Адзін VPN, два ўліковыя запісы Windows: чаму ламаецца іншы сеанс

Двое людзей увайшлі ў сістэму, адзін з іх падключае карпаратыўны тунель, і браўзер другога запісу перастае загружаць старонкі, якія яшчэ хвіліну таму адкрываліся. На той жа машыне з экрана ўваходу знік і пункт «Пераключыць карыстальніка», таму другі чалавек не можа вярнуцца ў свой сеанс. Ісці ад другога сеансу вонкі — самы хуткі спосаб гэта зразумець, бо ў злучэнні першага карыстальніка няма нічога схаванага, і ў праблеме другога карыстальніка няма нічога загадкавага, як толькі ўбачыш, якія аб'екты агульныя.

Пачніце з сеансу, які зламаўся

Перайдзіце на працоўны стол другога запісу, а не першага. Адкрыйце там тэрмінал і паглядзіце на табліцу маршрутызацыі і спіс рэзалвераў, пакуль іншы сеанс падключаны. Усё, што вы бачыце, належыць машыне, а не іншаму карыстальніку, і гэта першая падказка.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Калі маршрут па змаўчанні цяпер паказвае на інтэрфейс тунеля, трафік другога карыстальніка таксама ідзе па ім. Калі ў спісе рэзалвераў з'явіўся прыватны сервер, іх запыты цяпер ідуць туды, куды яны не змогуць дабрацца, як толькі тунель абрынецца. Ні адно з гэтага не памылка ў кліенце; гэта наступствы аднаго агульнага сеткавага стэка.

Трэцяя каманда тлумачыць другі клас скаргаў. Калі адаптар пераключае машыну з публічнай катэгорыі сеткі на прыватную, правілы брандмаўэра, прывязаныя да профілю, мяняюцца для ўсіх запісаў адразу, таму праграмы, дазволеныя раніцай, могуць быць заблакаваныя пасля абеду без удзелу кагосьці ў правіле.

Злучэнне — для кожнага карыстальніка, а сетка — не

Windows захоўвае аб'ект злучэння ў профілі карыстальніка, які яго стварыў. Віртуальны адаптар, які ён стварае, маршруты, якія ён усталёўвае, і серверы DNS, якія ён рэгіструе, дзейнічаюць на ўсёй машыне. Гэтае раздзяленне — крыніца абодвух сімптомаў з загалоўка.

Гэта таксама тлумачыць, чаму выхад першага карыстальніка звычайна выпраўляе другога. Выдаленне злучэння выдаляе адаптар і маршруты разам з ім, і стан усёй машыны вяртаецца да таго, якім быў да таго, як хтосьці падключыўся. Гэта карысная дыягностыка: калі выхад выпраўляе іншы запіс, вы маеце справу з агульным станам, а не са зламаным профілем.

Чаго вы не можаце зрабіць — даць другому сеансу іншую табліцу маршрутызацыі. Табліца адна, і любыя два сеансы дзеляць яе. Гэта ўласцівасць аперацыйнай сістэмы, а не абмежаванне пэўнага кліента. Гэта таксама азначае, што любы дызайн, які мяркуе інакш, будзе правальвацца, і збоі будуць выглядаць як незвязаныя памылкі праграм.

Знайдзіце, што прыбрала пункт «Пераключыць карыстальніка», у гэтым парадку

Хуткае пераключэнне карыстальнікаў знікла зусім з іншай прычыны, і выпраўленне не мае ніякага дачынення да маршрутызацыі. Прайдзіце чатыры варыянты па парадку, бо першыя два можна адкаціць за секунды, а наступныя маюць цапу.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Значэнне рэестра — самае простае тлумачэнне. Калі яно існуе і чытаецца як 1, пункт схаваны палітыкай, а шлях групавой палітыкі: Канфігурацыя камп'ютара, Адміністрацыйныя шаблоны, Сістэма, Уваход, і налада, названая па схаванні пунктаў хуткага пераключэння карыстальнікаў. Усталюйце яе ў «Не наладжана» і абнавіце з дапамогай gpupdate /force.

Другая каманда паведамляе, ці дастаўляецца гэтая палітыка з дамена, а не запісваецца лакальна. Калі яна з'яўляецца ў справаздачы з пераможнай GPO, рэдагаванне лакальнага значэння — часовае выпраўленне, якое адкочваецца пры наступным абнаўленні, і размову трэба весці з уладальнікам палітыкі.

Трэцяя каманда ахоплівае іншы механізм. Пастаўшчык уліковых даных або сеткавага доступу, які ўсталёўвае модуль уваходу, можа падаўляць пункт, пакуль працуе, а некаторыя кліенты таксама рэгіструюць кампанент, які запусціўся да ўваходу і ўтрымлівае прэтэнзію на экране ўваходу. Адключэнне гэтай службы вяртае пераключэнне, але таксама выдаляе функцыі перад уваходам або праверкі стану, для якіх існуе модуль.

Змяніце гэта, не замкнуўшы сябе звонку

Трымайце адзін адміністрацыйны сеанс адкрытым, пакуль працуеце, і ніколі не рабіце змену на экране ўваходу на машыне, да якой можна дабрацца толькі праз гэты экран. Спачатку выйдзіце з іншых сеансаў, ужывіце змену, абнавіце, а затым праверце пераключэннем карыстальнікаў, а не перазагрузкай.

Запішыце, якія функцыі праверкі стану вы адключылі. Абнаўленне кліента можа пераўсталяваць або зноў уключыць модуль уваходу, і сімптом вернецца без відавочнай прычыны, звычайна ў сярэдзіне акна падтрымкі, калі ніхто не памятае папярэдняй змены.

На кіраванай прыладзе мяркуйце, што налада дастаўляецца зверху. Праверка справаздачы па палітыцы спачатку зэканоміць гадзіну лакальных правак, якія адкочваюцца. Яна таксама падказвае, у каго спытаць, калі адказ «не». Заяўка, якая называе пераможную палітыку, вырашаецца ўдвая хутчэй за тую, што апісвае ключ рэестра, які нехта ўжо змяніў.

Праверце абодва запісы і выберыце мадэль

Праверце вынік у парадку, у якім яго перажываюць абодва карыстальнікі. Увайдзіце ў другі запіс, пакуль першы адключаны, пацвердзіце звычайны доступ, затым падключыце тунель першага запісу і пацвердзіце, што чаканы шлях другога запісу ўсё яшчэ такі, як вы планавалі.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Калі абодвум запісам сапраўды патрэбныя розныя сеткавыя шляхі адначасова, сумленны адказ — дзве машыны, дзве віртуальныя машыны або палітыка, дзе патрабуецца толькі адзін шлях. Раздзелены тунель на агульным злучэнні можа звузіць тое, што рухаецца, але ён не можа даць кожнаму сеансу ўласную табліцу. Дабрацца да гэтага рана танней, чым выявіць гэта пасля трох спроб абысці.

Гэта рашэнне, якое трэба прыняць відавочна, а не заляпіць навокал. Адна табліца маршрутызацыі, адзін спіс рэзалвераў, адзін профіль брандмаўэра: усё астатняе вынікае з гэтага, і выпраўленне, якое гэта паважае, будзе працаваць і наступны месяц.