Warum die Anmeldung über VPN schleicht: Profil, Umleitung oder Offlinedateien

Das Notebook meldet sich im Büro in etwa vierzig Sekunden an und braucht zu Hause Minuten, und dazwischen hat niemand eine Richtlinie geändert. Geändert hat sich der Netzwerkpfad unter drei Funktionen, die ähnlich aussehen und sich unterschiedlich verhalten. Ein Roamingprofil lädt den Registrierungszustand und die Profilordner, die Ordnerumleitung zeigt einen Shellordner auf eine Serverfreigabe, und Offlinedateien halten einen Cache zulässiger Netzwerkdaten. Alle drei können Zeit zur Anmeldung hinzufügen, und meist ist nur eine davon verantwortlich.

Drei Wartezeiten mit drei verschiedenen Verursachern

Das Roamingprofil ist das, das Benutzereinstellungen zwischen teilnehmenden Computern mit einer Person mitwandern lässt, und das Laden geschieht früh in der Sitzung. Der Registrierungszweig des Benutzers und die Profilordner werden bei der Anmeldung kopiert oder zusammengeführt und bei der Abmeldung zurückgeschrieben. Diese Arbeit ist synchron, deshalb fühlt sich ein langsamer Pfad zur Profilfreigabe wie ein langsamer Desktop an und nicht wie ein langsames Kopieren von Dateien.

Die Ordnerumleitung ist ein anderer Mechanismus. Sie verschiebt ausgewählte Shellordner, Dokumente ist das übliche Beispiel, an einen unterstützten Netzwerkspeicherort und lässt sie dort. Das Profil kann dann klein bleiben, weil die Daten nicht darin liegen, und die Kosten verlagern sich auf den Moment, in dem die Shell oder eine Anwendung diesen Ordner berührt.

Offlinedateien fügen einen lokalen Cache plus Synchronisierung für zulässige Netzwerkdateien hinzu. Sie beantworten eine andere Frage, nämlich was passiert, wenn der Server nicht erreichbar ist, und sie können bei veraltetem Cache beim An- und Abmelden Zeit mit Synchronisierung verbringen. Die drei als eine Einstellung zu behandeln erzeugt eine Richtlinie, die in einer Richtung langsam und in der anderen nutzlos ist.

Messen Sie, welche tatsächlich wartet

Beginnen Sie damit zu lesen, wo das Profil liegt und ob es von einem Serverpfad geladen wird. Messen Sie dann ein Verzeichnislisting auf jeder Freigabe, die die Sitzung berührt, denn eine Freigabe, die im LAN in Millisekunden antwortet, kann über einen Tunnel und einen ausgelasteten Dateiserver Sekunden brauchen.

Diese zwei Fakten grenzen das Problem schneller ein als jede Richtlinienprüfung, und sie erfordern keine Konfigurationsänderung zum Erheben. Führen Sie sie auf dem betroffenen Notebook aus, nicht auf einem Server, der neben der Freigabe steht.

Get-CimInstance Win32_UserProfile | Select-Object LocalPath, Loaded, SID
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\*' | Select-Object ProfileImagePath
Measure-Command { Get-ChildItem '\\fs01.corp.internal\profiles\a.singh' | Out-Null }

Wenn der Profilpfad lokal ist und nur ein umgeleiteter Ordner auf einen Server zeigt, ist das Profilladen nicht Ihre Wartezeit, was das Helpdesk-Ticket auch sagt. Wenn der Profilpfad remote ist und das Listing Sekunden braucht, wartet die Anmeldung auf diese Freigabe, und die Lösung betrifft den Pfad oder die Profilgröße und nicht den Desktop selbst. Lesen Sie die Zahlen in dieser Reihenfolge, und die Diskussion endet meist dort.

Die Verbindung kommt, nachdem das Warten begonnen hat

Ein Benutzertunnel, der vom Desktop startet, erscheint deutlich nach dem Laden des Profils, kann der langsamen Phase also nicht helfen. Windows bemerkt den nicht verfügbaren Pfad, fällt auf zwischengespeicherte Anmeldeinformationen und ein lokales Profil zurück, und die Sitzung öffnet schließlich. Deshalb kann dasselbe Notebook bei der ersten Anmeldung zu Hause Minuten und bei der zweiten Sekunden brauchen, sobald ein zwischengespeichertes Profil vorliegt. Die Wartezeit ist real, aber die Verbindung, die sie braucht, existiert zu diesem Zeitpunkt nicht.

