Trafiku i Windows Sandbox nuk ndjek VPN-në e hostit si parazgjedhje

Nisni Windows Sandbox, hapni një shfletues brenda tij, dhe faqja ngarkohet nga lidhja juaj normale edhe pse hosti ishte në VPN një minutë më parë. Asgjë nuk është prishur. Sandbox-i merr një përshtatës virtual të rrjetit të lidhur me ndërprerësin e parazgjedhur të hostit, dhe nëse tuneli i hostit e mbulon atë rrugë është veti e klientit VPN, jo e Windows.

Çfarë merr në të vërtetë sandbox-i

Sandbox-i është një makinë virtuale e lehtë me përshtatësin e vet të rrjetit. Ai përshtatës lidhet përmes ndërprerësit të parazgjedhur Hyper-V të hostit, i cili e përkthen trafikun e sandbox-it në ndërfaqen virtuale Ethernet të hostit para se ai të largohet nga makina. Ky detaj shpjegon pothuajse çdo simptomë që njerëzit raportojnë për këtë.

Pra sandbox-i nuk është një proces në desktopin tuaj. Është një pikë fundore rrjeti e veçantë, paketat e së cilës përcillen nga hosti, dhe muri i zjarrit i hostit dhe klienti VPN e shohin secili atë përcjellje në mënyrën e vet. Një rregull i shkruar për një proces shfletuesi nuk përputhet automatikisht me një kornizë të përkthyer nga një ndërprerës virtual.

Dy kërkesa që duken si një

Arritja në një burim privat dhe detyrimi i çdo kërkese të sandbox-it të kalojë nëpër tunel janë dy qëllime të ndryshme. E para kërkon një rrugë dhe zgjidhje emrash që funksionojnë për pikën fundore të sandbox-it. E dyta kërkon zbatim që i mbijeton një rilidhjeje dhe një dështimi. Asnjëra nuk rrjedh nga tjetra, dhe një kontroll që plotëson njërën nuk thotë asgjë për të dytën.

Një kontroll i adresës publike nuk i përgjigjet plotësisht asnjërës prej dy pyetjeve. Të shohësh daljen e VPN-së brenda sandbox-it tregon se një pjesë e trafikut përdori tunelin. Nuk thotë asgjë për atë nëse emrat privatë zgjidhen, ose për atë që ndodh me një kërkesë që fillon ndërsa tuneli është i fikur.

Shkruani se cila nga të dyja ju nevojitet para se të provoni diçka, sepse dy kërkesat çojnë në modele të ndryshme dhe vetëm njëra mund të verifikohet me një shfletues.

Kontrolloni brenda sandbox-it

Vëzhgimi i vetëm kuptimplotë vjen nga sesioni i vetë sandbox-it, jo nga hosti. Hapni atje PowerShell dhe shikoni përshtatësin, zgjidhjen e emrave dhe rrugën drejt një adrese dokumentacioni:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Lista e përshtatësve ju tregon adresën dhe portën që mori sandbox-i. Një portë e ndryshme nga ajo e hostit është normale për ndërprerësin e parazgjedhur, prandaj krahasoni daljen dhe jo portën. Testi i zgjidhjes tregon nëse një emër privat merr përgjigje fare, dhe këtu zakonisht konfigurimet split-horizon ndryshojnë nga hosti. Rreshti i rrugës tregon cilën portë sandbox-i mendon se zotëron rrugën e parazgjedhur.

Përsëritni të njëjtat tre kontrolle me tunelin të lidhur dhe të shkëputur. Një rezultat që nuk ndryshon midis këtyre dy gjendjeve është provë se tuneli nuk është fare në rrugën e sandbox-it, cilado adresë që tregoi kontrolli publik.

Fikni rrjetin kur sandbox-it nuk i duhet

Për inspektim jashtë linje, një skedar konfigurimi i personalizuar mund ta heqë rrjetin plotësisht. Cilësimi është një element i vetëm në dokumentin e konfigurimit:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Referenca e konfigurimit të sandbox-it dokumenton këtë element dhe paralajmëron se rrjeti i aktivizuar mund t'i ekspozojë rrjetet e brendshme aplikacioneve që nuk i besoni. Ai paralajmërim është i gjithë arsyeja për ta vendosur shprehimisht në vend që të pranoni parazgjedhjen.

Ndërprerësi megjithatë nuk zgjedh një ndërfaqe VPN. Është një vendim binar për ekzistencën e një rrjeti, jo një mënyrë për ta lidhur sandbox-in me një tunel të caktuar. Një kërkesë që emërton një dalje nuk mund të plotësohet nga një ndërprerës që vendos vetëm nëse ekziston një e tillë.

Projektoni kufirin përpara se të jepni diçka

Nëse kërkesa është izolim i rreptë, zgjidhni një model rrjeti për makinë virtuale që mund ta zbatojë, dhe përdorni politikën e mbështetur të produktit VPN për trafikun e përcjellë ose të makinerive virtuale. Të hamendësosh sjelljen e klientit të hostit nuk është model, dhe një kontroll i suksesshëm nuk është implementim.

Mos i jepni një sandbox-i jo të besueshëm një profil VPN korporativ ose kredenciale private që një test të kalojë. Kjo e këmben kufirin që po përpiqeshit të vendosnit me një rezultat të gjelbër, dhe kredenciali mbijeton më shumë se testi.

Regjistroni modusin e rrjetit, daljen e vëzhguar dhe sjelljen e rilidhjes në shënimet e vendosjes. Kur një përditësim i klientit ndryshon mënyrën se si trajtohet trafiku i përcjellë, janë pikërisht ato shënime që thonë se kërkesa nuk u përmbush kurrë vërtet.