Jedan VPN, dva Windows računa: zašto se druga sesija kvari

Dvije su osobe prijavljene, jedna od njih spaja korporativni tunel, a preglednik drugog računa prestaje učitavati stranice koje su prije minute bile u redu. Na istom je računalu i stavka za prebacivanje korisnika nestala sa zaslona za prijavu, pa se druga osoba ne može vratiti u svoju sesiju. Praćenje toga iz druge sesije prema van najbrži je način da se to shvati, jer ništa u vezi prvog korisnika nije skriveno, a ništa u problemu drugog korisnika nije zagonetno čim vidite koji su objekti zajednički.

Počnite u sesiji koja se pokvarila

Dođite do radne površine drugog računa, ne prvog. Otvorite ondje terminal i pogledajte tablicu usmjeravanja i popis resolvera dok je druga sesija spojena. Sve što vidite pripada računalu, a ne drugom korisniku, i to je prvi trag.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Ako zadana ruta sada pokazuje na sučelje tunela, promet drugog korisnika slijedi je također. Ako je popis resolvera dobio privatni poslužitelj, njihove pretrage sada idu tamo kamo ne mogu doći kad tunel padne. Ništa od toga nije greška u klijentu; to su posljedice jednog zajedničkog mrežnog sloja.

Treći nalog objašnjava drugu vrstu pritužbi. Kad adapter prebaci računalo iz javne u privatnu kategoriju mreže, pravila vatrozida vezana uz profil mijenjaju se za sve račune odjednom, pa aplikacije koje su ujutro bile dopuštene mogu poslijepodne biti blokirane bez toga da itko dirne pravilo.

Veza je po korisniku, mreža nije

Windows drži objekt veze u profilu korisnika koji ju je stvorio. Virtualni adapter koji ona stvara, rute koje instalira i DNS poslužitelji koje registrira važe za cijelo računalo. Ta je podjela izvor obaju simptoma iz naslova.

To također objašnjava zašto odjava prvog korisnika obično popravi drugoga. Uklanjanje veze uklanja adapter i rute s njom, a stanje cijelog računala vraća se na ono prije nego što se itko spojio. To je korisna dijagnostika: ako odjava popravi drugi račun, gledate zajedničko stanje, a ne pokvaren profil.

Ono što ne možete učiniti jest dati drugoj sesiji drukčiju tablicu usmjeravanja. Postoji jedna tablica i svake je dvije sesije dijele. To je svojstvo operacijskog sustava, a ne ograničenje određenog klijenta. Znači i da će svaki dizajn koji pretpostavlja suprotno stalno propadati, a propusti će izgledati kao nepovezane greške aplikacija.

Pronađite što je uklonilo prebacivanje korisnika, ovim redom

Brzo prebacivanje korisnika nestalo je zbog posve drugog razloga i popravak nema nikakve veze s usmjeravanjem. Prođite kroz četiri kandidata redom, jer se prva dva mogu poništiti u sekundama, a kasniji imaju cijenu.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Vrijednost u registru najjednostavnije je objašnjenje. Ako postoji i čita se kao 1, stavka je skrivena politikom, a putanja grupne politike je Konfiguracija računala, Administrativni predlošci, Sustav, Prijava i postavka nazvana po skrivanju točaka za brzo prebacivanje korisnika. Postavite je na Nije konfigurirano i osvježite s gpupdate /force.

Drugi nalog kaže vam dolazi li ta politika s domene umjesto da je zapisana lokalno. Ako se u izvješću pojavi s pobjedničkim GPO-om, uređivanje lokalne vrijednosti privremen je popravak koji se vraća pri sljedećem osvježavanju, a razgovor pripada vlasniku politike.

Treći nalog pokriva drugi mehanizam. Davatelj vjerodajnica ili mrežnog pristupa koji instalira prijavni modul može potisnuti stavku dok radi, a neki klijenti registriraju i komponentu koja se pokreće prije prijave i drži zahtjev na zaslonu za prijavu. Onemogućavanje te usluge vraća prebacivanje, ali uklanja i funkcije prije prijave ili provjere stanja zbog kojih modul postoji.

Promijenite to bez zaključavanja sebe van

Držite jednu administrativnu sesiju otvorenom dok radite i nikada ne radite promjenu na zaslonu za prijavu na računalu do kojeg možete doći samo kroz taj zaslon. Prvo odjavite ostale sesije, primijenite promjenu, osvježite, a zatim testirajte prebacivanjem korisnika, a ne ponovnim pokretanjem.

Zabilježite koje ste funkcije provjere stanja onemogućili. Ažuriranje klijenta može ponovno instalirati ili omogućiti prijavni modul i simptom se vraća bez očitog uzroka, obično nasred prozora podrške kad se nitko ne sjeća ranije promjene.

Na upravljanom uređaju pretpostavite da se postavka dostavlja odozgo. Provjera izvješća o politici najprije štedi sat lokalnih izmjena koje se vraćaju. Također vam kaže koga pitati kad odgovor bude ne. Zahtjev koji imenuje pobjedničku politiku rješava se dvostruko brže od onoga koji opisuje ključ registra koji je netko već promijenio.

Provjerite oba računa i odaberite model

Testirajte ishod redom kojim ga doživljavaju oba korisnika. Prijavite se kao drugi račun dok je prvi odspojen, potvrdite normalan pristup, zatim spojite tunel prvog računa i potvrdite da je očekivana putanja drugog računa još uvijek ono što ste namjeravali.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Ako obama računima doista trebaju različite mrežne putanje istodobno, iskren je odgovor dva računala, dva virtualna računala ili politika u kojoj je potrebna samo jedna putanja. Razdvojeni tunel na zajedničkoj vezi može suziti što se kreće, ali ne može svakoj sesiji dati vlastitu tablicu. Doći do toga rano je jeftinije od otkrivanja nakon tri pokušaja zaobilaženja.

To je odluka koju treba donijeti izričito, umjesto krpanja oko nje. Jedna tablica usmjeravanja, jedan popis resolvera, jedan profil vatrozida: sve ostalo slijedi iz toga, a popravak koji to poštuje radit će i sljedeći mjesec.