Traficul Windows Sandbox nu urmează implicit VPN-ul gazdei

Pornești Windows Sandbox, deschizi în el un browser, iar pagina se încarcă prin conexiunea ta obișnuită deși gazda era pe VPN cu un minut înainte. Nimic nu este stricat. Sandboxul primește un adaptor de rețea virtual conectat la comutatorul implicit al gazdei, iar dacă tunelul gazdei acoperă acea cale este o proprietate a clientului VPN, nu a Windows.

Ce primește de fapt sandboxul

Sandboxul este o mașină virtuală ușoară cu propriul adaptor de rețea. Acel adaptor se conectează prin comutatorul implicit Hyper-V al gazdei, care traduce traficul sandboxului către interfața Ethernet virtuală a gazdei înainte ca acesta să părăsească mașina. Acest detaliu explică aproape fiecare simptom raportat de oameni în legătură cu asta.

Deci sandboxul nu este un proces pe desktopul tău. Este un punct final de rețea separat ale cărui pachete sunt redirecționate de gazdă, iar firewall-ul gazdei și clientul VPN văd fiecare acea redirecționare în felul propriu. O regulă scrisă pentru un proces de browser nu se potrivește automat cu un cadru tradus de la un comutator virtual.

Două cerințe care par una

A ajunge la o resursă privată și a forța fiecare cerere a sandboxului prin tunel sunt două obiective diferite. Prima are nevoie de o rută și de o rezolvare de nume care funcționează pentru punctul final al sandboxului. A doua are nevoie de o aplicare forțată care supraviețuiește unei reconectări și unei defecțiuni. Niciuna nu decurge din cealaltă, iar o verificare care o satisface pe una nu spune nimic despre a doua.

O verificare a adresei publice nu răspunde complet la niciuna dintre cele două întrebări. Vederea ieșirii VPN din interiorul sandboxului arată că o parte din trafic a folosit tunelul. Nu spune nimic despre dacă numele private se rezolvă sau despre ce se întâmplă cu o cerere care începe cât timp tunelul este oprit.

Notează de care dintre cele două ai nevoie înainte de a testa ceva, pentru că cele două cerințe duc la proiecte diferite și doar una poate fi verificată cu un browser.

Verifică din interiorul sandboxului

Singura observație semnificativă vine din sesiunea sandboxului însuși, nu de la gazdă. Deschide acolo PowerShell și uită-te la adaptor, la rezolvarea numelor și la calea către o adresă de documentație:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Lista adaptoarelor îți arată adresa și gateway-ul primite de sandbox. Un gateway diferit de cel al gazdei este normal pentru comutatorul implicit, așa că compară ieșirea, nu gateway-ul. Testul de rezolvare arată dacă un nume privat primește răspuns, iar aici configurațiile split-horizon diferă de obicei de gazdă. Linia rutei arată ce gateway consideră sandboxul că deține ruta implicită.

Repetă aceleași trei verificări cu tunelul conectat și deconectat. Un rezultat care nu se schimbă între aceste două stări este dovada că tunelul nu este deloc pe calea sandboxului, orice adresă ar fi arătat verificarea publică.

Oprește rețeaua când sandboxul nu are nevoie de ea

Pentru o inspecție offline, un fișier de configurare personalizat poate elimina complet rețeaua. Setarea este un singur element în documentul de configurare:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Referința de configurare a sandboxului documentează acest element și avertizează că rețeaua activată poate expune rețele interne unor aplicații în care nu ai încredere. Acel avertisment este întregul motiv de a o seta explicit în loc să accepți valoarea implicită.

Comutatorul însă nu selectează o interfață VPN. Este o decizie binară privind existența unei rețele, nu o modalitate de a lega sandboxul de un anumit tunel. O cerință care numește o ieșire nu poate fi satisfăcută de un comutator care decide doar dacă există una.

Proiectează granița înainte de a acorda ceva

Dacă cerința este izolare strictă, alege un proiect de rețea pentru mașini virtuale care o poate impune, și folosește politica acceptată a produsului VPN pentru traficul redirecționat sau traficul mașinilor virtuale. A ghici comportamentul clientului gazdei nu este un proiect, iar o singură verificare reușită nu este o implementare.

Nu da unui sandbox neîncrezut un profil VPN corporativ sau acreditări private ca să treacă un test. Asta schimbă granița pe care încercai să o stabilești pe un rezultat verde, iar acreditarea supraviețuiește testului.

Notează modul de rețea, ieșirea observată și comportamentul la reconectare în notele de implementare. Când o actualizare a clientului schimbă modul în care este tratat traficul redirecționat, acele note sunt cele care spun că cerința nu a fost niciodată îndeplinită cu adevărat.