Чаму ўваход праз VPN запавольваецца: профіль, перанакіраванне ці аўтаномныя файлы

Ноўтбук уваходзіць у сістэму прыблізна за сорак секунд у офісе і за некалькі хвілін дома, і ніхто паміж гэтым не мяняў палітыку. Змяніўся сеткавы шлях пад трыма функцыямі, якія выглядаюць падобна, але паводзяць сябе па-рознаму. Вандроўны профіль загружае стан рэестра і папкі профілю, перанакіраванне каталогаў накіроўвае папку абалонкі на сеткавае абагульненне, а аўтаномныя файлы трымаюць кэш прыдатных сеткавых даных. Усе тры могуць дадаць часу да ўваходу, і звычайна адказны толькі адзін з іх.

Тры чаканні з трыма рознымі ўладальнікамі

Менавіта вандроўны профіль прымушае налады карыстальніка ісці за чалавекам паміж удзельнымі камп'ютарамі, і загрузка адбываецца ў пачатку сеанса. Раздзел рэестра карыстальніка і папкі профілю капіруюцца або аб'ядноўваюцца пры ўваходзе, а затым запісваюцца назад пры выхадзе. Гэтая праца сінхронная, таму павольны шлях да абагульнення профілю адчуваецца як павольны працоўны стол, а не як павольнае капіраванне файлаў.

Перанакіраванне каталогаў — іншы механізм. Яно перамяшчае вылучаныя папкі абалонкі, Дакументы — звычайны прыклад, у падтрымліванае сеткавае месца і пакідае іх там. Тады профіль можа заставацца малым, бо даныя не ўнутры яго, а выдатак пераходзіць на той момант, калі абалонка або праграма звяртаецца да гэтай папкі.

Аўтаномныя файлы дадаюць лакальны кэш і сінхранізацыю для прыдатных сеткавых файлаў. Яны адказваюць на іншае пытанне: што адбываецца, калі сервер недасяжны, і могуць марнаваць час на сінхранізацыю пры ўваходзе і выхадзе, калі кэш састарэў. Менавіта стаўленне да ўсіх трох як да аднаго параметра стварае палітыку, павольную ў адным кірунку і бескарысную ў іншым.

Замерце, якое з іх сапраўды чакае

Пачніце з таго, дзе жыве профіль і ці загружаецца ён з шляху сервера. Затым замерце пералік каталога на кожным абагульненні, якога датыкаецца сеанс, бо абагульненне, якое адказвае за мілісекунды ў лакальнай сетцы, можа займаць секунды праз тунэль і заняты файлавы сервер.

Гэтыя два факты звужаюць праблему хутчэй за любы аўдыт палітык, і для іх збору не трэба мяняць канфігурацыю. Запусціце іх на закранутым ноўтбуку, а не на серверы, які стаіць побач з абагульненнем.

Get-CimInstance Win32_UserProfile | Select-Object LocalPath, Loaded, SID
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\*' | Select-Object ProfileImagePath
Measure-Command { Get-ChildItem '\\fs01.corp.internal\profiles\a.singh' | Out-Null }

Калі шлях профілю лакальны і толькі адна перанакіраваная папка паказвае на сервер, загрузка профілю — не ваша чаканне, што б ні казаў тыкет службы падтрымкі. Калі шлях профілю аддалены і пералік займае секунды, уваход чакае гэтае абагульненне, і выпраўленне датычыць шляху або памеру профілю, а не самога працоўнага стала. Чытайце лічбы ў гэтым парадку, і спрэчка звычайна на гэтым сканчаецца.

Злучэнне прыходзіць пасля пачатку чакання

Тунэль карыстальніка, які запускаецца з працоўнага стала, з'яўляецца значна пазней за загрузку профілю, таму ён не можа дапамагчы этапу, які быў павольным. Windows заўважае недасяжны шлях, пераходзіць на кешаныя ўліковыя дадзеныя і лакальны профіль, і сеанс урэшце адкрываецца. Таму той жа ноўтбук можа займаць хвіліны пры першым уваходзе дома і секунды пры другім, калі кешаны профіль ужо ёсць. Чаканне рэальнае, але злучэння, патрэбнага яму, у гэты момант не існуе.

