Hindi sinusunod ng trapiko ng Windows Sandbox ang VPN ng host bilang default

Sinisimulan mo ang Windows Sandbox, nagbubukas ka ng browser sa loob nito, at naglo-load ang pahina mula sa iyong normal na koneksyon kahit nasa VPN ang host isang minuto lang ang nakalipas. Walang sira. Nakakakuha ang sandbox ng virtual network adapter na nakakabit sa default na switch ng host, at kung sakop ng tunnel ng host ang landas na iyon ay katangian ng VPN client, hindi ng Windows.

Ano ang aktwal na nakukuha ng sandbox

Ang sandbox ay isang magaan na virtual machine na may sariling network adapter. Kumokonekta ang adapter na iyon sa pamamagitan ng default na switch ng Hyper-V ng host, na nagsasalin ng trapiko ng sandbox patungo sa virtual Ethernet interface ng host bago ito umalis sa makina. Ipinapaliwanag ng detalyeng ito ang halos lahat ng sintomas na iniuulat ng mga tao tungkol dito.

Kaya ang sandbox ay hindi isang proseso sa iyong desktop. Ito ay isang hiwalay na network endpoint na ang mga packet ay ipinapasa ng host, at ang firewall ng host at ang VPN client ay nakikita ang pagpapasa na iyon sa kani-kanilang paraan. Ang isang tuntuning isinulat para sa proseso ng browser ay hindi awtomatikong tumutugma sa isang naisaling frame mula sa virtual switch.

Dalawang pangangailangang mukhang isa

Ang maabot ang isang pribadong mapagkukunan at ang pilitin ang bawat kahilingan ng sandbox sa tunnel ay dalawang magkaibang layunin. Ang una ay nangangailangan ng ruta at resolution ng pangalan na gumagana para sa endpoint ng sandbox. Ang pangalawa ay nangangailangan ng pagpapatupad na nakakayanan ang muling pagkonekta at pagkabigo. Wala sa dalawa ang nagmumula sa isa, at ang tsek na tumutugon sa isa ay walang sinasabi tungkol sa pangalawa.

Ang tsek sa pampublikong address ay hindi lubos na sumasagot sa alinman sa dalawang tanong. Ang makita ang labasan ng VPN mula sa loob ng sandbox ay nagpapakita na may trapikong gumamit ng tunnel. Wala itong sinasabi tungkol sa kung nareresolba ang mga pribadong pangalan, o tungkol sa nangyayari sa isang kahilingang nagsisimula habang patay ang tunnel.

Isulat kung alin sa dalawa ang kailangan mo bago magsubok ng anuman, dahil ang dalawang pangangailangan ay humahantong sa magkaibang disenyo at isa lamang ang maaaring iberipika gamit ang browser.

Tingnan mula sa loob ng sandbox

Ang tanging makabuluhang obserbasyon ay nagmumula sa sariling sesyon ng sandbox, hindi sa host. Buksan doon ang PowerShell at tingnan ang adapter, ang resolution ng pangalan at ang landas patungo sa isang address ng dokumentasyon:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Ipinapakita ng listahan ng adapter ang address at gateway na natanggap ng sandbox. Ang ibang gateway kaysa sa host ay normal para sa default na switch, kaya ihambing ang labasan at hindi ang gateway. Ipinapakita ng pagsusuri sa resolution kung sinasagot ang isang pribadong pangalan, at dito karaniwang nagkakaiba ang mga setup na split-horizon mula sa host. Ipinapakita ng linya ng ruta kung aling gateway ang itinuturing ng sandbox na may-ari ng default.

Ulitin ang parehong tatlong tsek habang nakakonekta at naka-disconnect ang tunnel. Ang resultang hindi nagbabago sa pagitan ng dalawang estadong iyon ay ebidensya na ang tunnel ay wala sa landas ng sandbox, anuman ang address na ipinakita ng pampublikong tsek.

Patayin ang networking kapag hindi kailangan ito ng sandbox

Para sa pagsusuri offline, maaaring alisin nang tuluyan ng pasadyang configuration file ang network. Ang setting ay isang element lamang sa dokumento ng configuration:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Sanggunian sa configuration ng sandbox ay nagdodokumento ng elementong ito at nagbabala na ang naka-enable na networking ay maaaring maglantad ng mga panloob na network sa mga aplikasyong hindi mo pinagkakatiwalaan. Ang babalang iyon ang buong dahilan para itakda ito nang tahasan sa halip na tanggapin ang default.

Gayunman, hindi pumipili ng VPN interface ang switch. Ito ay binaryong desisyon kung may network, hindi paraan para itali ang sandbox sa isang partikular na tunnel. Ang pangangailangang nagsasabi ng labasan ay hindi matutugunan ng switch na nagpapasya lamang kung mayroon.

Idisenyo ang hangganan bago magbigay ng anuman

Kung ang pangangailangan ay mahigpit na paghihiwalay, pumili ng disenyo ng network ng virtual machine na maaaring magpatupad nito, at gamitin ang sinusuportahang patakaran ng produkto ng VPN para sa ipinapasang trapiko o trapiko ng virtual machine. Ang hulaan ang pag-uugali ng client ng host ay hindi disenyo, at ang isang matagumpay na tsek ay hindi implementasyon.

Huwag bigyan ng corporate VPN profile o pribadong kredensyal ang isang hindi pinagkakatiwalaang sandbox para pumasa ang isang test. Ipinagpapalit nito ang hangganang sinusubukan mong itatag para sa berdeng resulta, at ang kredensyal ay nabubuhay nang mas matagal kaysa sa test.

Itala ang network mode, ang naobserbahang labasan at ang pag-uugali sa muling pagkonekta sa mga tala ng deployment. Kapag binago ng update ng client kung paano pinangangasiwaan ang ipinapasang trapiko, ang mga talang iyon ang nagsasabi na ang pangangailangan ay hindi kailanman tunay na natugunan.