Защо влизането през VPN е бавно: профил, пренасочване или офлайн файлове

Лаптопът влиза за около четиридесет секунди в офиса и отнема минути у дома, а междувременно никой не е променял политика. Променил се е мрежовият път под три функции, които изглеждат сходни и се държат различно. Подвижният профил зарежда състоянието на регистъра и папките на профила, пренасочването на папки насочва папка на обвивката към споделен сървърен ресурс, а офлайн файловете поддържат кеш на подходящи мрежови данни. И трите могат да добавят време към влизането и обикновено само една от тях е отговорна.

Три чакания с три различни собственика

Подвижният профил е този, който кара потребителските настройки да следват човека между участващите компютри, и зареждането се случва рано в сесията. Разделът на регистъра на потребителя и папките на профила се копират или обединяват при влизане, а след това се записват обратно при излизане. Тази работа е синхронна, затова бавният път до споделената папка за профили се усеща като бавен работен плот, а не като бавно копиране на файлове.

Пренасочването на папки е друг механизъм. То премества избрани папки на обвивката, Документи е обичайният пример, на поддържано мрежово място и ги оставя там. Тогава профилът може да остане малък, защото данните не са в него, а разходът се премества в момента, в който обвивката или приложение докосне тази папка.

Офлайн файловете добавят локален кеш плюс синхронизация за подходящи мрежови файлове. Те отговарят на друг въпрос: какво се случва, когато сървърът е недостъпен, и могат да изразходват време за синхронизация при влизане и излизане, когато кешът е остарял. Именно третирането на трите като една настройка създава политика, която е бавна в едната посока и безполезна в другата.

Измерете кое всъщност чака

Започнете с това къде живее профилът и дали се зарежда от сървърен път. След това измерете списък на директория върху всеки споделен ресурс, който сесията докосва, защото ресурс, който отговаря за милисекунди в локалната мрежа, може да отнеме секунди през тунел и натоварен файлов сървър.

Тези два факта стесняват проблема по-бързо от всеки одит на политики и не изискват промяна в конфигурацията, за да бъдат събрани. Изпълнете ги на засегнатия лаптоп, а не на сървър, който стои до споделения ресурс.

Get-CimInstance Win32_UserProfile | Select-Object LocalPath, Loaded, SID
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\*' | Select-Object ProfileImagePath
Measure-Command { Get-ChildItem '\\fs01.corp.internal\profiles\a.singh' | Out-Null }

Ако пътят на профила е локален и само една пренасочена папка сочи към сървър, зареждането на профила не е вашето чакане, каквото и да казва билетът в помощната служба. Ако пътят на профила е отдалечен и списъкът отнема секунди, влизането чака този ресурс и поправката е за пътя или размера на профила, а не за самия работен плот. Четете числата в този ред и спорът обикновено свършва там.

Връзката идва след началото на чакането

Потребителският тунел, който стартира от работния плот, се появява доста след като профилът е зареден, така че не може да помогне на етапа, който е бил бавен. Windows забелязва недостъпния път, връща се към кеширани идентификационни данни и локален профил, и сесията в крайна сметка се отваря. Затова същият лаптоп може да отнеме минути при първото влизане у дома и секунди при второто, щом има кеширан профил. Чакането е реално, но връзката, която му трябва, в този момент не съществува.

Поправянето означава да преместите връзката по-рано, а не да настройвате профила. Тунел на машината или връзка преди влизане с удостоверяване на компютъра установява пътя преди потребителят да влезе и се нуждае от собствен жизнен цикъл на сертификата и собствени правила на защитната стена. Кешираните идентификационни данни са другата половина от решението и работят само за акаунти, които вече са влизали.

Тествайте последователността, а не компонентите. Излезте напълно, стартирайте тунела както би го направил отдалечен потребител и измерете влизането от подканата за идентификационни данни до използваем работен плот.

Дръжте документите извън профила

Споделеният ресурс за профили е грешното място за големи колекции от документи и ръководството на Microsoft за разгръщане на подвижни профили точно затова държи хранилището на профила и споделените ресурси за пренасочени папки отделно. Профил, който носи папка Документи от няколко гигабайта, ще бъде бавен при всяко влизане и излизане, а размерът расте тихо, докато някой не го измери.

Пренасочете папките, които държат данни, и оставете профила да държи настройки. Изключете кешове, които могат да бъдат изградени наново, като кешове на браузъра и временни данни на приложения, защото прехвърлянето им добавя време и не променя нищо, което потребителят вижда. Дръжте данните на пощенската кутия и другите хранилища на приложения на мястото, което приложението поддържа, а не на подвижен път.

Не правете споделения ресурс за профили достъпен офлайн. Офлайн файловете принадлежат на подходящи споделени ресурси за данни, а кеширан раздел на профила, който се синхронизира в двете посоки, е доклад за повреда, който чака да се случи.

Проверете и четирите сценария, преди да го обявите за поправено

Влизане, което е бързо в офиса, доказва много малко. Решението трябва да оцелее при достъп от офиса, от дома през тунела, при работа без връзка и при връщане в офиса, защото именно в четвъртия случай се появяват конфликти при синхронизация. Измерете същите четири с един контролиран акаунт и реалните приложения и запишете числата.

Съберете журнала на услугата за профили и получения набор от политики от засегнатата сесия, а не от вашата административна работна станция.

Get-WinEvent -LogName 'Microsoft-Windows-User Profile Service/Operational' -MaxEvents 30
gpresult /r /scope:user
Measure-Command { Get-ChildItem '\\fs01.corp.internal\users\a.singh\Documents' | Out-Null }

Сравнете тези времена с офисната базова линия и с размера на това, което се прехвърля. Влизане, което все още отнема минута при малък профил и бърз ресурс, не е проблем на профила и следващото място за гледане е обработката на груповата политика или скрипт за влизане, който чака мрежата. Ако разликата е там, профилът никога не е бил проблемът. Потвърдете, че несинхронизираната работа е запазена, преди да промените политика на папка или да изчистите кеш, защото синхронизацията и възстановимият архив са различни гаранции.