Per què l’inici de sessió per VPN s’alenteix: perfil, redirecció o fitxers fora de línia

L’ordinador portàtil inicia sessió en uns quaranta segons a l’oficina i triga minuts a casa, i ningú no ha canviat cap directiva mentrestant. El que ha canviat és el camí de xarxa sota tres funcions que semblen iguals i es comporten de manera diferent. Un perfil itinerant carrega l’estat del registre i les carpetes del perfil, la redirecció de carpetes apunta una carpeta especial a un recurs compartit del servidor, i els fitxers fora de línia mantenen una memòria cau de les dades de xarxa elegibles. Totes tres poden afegir temps a l’inici de sessió, i normalment només una n’és la responsable.

Tres esperes amb tres responsables diferents

El perfil itinerant és el que fa que la configuració d’usuari segueixi una persona entre ordinadors participants, i la càrrega passa aviat dins la sessió. La branca del registre de l’usuari i les carpetes del perfil es copien o es fusionen en iniciar la sessió, i després s’escriuen de tornada en tancar-la. Aquesta feina és síncrona, i per això un camí lent cap al recurs compartit del perfil es percep com un escriptori lent i no com una còpia de fitxers lenta.

La redirecció de carpetes és un mecanisme diferent. Mou carpetes especials seleccionades, Documents és l’exemple habitual, a una ubicació de xarxa compatible i les deixa allà. Aleshores el perfil pot quedar-se petit, perquè les dades no hi són a dins, i el cost es trasllada al moment en què l’escriptori o una aplicació toca aquella carpeta.

Els fitxers fora de línia afegeixen una memòria cau local més sincronització per als fitxers de xarxa elegibles. Responen una pregunta diferent, que és què passa quan el servidor no és accessible, i poden gastar temps sincronitzant en iniciar i tancar la sessió quan la memòria cau és obsoleta. Tractar les tres coses com una sola configuració és el que produeix una directiva lenta en una direcció i inútil en l’altra.

Mesureu quina és la que realment espera

Comenceu llegint on viu el perfil i si es carrega des d’un camí del servidor. Després mesureu el temps d’un llistat de directori a cada recurs compartit que toqui la sessió, perquè un recurs que respon en mil·lisegons a la xarxa local pot trigar segons a través d’un túnel i un servidor de fitxers carregat.

Aquests dos fets estrenyen el problema més de pressa que qualsevol auditoria de directiva, i no necessiten cap canvi de configuració per recollir-los. Executeu-los a l’ordinador portàtil afectat, no en un servidor que estigui al costat del recurs compartit.

Get-CimInstance Win32_UserProfile | Select-Object LocalPath, Loaded, SID
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\*' | Select-Object ProfileImagePath
Measure-Command { Get-ChildItem '\\fs01.corp.internal\profiles\a.singh' | Out-Null }

Si el camí del perfil és local i només una carpeta redirigida apunta a un servidor, la càrrega del perfil no és la vostra espera, digui el que digui el tiquet de suport. Si el camí del perfil és remot i el llistat triga segons, l’inici de sessió espera aquell recurs, i la solució va sobre el camí o la mida del perfil i no sobre l’escriptori mateix. Llegiu les xifres en aquest ordre i la discussió normalment s’acaba aquí.

La connexió arriba després que hagi començat l’espera

Un túnel d’usuari que arrenca des de l’escriptori apareix molt després que s’hagi carregat el perfil, així que no pot ajudar l’etapa que era lenta. Windows nota el camí no disponible, recorre a credencials en memòria cau i a un perfil local, i la sessió finalment s’obre. Per això el mateix ordinador pot trigar minuts en el primer inici de sessió a casa i segons en el segon, un cop hi ha un perfil en memòria cau. L’espera és real, però la connexió que necessita no existeix en aquell moment.

Arreglar-ho vol dir moure la connexió abans, no ajustar el perfil. Un túnel de màquina o una connexió prèvia a l’inici de sessió amb autenticació d’ordinador estableix el camí abans que l’usuari iniciï la sessió, i necessita el seu propi cicle de vida de certificat i les seves pròpies regles de tallafoc. Les credencials en memòria cau són l’altra meitat del disseny, i només funcionen per a comptes que han iniciat sessió abans.

Proveu la seqüència i no els components. Tanqueu la sessió del tot, arrenqueu el túnel com ho faria un usuari remot, i mesureu l’inici de sessió des de la petició de credencials fins a un escriptori utilitzable.

Mantingueu els documents fora del perfil

El recurs compartit del perfil és el lloc equivocat per a grans col·leccions de documents, i la guia de desplegament de perfils itinerants de Microsoft manté per aquest motiu separats l’emmagatzematge del perfil i els recursos compartits de carpetes redirigides. Un perfil que porti una carpeta Documents de diversos gigabytes serà lent a cada inici i tancament de sessió, i la mida creix en silenci fins que algú la mesura.

Redirigiu les carpetes que guarden dades i deixeu que el perfil guardi la configuració. Excloeu les memòries cau que es poden reconstruir, com les del navegador i les dades temporals d’aplicacions, perquè transferir-les afegeix temps i no canvia res que l’usuari vegi. Mantingueu les dades del bústia i altres magatzems d’aplicacions a la ubicació que l’aplicació admet, i no en un camí itinerant.

No feu que el recurs compartit del perfil estigui disponible fora de línia. Els fitxers fora de línia pertanyen als recursos compartits de dades elegibles, i una branca de perfil en memòria cau que se sincronitza en les dues direccions és un informe de corrupció esperant a passar.

Proveu els quatre escenaris abans de donar-lo per resolt

Un inici de sessió ràpid a l’oficina demostra molt poc. El disseny ha de sobreviure a l’accés des de l’oficina, a casa a través del túnel, a la feina desconnectada i a la tornada a l’oficina, perquè és en el quart cas on apareixen els conflictes de sincronització. Mesureu els mateixos quatre casos amb un compte controlat i les aplicacions reals, i anoteu les xifres.

Recolliu el registre del servei de perfils i el conjunt de directiva resultant de la sessió afectada, no de la vostra estació de treball administrativa.

Get-WinEvent -LogName 'Microsoft-Windows-User Profile Service/Operational' -MaxEvents 30
gpresult /r /scope:user
Measure-Command { Get-ChildItem '\\fs01.corp.internal\users\a.singh\Documents' | Out-Null }

Compareu aquests temps amb la línia base de l’oficina i amb la mida del que s’està transferint. Un inici de sessió que encara triga un minut amb un perfil petit i un recurs ràpid no és un problema de perfil, i el següent lloc on mirar és el processament de la directiva de grup o un script d’inici de sessió que espera la xarxa. Si és aquí on hi ha la diferència, el perfil no havia estat mai el problema. Confirmeu que es conserva la feina no sincronitzada abans de canviar una directiva de carpetes o d’esborrar una memòria cau, ja que la sincronització i una còpia de seguretat recuperable són garanties diferents.