstāj mašīnu. Šī detaļa izskaidro gandrīz visus simptomus, par kuriem cilvēki ziņo šajā sakarā.

Tātad Sandbox nav process jūsu darbvirsmā. Tas ir atsevišķs tīkla galapunkts, kura paketes pārsūta resursdators, un resursdatora ugunsmūris un VPN klients katrs redz šo pārsūtīšanu savā veidā. Noteikums, kas rakstīts pārlūka procesam, automātiski neatbilst pārveidotam kadram no virtuālā komutatora.

Divas prasības, kas izskatās kā viena

Piekļūt privātam resursam un piespiest katru Sandbox pieprasījumu iet caur tuneli ir divi dažādi mērķi. Pirmajam vajadzīgs maršruts un nosaukumu atrisināšana, kas darbojas Sandbox galapunktam. Otrajam vajadzīga piespiedu izpilde, kas pārdzīvo atkārtotu savienojumu un kļūmi. Neviens neizriet no otra, un pārbaude, kas apmierina vienu, neko nepasaka par otru.

Publiskās adreses pārbaude pilnībā neatbild ne uz vienu no diviem jautājumiem. VPN izejas redzēšana Sandbox iekšpusē parāda, ka daļa trafika izmantoja tuneli. Tā neko nepasaka par to, vai privātie nosaukumi tiek atrisināti, vai par to, kas notiek ar pieprasījumu, kas sākas, kamēr tunelis ir izslēgts.

Pierakstiet, kura no abām jums vajadzīga, pirms kaut ko testējat, jo abas prasības ved pie dažādiem projektiem un tikai vienu var pārbaudīt ar pārlūku.

Pārbaudiet Sandbox iekšpusē

Vienīgais jēgpilnais novērojums nāk no pašas Sandbox sesijas, nevis no resursdatora. Atveriet tur PowerShell un apskatiet adapteri, nosaukumu atrisināšanu un ceļu līdz dokumentācijas adresei:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Adapteru saraksts parāda adresi un vārteju, ko Sandbox saņēma. Citāda vārteja nekā resursdatoram ir normāla noklusējuma komutatorā, tāpēc salīdziniet izeju, nevis vārteju. Atrisināšanas tests parāda, vai uz privātu nosaukumu vispār atbild, un tieši šeit split-horizon konfigurācijas parasti atšķiras no resursdatora. Maršruta rinda parāda, kuru vārteju Sandbox uzskata par noklusējuma maršruta īpašnieku.

Atkārtojiet tos pašus trīs pārbaudes ar pievienotu un atvienotu tuneli. Rezultāts, kas nemainās starp šiem diviem stāvokļiem, ir pierādījums, ka tunelis nemaz nav Sandbox ceļā, lai kādu adresi publiskā pārbaude būtu rādījusi.

Izslēdziet tīklu, kad Sandbox tas nav vajadzīgs

Lai pārbaudītu bezsaistē, pielāgots konfigurācijas fails var pilnībā noņemt tīklu. Iestatījums ir viens elements konfigurācijas dokumentā:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Sandbox konfigurācijas uzziņa dokumentē šo elementu un brīdina, ka iespējots tīkls var pakļaut iekšējos tīklus lietojumprogrammām, kurām jūs neuzticaties. Šis brīdinājums ir viss iemesls, kāpēc to iestatīt skaidri, nevis pieņemt noklusējumu.

Tomēr komutators neizvēlas VPN saskarni. Tas ir binārs lēmums par to, vai tīkls pastāv, nevis veids, kā piesaistīt Sandbox konkrētam tunelim. Prasību, kas nosauc izeju, nevar izpildīt ar komutatoru, kas tikai izlemj, vai tāda ir.

Izprojektējiet robežu, pirms kaut ko piešķirat

Ja prasība ir stingra izolācija, izvēlieties virtuālās mašīnas tīkla projektu, kas to spēj nodrošināt, un izmantojiet VPN produkta atbalstīto politiku pārsūtītajam trafikam vai virtuālo mašīnu trafikam. Minēt resursdatora klienta uzvedību nav projekts, un viena veiksmīga pārbaude nav ieviešana.

Nedodiet neuzticamam Sandbox uzņēmuma VPN profilu vai privātus akreditācijas datus, lai tests izietu. Tas apmaina robežu, ko centāties izveidot, pret zaļu rezultātu, un akreditācijas dati pārdzīvo testu.

Ierakstiet tīkla režīmu, novēroto izeju un atkārtotas savienošanas uzvedību izvietošanas piezīmēs. Kad klienta atjauninājums mainīs pārsūtītā trafika apstrādi, tieši šīs piezīmes pateiks, ka prasība nekad nav īsti izpildīta.