Promet Windows Sandbox privzeto ne sledi VPN gostitelja

Zaženete Windows Sandbox, v njem odprete brskalnik in stran se naloži prek vaše običajne povezave, čeprav je bil gostitelj minuto prej v VPN. Nič ni pokvarjeno. Peskovnik dobi navidezni omrežni adapter, priključen na privzeto stikalo gostitelja, in ali gostiteljev tunel pokriva to pot, je lastnost odjemalca VPN, ne Windows.

Kaj peskovnik v resnici dobi

Peskovnik je lahka navidezna naprava z lastnim omrežnim adapterjem. Ta adapter se poveže prek privzetega stikala Hyper-V gostitelja, ki promet peskovnika prevede v navidezni vmesnik Ethernet gostitelja, preden zapusti napravo. Ta podrobnost pojasni skoraj vsak simptom, ki ga ljudje poročajo v zvezi s tem.

Peskovnik torej ni proces na vaši namizni površini. Je ločena omrežna končna točka, katere pakete posreduje gostitelj, in požarni zid gostitelja ter odjemalec VPN vidita to posredovanje vsak po svoje. Pravilo, napisano za proces brskalnika, se ne ujema samodejno s prevedenim okvirom z navideznega stikala.

Dve zahtevi, ki izgledata kot ena

Doseči zasebni vir in prisiliti vsako zahtevo peskovnika skozi tunel sta dva različna cilja. Prvi potrebuje pot in razreševanje imen, ki delujeta za končno točko peskovnika. Drugi potrebuje vsiljevanje, ki preživi ponovno povezavo in okvaro. Nobeno ne izhaja iz drugega, in preverjanje, ki zadovolji eno, ne pove nič o drugem.

Preverjanje javnega naslova ne odgovori v celoti na nobeno od obeh vprašanj. Če v peskovniku vidite izhod VPN, to kaže, da je del prometa uporabil tunel. Ne pove nič o tem, ali se zasebna imena razrešujejo, niti o tem, kaj se zgodi z zahtevo, ki se začne, medtem ko je tunel izklopljen.

Preden kar koli preizkusite, si zapišite, katero od obeh potrebujete, ker zahtevi vodita v različne zasnove in le eno je mogoče preveriti z brskalnikom.

Preverite znotraj peskovnika

Edino smiselno opažanje prihaja iz seje peskovnika samega, ne z gostitelja. Odprite tam PowerShell in poglejte adapter, razreševanje imen in pot do naslova iz dokumentacije:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Seznam adapterjev pokaže naslov in prehod, ki jih je dobil peskovnik. Drugačen prehod od gostiteljevega je pri privzetem stikalu običajen, zato primerjajte izhod, ne prehoda. Preizkus razreševanja pokaže, ali se na zasebno ime sploh odgovarja, in prav tu se nastavitve split-horizon običajno razlikujejo od gostitelja. Vrstica poti pokaže, kateri prehod peskovnik šteje za lastnika privzete poti.

Ponovite iste tri preizkuse s priključenim in odklopljenim tunelom. Rezultat, ki se med tema stanjema ne spremeni, je dokaz, da tunel sploh ni na poti peskovnika, na kateri koli naslov je pokazalo javno preverjanje.

Izklopite omrežje, ko ga peskovnik ne potrebuje

Za pregled brez povezave lahko lastna konfiguracijska datoteka omrežje povsem odstrani. Nastavitev je en sam element v konfiguracijskem dokumentu:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Referenca za konfiguracijo peskovnika opisuje ta element in opozarja, da lahko omogočeno omrežje izpostavi notranja omrežja aplikacijam, ki jim ne zaupate. To opozorilo je ves razlog, da ga nastavite izrecno, namesto da sprejmete privzeto vrednost.

Stikalo pa ne izbere omrežnega vmesnika VPN. To je binarna odločitev o tem, ali omrežje obstaja, ne način, kako peskovnik privezati na določen tunel. Zahteve, ki imenuje izhod, ne more izpolniti stikalo, ki le odloči, ali ta obstaja.

Zasnujte mejo, preden kar koli odobrite

Če je zahteva stroga izolacija, izberite omrežno zasnovo navidezne naprave, ki jo lahko uveljavi in uporabite podprto politiko izdelka VPN za posredovan promet ali promet navideznih naprav. Ugibanje vedenja gostiteljevega odjemalca ni zasnova, eno uspešno preverjanje pa ni izvedba.

Nezaupljivemu peskovniku ne dajte poslovnega profila VPN ali zasebnih poverilnic, da bi preizkus uspel. To zamenja mejo, ki ste jo poskušali vzpostaviti, za zelen rezultat, poverilnica pa preživi preizkus.

V opombe za uvedbo zapišite način omrežja, opaženi izhod in vedenje pri ponovnem povezovanju. Ko posodobitev odjemalca spremeni obravnavo posredovanega prometa, prav te opombe povedo, da zahteva nikoli ni bila zares izpolnjena.