Prevádzka Windows Sandbox predvolene nenasleduje VPN hostiteľa

Spustíte Windows Sandbox, otvoríte v ňom prehliadač a stránka sa načíta cez vaše bežné pripojenie, hoci hostiteľ bol pred minútou na VPN. Nič nie je pokazené. Sandbox dostane virtuálny sieťový adaptér pripojený k predvolenému prepínaču hostiteľa a to, či tunel hostiteľa pokrýva túto cestu, je vlastnosť klienta VPN, nie Windows.

Čo sandbox skutočne dostane

Sandbox je odľahčený virtuálny stroj s vlastným sieťovým adaptérom. Tento adaptér sa pripája cez predvolený prepínač Hyper-V hostiteľa, ktorý prekladá prevádzku sandboxu do virtuálneho rozhrania Ethernet hostiteľa, skôr než opustí stroj. Tento detail vysvetľuje takmer každý príznak, ktorý ľudia v tejto súvislosti hlásia.

Sandbox teda nie je proces na vašej ploche. Je to samostatný sieťový koncový bod, ktorého pakety hostiteľ preposiela, a hostiteľský firewall a klient VPN vidia toto preposielanie každý po svojom. Pravidlo napísané pre proces prehliadača automaticky nezodpovedá preloženému rámcu z virtuálneho prepínača.

Dve požiadavky, ktoré vyzerajú ako jedna

Dosiahnuť súkromný zdroj a pretlačiť každú požiadavku sandboxu tunelom sú dva rôzne ciele. Prvý potrebuje trasu a preklad mien, ktoré fungujú pre koncový bod sandboxu. Druhý potrebuje vynútenie, ktoré prežije opätovné pripojenie aj zlyhanie. Ani jedno nevyplýva z druhého a kontrola, ktorá splní jedno, nehovorí nič o druhom.

Kontrola verejnej adresy úplne neodpovedá ani na jednu z tých dvoch otázok. Keď vnútri sandboxu vidíte výstup VPN, znamená to, že časť prevádzky tunel použila. Nehovorí nič o tom, či sa súkromné mená prekladajú, ani čo sa stane s požiadavkou, ktorá začne, keď tunel nefunguje.

Pred testovaním čohokoľvek si zapíšte, ktorú z nich potrebujete, pretože obe požiadavky vedú k inému návrhu a len jednu z nich možno overiť prehliadačom.

Kontrolujte zvnútra sandboxu

Jediné zmysluplné pozorovanie prichádza zo sedenia samotného sandboxu, nie z hostiteľa. Otvorte tam PowerShell a pozrite sa na adaptér, preklad mien a cestu k adrese z dokumentácie:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Zoznam adaptérov ukazuje adresu a bránu, ktoré sandbox dostal. Iná brána ako u hostiteľa je pri predvolenom prepínači normálna, preto porovnávajte výstup, nie bránu. Test prekladu ukazuje, či sa na súkromné meno vôbec odpovedá, a práve tu sa nastavenia split-horizon zvyčajne odchyľujú od hostiteľa. Riadok trasy ukazuje, ktorú bránu sandbox považuje za vlastníka predvolenej trasy.

Zopakujte tie isté tri kontroly s tunelom pripojeným a odpojeným. Výsledok, ktorý sa medzi týmito stavmi nemení, je dôkazom, že tunel vôbec nie je na ceste sandboxu, nech verejná kontrola ukázala akúkoľvek adresu.

Vypnite sieť, keď ju sandbox nepotrebuje

Na kontrolu offline môže vlastný konfiguračný súbor sieť úplne odstrániť. Nastavenie je jediný prvok v konfiguračnom dokumente:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Referenčná príručka ku konfigurácii sandboxu dokumentuje tento prvok a upozorňuje, že povolená sieť môže vystaviť vnútorné siete aplikáciám, ktorým nedôverujete. Práve to upozornenie je celý dôvod, prečo nastavenie zadať výslovne namiesto prijatia predvolenej hodnoty.

Prepínač však nevyberá sieťové rozhranie VPN. Je to binárne rozhodnutie o tom, či sieť existuje, nie spôsob, ako sandbox pripútať ku konkrétnemu tunelu. Požiadavku, ktorá pomenúva výstup, nemôže splniť prepínač, ktorý len rozhoduje, či nejaký existuje.

Navrhnite hranicu, kým čokoľvek povolíte

Ak je požiadavkou striktná izolácia, zvoľte návrh siete virtuálneho stroja, ktorý ju dokáže vynútiť a použite podporovanú politiku produktu VPN pre preposielanú prevádzku alebo prevádzku virtuálnych strojov. Hádanie správania hostiteľského klienta nie je návrh a jediná úspešná kontrola nie je implementácia.

Nedávajte nedôveryhodnému sandboxu firemný profil VPN ani súkromné prihlasovacie údaje, aby test prešiel. Vymeníte tým hranicu, ktorú ste sa snažili vytvoriť, za zelený výsledok a údaj prežije test.

Zapíšte sieťový režim, pozorovaný výstup a správanie pri opätovnom pripojení do poznámok k nasadeniu. Keď aktualizácia klienta zmení, ako sa preposielaná prevádzka spracúva, práve tie poznámky hovoria, že požiadavka nikdy nebola skutočne splnená.