Windows Sandbox-trafikk følgjer ikkje verten sin VPN som standard

Du startar Windows Sandbox, opnar ein nettlesar i han, og sida blir lasta frå den vanlege tilkoplinga di sjølv om verten var på VPN eitt minutt tidlegare. Ingenting er øydelagt. Sandkassen får ein virtuell nettverksadapter knytt til standardbrytaren til verten, og om tunnelen til verten dekkjer den vegen, er ein eigenskap ved VPN-klienten, ikkje ved Windows.

Kva sandkassen faktisk får

Sandkassen er ein lett virtuell maskin med sin eigen nettverksadapter. Den adapteren blir kopla gjennom Hyper-V-standardbrytaren til verten, som omset trafikken til sandkassen til det virtuelle Ethernet-grensesnittet til verten før han forlèt maskinen. Den detaljen forklarer nesten kvart symptom folk rapporterer om dette.

Sandkassen er altså ikkje ein prosess på skrivebordet ditt. Han er eit eige nettverksendepunkt der verten videresender pakkane, og brannmuren til verten og VPN-klienten ser kvar sin del av den videresendinga på sin måte. Ein regel skriven for ein nettlesarprosess passar ikkje automatisk på ei omsett ramme frå ein virtuell brytar.

To krav som ser ut som eitt

Å nå ein privat ressurs og å tvinge kvar sandkasseførespurnad gjennom tunnelen er to ulike mål. Det første krev ei rute og eit namneoppslag som verkar for endepunktet til sandkassen. Det andre krev handheving som overlever ei gjentilkopling og ein feil. Ingen av dei følgjer av den andre, og ein kontroll som oppfyller det eine, seier ingenting om det andre.

Ein kontroll av den offentlege adressa svarar ikkje fullt ut på nokon av dei to spørsmåla. Å sjå VPN-utgangen innanfrå sandkassen viser at noko trafikk brukte tunnelen. Han seier ingenting om private namn blir løyste opp, eller kva som skjer med ein førespurnad som startar medan tunnelen er nede.

Skriv ned kva av dei to du treng før du testar noko, for dei to krava fører til ulike design, og berre det eine kan stadfestast med ein nettlesar.

Sjekk innanfrå sandkassen

Den einaste meiningsfulle observasjonen kjem frå økta til sandkassen sjølv, ikkje frå verten. Opne PowerShell der og sjå på adapteren, namneoppslaget og vegen til ein dokumentasjonsadresse:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Adapterlista viser adressa og gatewayen sandkassen fekk. Ein annan gateway enn verten sin er normalt for standardbrytaren, så samanlikn utgangen i staden for gatewayen. Oppslagstesten viser om eit privat namn i det heile blir svart på, og det er her split-horizon-oppsett vanlegvis skil seg frå verten. Rutelina viser kva gateway sandkassen meiner eig standardruta.

Gjenta dei same tre kontrollane med tunnelen tilkopla og fråkopla. Eit resultat som ikkje endrar seg mellom dei to tilstandane, er prov på at tunnelen slett ikkje er på vegen til sandkassen, uansett kva adresse den offentlege kontrollen viste.

Slå av nettverket når sandkassen ikkje treng det

For offline-inspeksjon kan ei tilpassa konfigurasjonsfil fjerne nettverket heilt. Innstillinga er eitt enkelt element i konfigurasjonsdokumentet:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Referansen til konfigurasjonen av sandkassen dokumenterer dette elementet og åtvarar om at aktivert nettverk kan utsetje interne nettverk for applikasjonar du ikkje stolar på. Den åtvaringa er heile grunnen til å setje han eksplisitt i staden for å godta standarden.

Brytaren vel likevel ikkje eit VPN-grensesnitt. Det er ei binær avgjerd om å ha eit nettverk, ikkje ein måte å binde sandkassen til ein bestemt tunnel. Eit krav som nemner ein utgang, kan ikkje oppfyllast av ein brytar som berre avgjer om det finst ein.

Design grensa før du gir noko som helst

Viss kravet er streng isolasjon, vel eit nettverksdesign for virtuelle maskiner som kan handheve det, og bruk den støtta policyen til VPN-produktet for videresendt trafikk eller trafikk frå virtuelle maskiner. Å gjette på åtferda til klienten på verten er ikkje eit design, og ein einaste vellukka kontroll er ikkje ein implementasjon.

Ikkje gi ein lite påliteleg sandkasse ein bedrifts-VPN-profil eller private legitimasjonar for å få ein test til å gå gjennom. Det byter grensa du prøvde å etablere, mot eit grønt resultat, og legitimasjonen overlever testen.

Skriv nettverkstilstand, den observerte utgangen og gjentilkoplingsåtferda ned i utrullingsnotata. Når ein klientoppdatering endrar korleis videresendt trafikk blir handsama, er det notata som fortel at kravet aldri vart oppfylt på alvor.