Выправіць гэта — значыць перасунуць злучэнне раней, а не наладжваць профіль. Тунэль машыны або злучэнне да ўваходу з аўтэнтыфікацыяй камп'ютара ўсталёўвае шлях да таго, як карыстальнік увойдзе, і патрабуе ўласнага жыццёвага цыкла сертыфіката і ўласных правіл брандмаўэра. Кешаныя ўліковыя дадзеныя — другая палова рашэння, і яны працуюць толькі для ўліковых запісаў, якія ўжо ўваходзілі раней.

Правярайце паслядоўнасць, а не кампаненты. Цалкам выйдзіце, запусціце тунэль так, як гэта зрабіў бы аддалены карыстальнік, і замерце ўваход ад запыту ўліковых дадзеных да працаздольнага працоўнага стала.

Трымайце дакументы па-за профілем

Абагульненне профілю — няправільнае месца для вялікіх калекцый дакументаў, і кіраўніцтва Microsoft па разгортванні вандроўных профіляў менавіта таму трымае сховішча профілю і абагульненні перанакіраваных папак асобна. Профіль, які нясе папку Дакументы памерам у некалькі гігабайт, будзе павольным пры кожным уваходзе і выхадзе, а памер ціха расце, пакуль хтосьці яго не вымерае.

Перанакіруйце папкі, якія трымаюць даныя, а профіль няхай трымае налады. Выключыце кэшы, якія можна перабудаваць, напрыклад кэшы браўзера і часовыя даныя праграм, бо іх перадача дадае часу і нічога не мяняе з таго, што бачыць карыстальнік. Трымайце даныя паштовай скрыні і іншыя сховішчы праграм у месцы, якое падтрымлівае праграма, а не на вандроўным шляху.

Не рабіце абагульненне профілю даступным аўтаномна. Аўтаномныя файлы належаць да прыдатных абагульненняў даных, а кешаны раздзел профілю, які сінхранізуецца ў абодвух кірунках, — гэта справаздача пра пашкоджанне, якая чакае свайго часу.

Праверце ўсе чатыры сцэнарыі, перш чым лічыць гэта выпраўленым

Уваход, які хуткі ў офісе, даказвае вельмі мала. Рашэнне павінна вытрымаць доступ з офіса, працу дома праз тунэль, працу без злучэння і вяртанне ў офіс, бо менавіта ў чацвёртым выпадку з'яўляюцца канфлікты сінхранізацыі. Замерце тыя ж чатыры выпадкі на адным кантраляваным уліковым запісе з рэальнымі праграмамі і запішыце лічбы.

Сабярыце журнал службы профілю і выніковы набор палітык з закранутага сеанса, а не са сваёй адміністрацыйнай працоўнай станцыі.

Get-WinEvent -LogName 'Microsoft-Windows-User Profile Service/Operational' -MaxEvents 30
gpresult /r /scope:user
Measure-Command { Get-ChildItem '\\fs01.corp.internal\users\a.singh\Documents' | Out-Null }

Параўнайце гэтыя часы з офісным базавым узроўнем і з аб'ёмам таго, што перадаецца. Уваход, які ўсё яшчэ займае хвіліну пры малым профілі і хуткім абагульненні, — не праблема профілю, і наступнае месца для пошуку — апрацоўка групавой палітыкі або сцэнар уваходу, які чакае сетку. Калі разрыў менавіта там, профіль ніколі не быў праблемай. Пераканайцеся, што несінхранізаваная праца захавана, перш чым мяняць палітыку папкі або чысціць кэш, бо сінхранізацыя і аднаўляльная рэзервовая копія — розныя гарантыі.