Das zu beheben heißt, die Verbindung früher zu legen, nicht das Profil zu tunen. Ein Maschinentunnel oder eine Vor-Anmelde-Verbindung mit Computerauthentifizierung stellt den Pfad her, bevor der Benutzer sich anmeldet, und braucht einen eigenen Zertifikatslebenszyklus und eigene Firewallregeln. Zwischengespeicherte Anmeldeinformationen sind die andere Hälfte des Entwurfs, und sie funktionieren nur für Konten, die sich schon einmal angemeldet haben.

Testen Sie die Abfolge statt der Komponenten. Melden Sie sich vollständig ab, starten Sie den Tunnel so, wie es ein Remote-Benutzer täte, und messen Sie die Anmeldung von der Anmeldeaufforderung bis zu einem nutzbaren Desktop.

Halten Sie Dokumente aus dem Profil heraus

Die Profilfreigabe ist der falsche Ort für große Dokumentsammlungen, und Microsofts Bereitstellungsleitfaden für Roamingprofile hält Profilspeicher und Freigaben umgeleiteter Ordner genau deshalb getrennt. Ein Profil, das einen Dokumente-Ordner von mehreren Gigabyte trägt, wird bei jeder An- und Abmeldung langsam sein, und die Größe wächst still, bis jemand sie misst.

Leiten Sie die Ordner um, die Daten halten, und lassen Sie das Profil Einstellungen halten. Schließen Sie Caches aus, die neu aufgebaut werden können, etwa Browsercaches und temporäre Anwendungsdaten, denn ihre Übertragung kostet Zeit und ändert nichts, was ein Benutzer sieht. Halten Sie Postfachdaten und andere Anwendungsspeicher an dem Ort, den die Anwendung unterstützt, und nicht auf einem Roamingpfad.

Machen Sie die Profilfreigabe nicht offline verfügbar. Offlinedateien gehören auf zulässige Datenfreigaben, und ein zwischengespeicherter Profilzweig, der in beide Richtungen synchronisiert, ist ein Korruptionsbericht, der darauf wartet zu passieren.

Prüfen Sie alle vier Szenarien, bevor Sie es als gelöst bezeichnen

Eine Anmeldung, die im Büro schnell ist, beweist sehr wenig. Der Entwurf muss Bürozugriff, Arbeit von zu Hause über den Tunnel, Arbeit ohne Verbindung und die Rückkehr ins Büro überstehen, denn im vierten Fall zeigen sich Synchronisierungskonflikte. Messen Sie dieselben vier mit einem kontrollierten Konto und den echten Anwendungen, und schreiben Sie die Zahlen auf.

Sammeln Sie das Profildienstprotokoll und den resultierenden Richtliniensatz aus der betroffenen Sitzung, nicht von Ihrer administrativen Workstation.

Get-WinEvent -LogName 'Microsoft-Windows-User Profile Service/Operational' -MaxEvents 30
gpresult /r /scope:user
Measure-Command { Get-ChildItem '\\fs01.corp.internal\users\a.singh\Documents' | Out-Null }

Vergleichen Sie diese Zeiten mit der Bürobasis und mit der Größe dessen, was übertragen wird. Eine Anmeldung, die mit kleinem Profil und schneller Freigabe immer noch eine Minute braucht, ist kein Profilproblem, und die nächste Stelle ist die Gruppenrichtlinienverarbeitung oder ein Anmeldeskript, das auf das Netzwerk wartet. Wenn dort die Lücke sitzt, war das Profil nie das Problem. Bestätigen Sie, dass nicht synchronisierte Arbeit erhalten bleibt, bevor Sie eine Ordnerrichtlinie ändern oder einen Cache leeren, denn Synchronisierung und eine wiederherstellbare Sicherung sind unterschiedliche Zusicherungen.