Een VPN, twee Windows-rekeninge: waarom die ander sessie breek
Roetes en oplossers is masjienwyd, so een rekening se tonnel herlei die ander. Vind dan watter beleid of aanmeldmodule die Skakel-gebruiker-inskrywing verwyder het.
Twee mense is aangemeld, een van hulle koppel die korporatiewe tonnel, en die ander rekening se blaaier hou op om bladsye te laai wat 'n minuut gelede nog reg was. Op dieselfde masjien het die Skakel-gebruiker-inskrywing ook van die aanmeldskerm verdwyn, so die tweede persoon kan nie na sy eie sessie terugkeer nie. Om dit van die tweede sessie af uitwaarts te volg, is die vinnigste manier om dit te verstaan, want niks omtrent die eerste gebruiker se verbinding is verborge nie, en niks omtrent die tweede gebruiker se probleem is raaiselagtig sodra jy sien watter objekte gedeel word.
Begin in die sessie wat gebreek het
Stap na die tweede rekening se lessenaar, nie die eerste nie. Maak daar 'n terminal oop en kyk na die roeteringstabel en die oplosserlys terwyl die ander sessie gekoppel is. Alles wat jy sien, behoort aan die masjien, nie aan die ander gebruiker nie, en dit is die eerste leidraad.
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4ConnectivityAs die verstekroete nou na die tonnelkoppelvlak wys, volg die tweede gebruiker se verkeer dit ook. As die oplosserlys 'n private bediener bygekry het, gaan hul naslaanvrae nou na 'n plek wat hulle nie kan bereik sodra die tonnel val nie. Nie een daarvan is 'n fout in die kliënt nie; dit is die gevolge van 'n enkele, gedeelde netwerkstapel.
Die derde opdrag verduidelik 'n tweede soort klagte. Wanneer 'n adapter die masjien van 'n openbare na 'n private netwerkkategorie skakel, verander firewallreëls wat op 'n profiel gerig is, vir elke rekening gelyktydig, so programme wat soggens toegelaat is, kan smiddags geblokkeer word sonder dat iemand aan 'n reël raak.
Die verbinding is per gebruiker, die netwerk nie
Windows hou die verbindingsobjek in die profiel van die gebruiker wat dit geskep het. Die virtuele adapter wat dit voortbring, die roetes wat dit installeer en die DNS-bedieneradresse wat dit registreer, is masjienwyd. Daardie splitsing is die oorsprong van albei simptome in die titel.
Dit verduidelik ook waarom die eerste gebruiker se afmelding gewoonlik die tweede een regstel. Deur die verbinding te verwyder, verwyder jy die adapter en die roetes daarmee saam, en die masjienwye toestand keer terug na wat dit was voordat iemand ingeskakel het. Dit is 'n nuttige diagnostiek: as afmelding die ander rekening herstel, kyk jy na gedeelde toestand eerder as na 'n gebreekte profiel.
Wat jy nie kan doen nie, is om die tweede sessie 'n ander roeteringstabel te gee. Daar is een tabel, en enige twee sessies deel dit. Dit is 'n eienskap van die bedryfstelsel eerder as 'n beperking van 'n bepaalde kliënt. Dit beteken ook dat enige ontwerp wat anders aanvaar, aanhou misluk, en die mislukkings sal soos onverwante programfoute lyk.
Vind wat Skakel-gebruiker verwyder het, in hierdie volgorde
Vinnige gebruikerskakeling het om 'n heeltemal ander rede verdwyn, en die regstelling het niks met roetering te doen nie. Werk die vier kandidate in volgorde deur, want die eerste twee is binne sekondes omkeerbaar en die latere het 'n koste.
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayNameDie registerwaarde is die eenvoudigste verklaring. As dit bestaan en 1 lees, word die inskrywing deur beleid verberg, en die Groepsbeleid-pad is Rekenaarconfigurasie, Administratiewe sjablone, Stelsel, Aanmelding, en die instelling wat genoem is na die verberging van vinnige gebruikerskakeling-inskrywingspunte. Stel dit op Nie gekonfigureer nie en verfris met gpupdate /force.
Die tweede opdrag sê vir jou of daardie beleid van 'n domein af gelewer word eerder as om plaaslik geskryf te wees. As dit in die verslag verskyn met 'n GPO wat wen, is die plaaslike waarde wysig 'n tydelike regstelling wat by die volgende verfrissing terugdraai, en die gesprek hoort by wie die beleid besit.
Die derde opdrag dek die ander meganisme. 'n Aanmeldings- of netwerktoegangsverskaffer wat 'n aanmeldmodule installeer, kan die inskrywing onderdruk terwyl dit loop, en sommige kliënte registreer ook 'n komponent wat voor aanmelding begin en wat 'n aanspraak op die aanmeldskerm hou. Om daardie diens te deaktiveer, herstel skakeling, en dit verwyder ook die voor-aanmelding- of postuurfunksies wat die module bestaan om te verskaf.
| Cause | How to confirm | Cost of the fix |
|---|---|---|
| HideFastUserSwitching policy | Registry value present and set to 1 | None; remove the policy |
| Logon module service | Service running under a vendor name | Loses pre-logon and posture behaviour |
| GINA-era assumption | Only relevant on very old Windows | Nothing to fix; the mechanism is gone |
Verander dit sonder om jouself uit te sluit
Hou een administratiewe sessie oop terwyl jy werk, en maak nooit 'n verandering aan die aanmeldskerm op 'n masjien wat jy net deur daardie skerm kan bereik nie. Meld die ander sessies eers af, pas die verandering toe, verfris, en toets dan deur van gebruiker te wissel eerder as deur te herbegin.
Teken aan watter postuurfunksies jy gedeaktiveer het. 'n Kliëntopdatering kan die aanmeldmodule herinstalleer of weer aktiveer, en die simptoom keer terug sonder 'n duidelike oorsaak, gewoonlik in die middel van 'n ondersteuningsvenster wanneer niemand die vroeëre verandering onthou nie.
Op 'n bestuurde toestel, neem aan die instelling word van bo af gelewer. Om eers die beleidverslag na te gaan, spaar 'n uur se plaaslike wysigings wat terugdraai. Dit sê ook vir jou wie om te vra wanneer die antwoord nee is. 'n Kaartjie wat die wengroep-beleid noem, word twee keer so vinnig opgelos as een wat 'n registersleutel beskryf wat iemand al verander het.
Verifieer albei rekeninge en kies die model
Toets die uitkoms in die volgorde waarin die twee gebruikers dit ervaar. Meld aan as die tweede rekening met die eerste een ontkoppel, bevestig normale toegang, koppel dan die eerste rekening se tonnel en bevestig dat die tweede rekening se verwagte pad nog steeds is wat jy bedoel het.
qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443As albei rekeninge werklik op dieselfde tyd verskillende netwerkpaaie nodig het, is die eerlike antwoord twee masjiene, twee virtuele masjiene, of 'n beleid waar slegs een pad vereis word. 'n Gesplete tonnel op die gedeelde verbinding kan vernou wat beweeg, maar dit kan nie vir elke sessie sy eie tabel gee nie. Om vroeg daar uit te kom, is goedkoper as om dit te ontdek ná drie pogings tot omseilwerk.
Dit is die besluit om eksplisiet te neem eerder as om dit reg te pleister. Een roeteringstabel, een oplosserlys, een firewallprofiel: alles anders volg daaruit, en die regstelling wat dit respekteer, sal volgende maand nog werk.