Bir VPN, iki Windows hesabı: digər sessiya niyə pozulur

İki nəfər daxil olub, onlardan biri korporativ tunelə qoşulur, digər hesabın brauzeri isə bir dəqiqə əvvəl normal açılan səhifələri yükləməyi dayandırır. Eyni maşında İstifadəçini dəyişdir girişi də daxilolma ekranından yoxa çıxıb, yəni ikinci şəxs öz sessiyasına qayıda bilmir. Buna ikinci sessiyadan xaricə doğru baxmaq onu anlamağın ən sürətli yoludur, çünki birinci istifadəçinin bağlantısında gizli heç nə yoxdur və hansı obyektlərin paylaşıldığını görən kimi ikinci istifadəçinin probleminin sirri də qalmır.

Pozulan sessiyadan başlayın

Birinci yox, ikinci hesabın iş masasına keçin. Orada terminal açın və digər sessiya qoşulmuş halda marşrut cədvəlinə və həlledici siyahısına baxın. Gördüyünüz hər şey maşına aiddir, digər istifadəçiyə yox, və bu ilk ipucudur.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Əgər standart marşrut indi tunel interfeysinə yönəlibsə, ikinci istifadəçinin trafiki də onu izləyir. Əgər həlledici siyahısına şəxsi server əlavə olunubsa, onların sorğuları indi tunel düşdükdən sonra çata bilməyəcəkləri yerə gedir. Bunların heç biri müştəridə səhv deyil; bunlar vahid, paylaşılan şəbəkə yığınının nəticələridir.

Üçüncü əmr ikinci bir şikayət sinfini izah edir. Adapter maşını ictimai şəbəkə kateqoriyasından şəxsi kateqoriyaya çevirdikdə, profilə bağlanmış firewall qaydaları bütün hesablar üçün birdən dəyişir, ona görə səhər icazə verilən proqramlar heç kim qaydaya toxunmadan günortadan sonra bloklana bilər.

Bağlantı istifadəçi üzrədir, şəbəkə isə yox

Windows bağlantı obyektini onu yaradan istifadəçinin profilində saxlayır. Onun yaratdığı virtual adapter, quraşdırdığı marşrutlar və qeydiyyata aldığı DNS serverləri maşın səviyyəsindədir. Bu bölünmə başlıqdakı hər iki simptomun mənbəyidir.

Bu, həm də izah edir ki, niyə birinci istifadəçinin çıxışı adətən ikincini düzəldir. Bağlantını silmək adapteri və marşrutları da onunla birlikdə silir, maşın üzrə vəziyyət isə kimsə qoşulmadan əvvəlki halına qayıdır. Bu faydalı bir diaqnostikadır: əgər çıxış digər hesabı bərpa edirsə, siz pozulmuş profilə yox, paylaşılan vəziyyətə baxırsınız.

Edə bilmədiyiniz şey ikinci sessiyaya fərqli marşrut cədvəli verməkdir. Bir cədvəl var və istənilən iki sessiya onu paylaşır. Bu, müəyyən bir müştərinin məhdudiyyəti yox, əməliyyat sisteminin xassəsidir. Bu həm də o deməkdir ki, əksini fərz edən hər hansı dizayn uğursuzluğa davam edəcək və uğursuzluqlar əlaqəsiz proqram xətaları kimi görünəcək.

İstifadəçini dəyişdir girişini nəyin sildiyini bu sıra ilə tapın

Sürətli istifadəçi dəyişdirmə tamamilə başqa səbəbdən itdi və düzəlişin marşruta heç aidiyyəti yoxdur. Dörd namizədi sıra ilə işləyin, çünki ilk ikisi saniyələr içində geri qaytarıla bilər, sonrakıların isə qiyməti var.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Qeyd dəyəri ən sadə izahdır. Əgər mövcuddursa və 1 oxuyursa, giriş siyasətlə gizlədilib və Qrup Siyasəti yolu Kompüter Konfiqurasiyası, İnzibati Şablonlar, Sistem, Daxilolma və sürətli istifadəçi dəyişdirmə giriş nöqtələrini gizlətmək üçün adlandırılmış parametrdir. Onu Konfiqurasiya edilməyib olaraq təyin edin və gpupdate /force ilə yeniləyin.

İkinci əmr sizə bildirir ki, həmin siyasət yerli olaraq yazılmaq əvəzinə domendən gətirilirmi. Əgər hesabatda qalib GPO ilə görünürsə, yerli dəyəri redaktə etmək növbəti yeniləmədə geri qayıdan müvəqqəti düzəlişdir və söhbət siyasətin sahibinə aiddir.

Üçüncü əmr digər mexanizmi əhatə edir. Giriş modulu quraşdıran etimad və ya şəbəkə giriş provayderi o işləyərkən girişi sıxışdıra bilər, bəzi müştərilər də daxilolmadan əvvəl başlayan və daxilolma ekranında iddia saxlayan komponent qeydiyyata alır. Həmin xidmətin söndürülməsi dəyişdirməni bərpa edir və modulun təqdim etmək üçün mövcud olduğu daxilolmadan əvvəlki və ya vəziyyət funksiyalarını da silir.

Özünüzü bayırda qoymadan dəyişin

İşləyərkən bir inzibati sessiyanı açıq saxlayın və yalnız o ekran vasitəsilə çata bildiyiniz maşında daxilolma ekranı dəyişikliyi etməyin. Əvvəlcə digər sessiyalardan çıxın, dəyişikliyi tətbiq edin, yeniləyin, sonra yenidən başlatmaqla yox, istifadəçi dəyişdirməklə sınayın.

Hansı vəziyyət funksiyalarını söndürdüyünüzü qeyd edin. Müştəri yeniləməsi giriş modulunu yenidən quraşdıra və ya aktivləşdirə bilər və simptom aşkar səbəb olmadan qayıdır, adətən dəstək pəncərəsinin ortasında, heç kim əvvəlki dəyişikliyi xatırlamadıqda.

İdarə olunan cihazda parametrin yuxarıdan gətirildiyini fərz edin. Əvvəlcə siyasət hesabatını yoxlamaq geri qayıdan yerli redaktələrin bir saatını qənaət edir. O həm də cavab 'yox' olduqda kimdən soruşacağınızı bildirir. Qalib siyasəti adlandıran bilet, kimsənin artıq dəyişdiyi qeyd açarını təsvir edən biletdən iki dəfə tez həll olunur.

Hər iki hesabı yoxlayın və modeli seçin

Nəticəni iki istifadəçinin yaşadığı sıra ilə sınayın. Birinci hesab bağlantısız halda ikinci hesabla daxil olun, normal girişi təsdiqləyin, sonra birinci hesabın tunelini qoşun və ikinci hesabın gözlənilən yolunun hələ də nəzərdə tutduğunuz kimi olduğunu təsdiqləyin.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Əgər hər iki hesab həqiqətən eyni vaxtda fərqli şəbəkə yollarına ehtiyac duyursa, dürüst cavab iki maşın, iki virtual maşın və ya yalnız bir yolun tələb olunduğu siyasətdir. Paylaşılan bağlantıda bölünmüş tunel nəyin hərəkət etdiyini daralda bilər, amma hər sessiyaya öz cədvəlini verə bilməz. Buna erkən çatmaq üç cəhddən sonra kəşf etməkdən ucuzdur.

Bu, ətrafını yamaqla yox, açıq şəkildə veriləcək qərardır. Bir marşrut cədvəli, bir həlledici siyahısı, bir firewall profili: qalan hər şey bundan irəli gəlir və buna hörmət edən düzəliş gələn ay da işləyəcək.