Jedna VPN, dva účty Windows: proč se druhá relace rozbije

Jsou přihlášeni dva lidé, jeden z nich připojí podnikový tunel a prohlížeč druhého účtu přestane načítat stránky, které ještě před minutou fungovaly. Na stejném stroji zmizela z přihlašovací obrazovky i položka přepnutí uživatele, takže se druhý člověk nemůže vrátit do své relace. Sledovat to od druhé relace směrem ven je nejrychlejší způsob, jak to pochopit, protože na připojení prvního uživatele není nic skrytého a na problému druhého uživatele není nic záhadného, jakmile uvidíte, které objekty jsou sdílené.

Začněte v relaci, která se rozbila

Přejděte na plochu druhého účtu, ne prvního. Otevřete tam terminál a podívejte se na směrovací tabulku a seznam překladačů, zatímco je druhá relace připojená. Všechno, co vidíte, patří stroji, ne druhému uživateli, a to je první stopa.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Pokud výchozí trasa nyní ukazuje na rozhraní tunelu, provoz druhého uživatele ji také sleduje. Pokud se do seznamu překladačů přidal soukromý server, jejich dotazy nyní míří tam, kam se po pádu tunelu nedostanou. Ani jedno z toho není chyba v klientovi; jsou to důsledky jednoho sdíleného síťového zásobníku.

Třetí příkaz vysvětluje druhou třídu stížností. Když adaptér přepne stroj z veřejné do soukromé kategorie sítě, pravidla firewallu vázaná na profil se změní pro všechny účty najednou, takže aplikace povolené ráno mohou být odpoledne zablokované, aniž by někdo na pravidlo sáhl.

Připojení je pro každého uživatele, síť ne

Windows drží objekt připojení v profilu uživatele, který ho vytvořil. Virtuální adaptér, který vytváří, trasy, které instaluje, a servery DNS, které registruje, platí pro celý stroj. Toto rozdělení je zdrojem obou symptomů z nadpisu.

Vysvětluje také, proč odhlášení prvního uživatele obvykle opraví druhého. Odebrání připojení odebere adaptér i trasy s ním a stav celého stroje se vrátí do podoby předtím, než se kdokoli připojil. To je užitečná diagnostika: pokud odhlášení opraví druhý účet, díváte se na sdílený stav, nikoli na rozbitý profil.

Co nemůžete udělat, je dát druhé relaci jinou směrovací tabulku. Tabulka je jedna a každé dvě relace ji sdílejí. To je vlastnost operačního systému, ne omezení konkrétního klienta. Znamená to také, že každý návrh, který předpokládá opak, bude dál selhávat a selhání budou vypadat jako nesouvisející chyby aplikací.

Najděte, co odstranilo přepnutí uživatele, v tomto pořadí

Rychlé přepínání uživatelů zmizelo z úplně jiného důvodu a oprava nemá se směrováním nic společného. Projděte čtyři kandidáty v pořadí, protože první dva se dají vrátit během sekund a ty pozdější mají cenu.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Hodnota registru je nejjednodušší vysvětlení. Pokud existuje a čte se jako 1, je položka skrytá zásadou a cesta zásad skupiny je Konfigurace počítače, Administrativní šablony, Systém, Přihlášení a nastavení pojmenované podle skrytí vstupních bodů rychlého přepínání uživatelů. Nastavte ji na Není nakonfigurováno a obnovte pomocí gpupdate /force.

Druhý příkaz vám řekne, zda se tato zásada doručuje z domény, místo aby byla zapsaná lokálně. Pokud se v sestavě objeví s vítěznou GPO, úprava lokální hodnoty je dočasná oprava, která se při dalším obnovení vrátí, a rozhovor patří vlastníkovi zásady.

Třetí příkaz pokrývá druhý mechanismus. Poskytovatel přihlašovacích údajů nebo síťového přístupu, který instaluje přihlašovací modul, může položku potlačit, dokud běží, a někteří klienti také registrují komponentu, která se spouští před přihlášením a drží si nárok na přihlašovací obrazovce. Vypnutí této služby obnoví přepínání, ale také odstraní funkce před přihlášením nebo kontrolu stavu, kvůli kterým modul existuje.

Změňte to, aniž byste se zamkli venku

Nechte si během práce otevřenou jednu administrativní relaci a nikdy nedělejte změnu na přihlašovací obrazovce na stroji, ke kterému se dostanete jen přes tuto obrazovku. Nejprve odhlaste ostatní relace, použijte změnu, obnovte a potom testujte přepnutím uživatele, ne restartem.

Zapište si, které funkce kontroly stavu jste vypnuli. Aktualizace klienta může přihlašovací modul přeinstalovat nebo znovu zapnout a symptom se vrátí bez zjevné příčiny, obvykle uprostřed okna podpory, když si nikdo nepamatuje dřívější změnu.

Na spravovaném zařízení předpokládejte, že nastavení se doručuje shora. Kontrola sestavy zásad nejprve ušetří hodinu lokálních úprav, které se vrátí. Také vám řekne, koho se zeptat, když je odpověď ne. Tiket, který pojmenuje vítěznou zásadu, se vyřeší dvakrát rychleji než ten, který popisuje klíč registru, který už někdo změnil.

Ověřte oba účty a vyberte model

Otestujte výsledek v pořadí, v jakém ho oba uživatelé prožívají. Přihlaste se jako druhý účet, zatímco první je odpojený, potvrďte normální přístup, potom připojte tunel prvního účtu a potvrďte, že očekávaná cesta druhého účtu je stále to, co jste zamýšleli.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Pokud oba účty skutečně potřebují různé síťové cesty zároveň, poctivá odpověď jsou dva stroje, dva virtuální stroje nebo zásada, kde je vyžadována jen jedna cesta. Rozdělený tunel na sdíleném připojení může zúžit, co se pohybuje, ale nemůže dát každé relaci vlastní tabulku. Dojít k tomu brzy je levnější než to objevit po třech pokusech o obejití.

To je rozhodnutí, které je třeba udělat výslovně, místo aby se to zalepilo. Jedna směrovací tabulka, jeden seznam překladačů, jeden profil firewallu: všechno ostatní z toho plyne a oprava, která to respektuje, bude fungovat i příští měsíc.