Windows Sandbox trafiği varsayılan olarak ana makinenin VPN'ini izlemez

Windows Sandbox'ı başlatıp içinde bir tarayıcı açtığınızda, ana makine bir dakika önce VPN'de olmasına rağmen sayfa normal bağlantınızdan yükleniyor. Hiçbir şey bozuk değil. Sandbox, ana makinenin varsayılan anahtarına bağlı sanal bir ağ bağdaştırıcısı alır ve ana makinenin tünelinin bu yolu kapsayıp kapsamaması VPN istemcisinin özelliğidir, Windows'un değil.

Sandbox gerçekte ne alıyor

Sandbox, kendi ağ bağdaştırıcısı olan hafif bir sanal makinedir. Bu bağdaştırıcı, ana makinenin Hyper-V varsayılan anahtarı üzerinden bağlanır ve bu anahtar, sanal makineden çıkmadan önce sandbox trafiğini ana makinenin sanal Ethernet arayüzüne çevirir. Bu ayrıntı, insanların bununla ilgili bildirdiği neredeyse her belirtiyi açıklar.

Yani sandbox masaüstünüzdeki bir süreç değildir. Paketleri ana makine tarafından iletilen ayrı bir ağ uç noktasıdır ve ana makinenin güvenlik duvarı ile VPN istemcisi bu iletimi kendilerine göre görür. Bir tarayıcı süreci için yazılmış kural, sanal bir anahtardan gelen çevrilmiş bir çerçeveyle otomatik olarak eşleşmez.

Bir gibi görünen iki gereksinim

Özel bir kaynağa ulaşmak ve sandbox'ın her isteğini tünelden geçirmeye zorlamak iki farklı hedeftir. İlki, sandbox'ın uç noktası için çalışan bir yol ve ad çözümlemesi gerektirir. İkincisi, yeniden bağlanmaya ve arızaya dayanan bir zorlama gerektirir. Hiçbiri diğerinden çıkmaz ve birini karşılayan bir kontrol diğeri hakkında hiçbir şey söylemez.

Genel adres kontrolü iki sorudan hiçbirini tam olarak yanıtlamaz. Sandbox'ın içinden VPN çıkışını görmek, bazı trafiğin tüneli kullandığını gösterir. Özel adların çözülüp çözülmediği veya tünel kapalıyken başlayan bir isteğe ne olduğu hakkında hiçbir şey söylemez.

Herhangi bir şeyi test etmeden önce hangisine ihtiyacınız olduğunu yazın, çünkü iki gereksinim farklı tasarımlara götürür ve yalnızca biri tarayıcıyla doğrulanabilir.

Sandbox'ın içinden kontrol edin

Anlamlı tek gözlem ana makineden değil, sandbox'ın kendi oturumundan gelir. Orada PowerShell açın ve bağdaştırıcıya, ad çözümlemesine ve bir belge adresine giden yola bakın:

ipconfig /all
Resolve-DnsName files.corp.example
Test-NetConnection 198.51.100.7 -Port 443
Get-NetRoute -DestinationPrefix 0.0.0.0/0

Bağdaştırıcı listesi, sandbox'ın aldığı adresi ve ağ geçidini gösterir. Ana makineden farklı bir ağ geçidi varsayılan anahtar için normaldir, bu yüzden ağ geçidini değil çıkışı karşılaştırın. Çözümleme testi, özel bir ada yanıt verilip verilmediğini gösterir ve split-horizon kurulumlarının ana makineden ayrıldığı yer genellikle burasıdır. Yol satırı, sandbox'ın hangi ağ geçidini varsayılan yolun sahibi saydığını gösterir.

Aynı üç kontrolü tünel bağlıyken ve bağlantı kesilmişken tekrarlayın. Bu iki durum arasında değişmeyen bir sonuç, genel kontrol hangi adresi gösterdiyse göstersin, tünelin sandbox'ın yolunda hiç olmadığının kanıtıdır.

Sandbox'ın ihtiyacı olmadığında ağı kapatın

Çevrimdışı inceleme için özel bir yapılandırma dosyası ağı tamamen kaldırabilir. Ayar, yapılandırma belgesindeki tek bir öğedir:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Sandbox yapılandırma başvurusu bu öğeyi belgeler ve etkin ağın iç ağları güvenmediğiniz uygulamalara açabileceği konusunda uyarır. Bu uyarı, varsayılanı kabul etmek yerine ayarı açıkça belirlemenin tüm nedenidir.

Ancak anahtar bir VPN arabirimi seçmez. Ağ olup olmadığına dair ikili bir karardır, sandbox'ı belirli bir tünele bağlamanın yolu değildir. Bir çıkışı adlandıran gereksinim, yalnızca var olup olmadığına karar veren bir anahtarla karşılanamaz.

Bir şey vermeden önce sınırı tasarlayın

Gereksinim katı yalıtımsa, bunu uygulayabilecek bir sanal makine ağı tasarımı seçin ve iletilen trafik veya sanal makine trafiği için VPN ürününün desteklenen ilkesini kullanın. Ana makine istemcisinin davranışını tahmin etmek tasarım değildir ve tek bir başarılı kontrol uygulama değildir.

Bir testi geçirmek için güvenilmeyen bir sandbox'a kurumsal VPN profili veya özel kimlik bilgileri vermeyin. Bu, kurmaya çalıştığınız sınırı yeşil bir sonuçla değişir ve kimlik bilgisi testten daha uzun yaşar.

Ağ modunu, gözlenen çıkışı ve yeniden bağlanma davranışını dağıtım notlarına kaydedin. Bir istemci güncellemesi iletilen trafiğin nasıl işlendiğini değiştirdiğinde, gereksinimin hiçbir zaman gerçekten karşılanmadığını söyleyen şey o notlardır.