Сообраќајот на Windows Sandbox стандардно не го следи VPN-от на домаќинот

Песочникот доаѓа до мрежата преку виртуелен адаптер на стандардниот прекинувач. Дали тунелот го покрива е својство на клиентот, затоа проверете внатре.

Го стартувате Windows Sandbox, отворате прелистувач внатре и страницата се вчитува преку вашето вообичаено поврзување, иако домаќинот бил на VPN пред една минута. Ништо не е расипано. Песочникот добива виртуелен мрежен адаптер поврзан со стандардниот прекинувач на домаќинот, а дали тунелот на домаќинот го покрива тој пат е својство на VPN клиентот, не на Windows.

Што всушност добива песочникот

Песочникот е лесна виртуелна машина со сопствен мрежен адаптер. Тој адаптер се поврзува преку стандардниот прекинувач на Hyper-V на домаќинот, кој го преведува сообраќајот на песочникот во виртуелниот Ethernet интерфејс на домаќинот пред да ја напушти машината. Овој детаљ објаснува речиси секој симптом што луѓето го пријавуваат за ова.

Значи песочникот не е процес на вашата работна површина. Тој е одделна мрежна крајна точка чии пакети ги препраќа домаќинот, а огнениот ѕид на домаќинот и VPN клиентот го гледаат тоа препраќање секој на свој начин. Правило напишано за процес на прелистувач не се совпаѓа автоматски со преведена рамка од виртуелен прекинувач.

Два барања што изгледаат како едно

Достигнувањето до приватен ресурс и присилувањето секое барање на песочникот да помине низ тунелот се два различни цели. Првото бара рута и разрешување на имиња што работат за крајната точка на песочникот. Второто бара спроведување што издржува повторно поврзување и дефект. Ниту едното не произлегува од другото, а проверката што задоволува едно не кажува ништо за второто.

Проверката на јавната адреса не одговара целосно на ниту едно од двете прашања. Гледањето на VPN излезот од внатрешноста на песочникот покажува дека дел од сообраќајот го користел тунелот. Таа не кажува ништо за тоа дали приватните имиња се разрешуваат или што се случува со барање што започнува додека тунелот е исклучен.

Запишете кое од двете ви треба пред да тестирате нешто, бидејќи двете барања водат до различни решенија и само едното може да се провери со прелистувач.

Проверете од внатрешноста на песочникот

Единственото значајно набљудување доаѓа од сопствената сесија на песочникот, не од домаќинот. Отворете таму PowerShell и погледнете го адаптерот, разрешувањето на имиња и патеката до адреса од документацијата:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Списокот на адаптери ви ја покажува адресата и порталот што ги добил песочникот. Различен портал од оној на домаќинот е нормален за стандардниот прекинувач, затоа споредете го излезот, а не порталот. Тестот за разрешување покажува дали воопшто се одговара на приватно име, и токму тука поставките split-horizon обично се разликуваат од домаќинот. Линијата за рута покажува кој портал песочникот смета дека е сопственик на стандардната рута.

Повторете ги истите три проверки со поврзан и исклучен тунел. Резултат што не се менува меѓу тие две состојби е доказ дека тунелот воопшто не е на патеката на песочникот, која и да е адресата што ја покажала јавната проверка.

Исклучете ја мрежата кога на песочникот не му е потребна

За проверка без мрежа, приспособена конфигурациска датотека може целосно да ја отстрани мрежата. Поставката е еден елемент во конфигурацискиот документ:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Референцата за конфигурација на песочникот го документира овој елемент и предупредува дека овозможената мрежа може да ги изложи внатрешните мрежи на апликации на кои не им верувате. Токму тоа предупредување е целата причина да се постави експлицитно наместо да се прифати стандардната вредност.

Прекинувачот, сепак, не избира VPN интерфејс. Тоа е бинарна одлука за тоа дали постои мрежа, а не начин да се врзе песочникот за одреден тунел. Барање што именува излез не може да се задоволи со прекинувач што само одлучува дали постои таков.

Дизајнирајте ја границата пред да дозволите нешто

Ако барањето е строга изолација, изберете мрежен дизајн на виртуелна машина што може да го спроведе, и користете ја поддржаната политика на VPN производот за препратен сообраќај или сообраќај на виртуелни машини. Погодувањето на однесувањето на клиентот на домаќинот не е дизајн, а една успешна проверка не е имплементација.

Не давајте на недоверлив песочник корпоративен VPN профил или приватни пристапни податоци за да помине тест. Тоа ја заменува границата што се обидовте да ја воспоставите за зелен резултат, а пристапните податоци го надживуваат тестот.

Запишете го мрежниот режим, забележаниот излез и однесувањето при повторно поврзување во белешките за распоредување. Кога ажурирање на клиентот ќе го смени начинот на обработка на препратениот сообраќај, токму тие белешки кажуваат дека барањето никогаш не било навистина исполнето.

Поврзани статии