Trafik Windows Sandbox tidak mengikut VPN hos secara lalai

Anda memulakan Windows Sandbox, membuka pelayar di dalamnya, dan halaman dimuatkan dari sambungan biasa anda walaupun hos berada pada VPN seminit sebelumnya. Tiada apa yang rosak. Sandbox mendapat penyesuai rangkaian maya yang dipasang pada suis lalai hos, dan sama ada terowong hos meliputi laluan itu ialah sifat klien VPN, bukan Windows.

Apa yang sebenarnya diterima sandbox

Sandbox ialah mesin maya ringan dengan penyesuai rangkaiannya sendiri. Penyesuai itu bersambung melalui suis lalai Hyper-V hos, yang menterjemah trafik sandbox ke antara muka Ethernet maya hos sebelum ia meninggalkan mesin. Butiran ini menjelaskan hampir setiap gejala yang dilaporkan orang tentang perkara ini.

Jadi sandbox bukan proses pada desktop anda. Ia titik akhir rangkaian berasingan yang paketnya dimajukan oleh hos, dan firewall hos serta klien VPN masing-masing melihat pemajuan itu dengan caranya sendiri. Peraturan yang ditulis untuk proses pelayar tidak sepadan secara automatik dengan bingkai terjemahan daripada suis maya.

Dua keperluan yang kelihatan seperti satu

Mencapai sumber peribadi dan memaksa setiap permintaan sandbox melalui terowong ialah dua matlamat berbeza. Yang pertama memerlukan laluan dan penyelesaian nama yang berfungsi untuk titik akhir sandbox. Yang kedua memerlukan penguatkuasaan yang bertahan terhadap penyambungan semula dan kegagalan. Kedua-duanya tidak mengikut satu sama lain, dan pemeriksaan yang memenuhi satu tidak mengatakan apa-apa tentang yang kedua.

Pemeriksaan alamat awam tidak menjawab sepenuhnya mana-mana daripada dua soalan itu. Melihat keluar VPN dari dalam sandbox menunjukkan bahawa sebahagian trafik menggunakan terowong. Ia tidak mengatakan apa-apa tentang sama ada nama peribadi diselesaikan, atau apa yang berlaku kepada permintaan yang bermula semasa terowong mati.

Catat yang mana satu anda perlukan sebelum menguji apa-apa, kerana kedua-dua keperluan membawa kepada reka bentuk berbeza dan hanya satu boleh disahkan dengan pelayar.

Periksa dari dalam sandbox

Satu-satunya pemerhatian bermakna datang daripada sesi sandbox itu sendiri, bukan daripada hos. Buka PowerShell di sana dan lihat penyesuai, penyelesaian nama dan laluan ke alamat dokumentasi:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Senarai penyesuai memberitahu alamat dan get laluan yang diterima sandbox. Get laluan berbeza daripada hos adalah normal pada suis lalai, jadi bandingkan keluar dan bukan get laluan. Ujian penyelesaian memberitahu sama ada nama peribadi dijawab sama sekali, dan di sinilah persediaan split-horizon biasanya berbeza daripada hos. Baris laluan memberitahu get laluan mana yang dianggap sandbox sebagai pemilik laluan lalai.

Ulang ketiga-tiga pemeriksaan yang sama dengan terowong bersambung dan terputus. Keputusan yang tidak berubah antara kedua-dua keadaan itu ialah bukti bahawa terowong langsung tiada pada laluan sandbox, alamat apa pun yang ditunjukkan oleh pemeriksaan awam.

Matikan rangkaian apabila sandbox tidak memerlukannya

Untuk pemeriksaan luar talian, fail konfigurasi tersuai boleh membuang rangkaian sepenuhnya. Tetapan itu ialah satu elemen dalam dokumen konfigurasi:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Rujukan konfigurasi sandbox mendokumenkan elemen ini dan memberi amaran bahawa rangkaian yang diaktifkan boleh mendedahkan rangkaian dalaman kepada aplikasi yang anda tidak percayai. Amaran itulah seluruh sebab untuk menetapkannya secara eksplisit daripada menerima nilai lalai.

Namun suis tidak memilih antara muka VPN. Ia keputusan binari tentang sama ada rangkaian wujud, bukan cara mengikat sandbox kepada terowong tertentu. Keperluan yang menamakan keluar tidak boleh dipenuhi oleh suis yang hanya memutuskan sama ada ia wujud.

Reka sempadan sebelum memberi apa-apa

Jika keperluannya pengasingan ketat, pilih reka bentuk rangkaian mesin maya yang boleh menguatkuasakannya, dan gunakan dasar disokong produk VPN untuk trafik dimajukan atau trafik mesin maya. Meneka tingkah laku klien hos bukan reka bentuk, dan satu pemeriksaan berjaya bukan pelaksanaan.

Jangan beri sandbox yang tidak dipercayai profil VPN korporat atau kelayakan peribadi supaya ujian lulus. Itu menukar sempadan yang anda cuba tetapkan dengan keputusan hijau, dan kelayakan itu hidup lebih lama daripada ujian.

Catat mod rangkaian, keluar yang diperhatikan dan tingkah laku penyambungan semula dalam nota penggunaan. Apabila kemas kini klien mengubah cara trafik dimajukan dikendalikan, nota itulah yang memberitahu bahawa keperluan itu tidak pernah benar-benar dipenuhi.