Саобраћај Windows Sandbox-а подразумевано не прати VPN хоста

Сендбокс достиже мрежу преко виртуелног адаптера на подразумеваном прекидачу. Да ли га ваш тунел покрива је својство клијента, зато проверите унутра.

Покренете Windows Sandbox, отворите прегледач у њему и страница се учита преко ваше уобичајене везе, иако је хост пре минута био на VPN-у. Ништа није покварено. Сендбокс добија виртуелни мрежни адаптер повезан са подразумеваним прекидачем хоста, а да ли тунел хоста покрива тај пут је својство VPN клијента, не Windows-а.

Шта сендбокс заправо добија

Сендбокс је лагана виртуелна машина са сопственим мрежним адаптером. Тај адаптер се повезује преко подразумеваног прекидача Hyper-V хоста, који преводи саобраћај сендбокса у виртуелни Ethernet интерфејс хоста пре него што напусти машину. Овај детаљ објашњава скоро сваки симптом који људи пријављују у вези с тим.

Дакле сендбокс није процес на вашој радној површини. То је одвојена мрежна крајња тачка чије пакете хост прослеђује, а заштитни зид хоста и VPN клијент то прослеђивање виде сваки на свој начин. Правило написано за процес прегледача не одговара аутоматски преведеном оквиру са виртуелног прекидача.

Два захтева која изгледају као један

Достизање приватног ресурса и присиљавање сваког захтева сендбокса кроз тунел су два различита циља. Први захтева руту и разрешавање имена која раде за крајњу тачку сендбокса. Други захтева спровођење које преживљава поновно повезивање и квар. Ниједно не следи из другог, а провера која задовољава једно не говори ништа о другом.

Провера јавне адресе не одговара потпуно ни на једно од два питања. Виђање VPN излаза унутар сендбокса показује да је део саобраћаја користио тунел. Она не говори ништа о томе да ли се приватна имена разрешавају, ни о томе шта се дешава са захтевом који почиње док је тунел искључен.

Запишите које од два вам је потребно пре него што било шта тестирате, јер два захтева воде ка различитим решењима и само једно се може проверити прегледачем.

Проверите унутар сендбокса

Једино значајно запажање долази из сесије самог сендбокса, не са хоста. Отворите тамо PowerShell и погледајте адаптер, разрешавање имена и пут до адресе из документације:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Списак адаптера показује адресу и мрежни пролаз које је сендбокс добио. Другачији пролаз од оног на хосту је нормалан за подразумевани прекидач, зато поредите излаз, а не пролаз. Тест разрешавања показује да ли се на приватно име уопште одговара, и управо ту поставке split-horizon обично одступају од хоста. Линија руте показује који пролаз сендбокс сматра власником подразумеване руте.

Поновите исте три провере са прикљученим и искљученим тунелом. Резултат који се не мења између та два стања доказ је да тунел уопште није на путу сендбокса, коју год адресу показала јавна провера.

Искључите мрежу када сендбоксу није потребна

За проверу без мреже, посебна конфигурациона датотека може потпуно уклонити мрежу. Поставка је један елемент у конфигурационом документу:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Референца за конфигурацију сендбокса документује овај елемент и упозорава да омогућена мрежа може изложити унутрашње мреже апликацијама којима не верујете. То упозорење је цео разлог да се постави изричито уместо да се прихвати подразумевана вредност.

Прекидач, међутим, не бира VPN интерфејс. То је бинарна одлука о постојању мреже, а не начин да се сендбокс веже за одређени тунел. Захтев који именује излаз не може да задовољи прекидач који само одлучује да ли такав постоји.

Пројектујте границу пре него што било шта одобрите

Ако је захтев строга изолација, изаберите мрежни пројекат виртуелне машине који то може да спроведе, и користите подржану политику VPN производа за прослеђени саобраћај или саобраћај виртуелних машина. Погађање понашања клијента хоста није пројекат, а једна успешна провера није имплементација.

Не дајте неповерљивом сендбоксу корпоративни VPN профил или приватне приступне податке да би тест прошао. То мења границу коју сте покушавали да успоставите за зелени резултат, а приступни подаци надживљавају тест.

Запишите режим мреже, запажени излаз и понашање при поновном повезивању у белешке о распоређивању. Када ажурирање клијента промени како се обрађује прослеђени саобраћај, управо те белешке говоре да захтев никада није био стварно испуњен.

Повезани чланци