Ένα VPN, δύο λογαριασμοί Windows: γιατί σπάει η άλλη συνεδρία

Δύο άτομα είναι συνδεδεμένα, το ένα συνδέει την εταιρική σήραγγα και το πρόγραμμα περιήγησης του άλλου λογαριασμού σταματά να φορτώνει σελίδες που ήταν εντάξει πριν από ένα λεπτό. Στο ίδιο μηχάνημα, η καταχώριση εναλλαγής χρήστη έχει επίσης εξαφανιστεί από την οθόνη σύνδεσης, οπότε το δεύτερο άτομο δεν μπορεί να επιστρέψει στη δική του συνεδρία. Το να το ακολουθήσετε από τη δεύτερη συνεδρία προς τα έξω είναι ο ταχύτερος τρόπος να το κατανοήσετε, γιατί τίποτα στη σύνδεση του πρώτου χρήστη δεν είναι κρυφό και τίποτα στο πρόβλημα του δεύτερου χρήστη δεν είναι μυστηριώδες μόλις δείτε ποια αντικείμενα μοιράζονται.

Ξεκινήστε από τη συνεδρία που έσπασε

Πηγαίνετε στην επιφάνεια εργασίας του δεύτερου λογαριασμού, όχι του πρώτου. Ανοίξτε εκεί ένα τερματικό και κοιτάξτε τον πίνακα δρομολόγησης και τη λίστα επιλυτών ενώ η άλλη συνεδρία είναι συνδεδεμένη. Ό,τι βλέπετε ανήκει στο μηχάνημα, όχι στον άλλο χρήστη, και αυτό είναι το πρώτο στοιχείο.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Αν η προεπιλεγμένη διαδρομή δείχνει τώρα στη διεπαφή της σήραγγας, η κίνηση του δεύτερου χρήστη την ακολουθεί επίσης. Αν η λίστα επιλυτών απέκτησε ιδιωτικό διακομιστή, τα ερωτήματά τους πηγαίνουν τώρα κάπου που δεν μπορούν να φτάσουν μόλις πέσει η σήραγγα. Κανένα από τα δύο δεν είναι σφάλμα στον πελάτη, είναι οι συνέπειες μιας ενιαίας κοινόχρηστης στοίβας δικτύου.

Η τρίτη εντολή εξηγεί μια δεύτερη κατηγορία παραπόνων. Όταν ένας προσαρμογέας αλλάζει το μηχάνημα από δημόσια σε ιδιωτική κατηγορία δικτύου, οι κανόνες του τείχους προστασίας που περιορίζονται σε προφίλ αλλάζουν για όλους τους λογαριασμούς ταυτόχρονα, οπότε εφαρμογές που επιτρέπονταν το πρωί μπορεί να αποκλειστούν το απόγευμα χωρίς να αγγίξει κανείς κανόνα.

Η σύνδεση είναι ανά χρήστη, το δίκτυο δεν είναι

Τα Windows κρατούν το αντικείμενο σύνδεσης στο προφίλ του χρήστη που το δημιούργησε. Ο εικονικός προσαρμογέας που παράγει, οι διαδρομές που εγκαθιστά και οι διακομιστές DNS που καταχωρεί ισχύουν για όλο το μηχάνημα. Αυτός ο διαχωρισμός είναι η πηγή και των δύο συμπτωμάτων του τίτλου.

Εξηγεί επίσης γιατί η αποσύνδεση του πρώτου χρήστη συνήθως διορθώνει τον δεύτερο. Η αφαίρεση της σύνδεσης αφαιρεί τον προσαρμογέα και τις διαδρομές μαζί της, και η κατάσταση όλου του μηχανήματος επιστρέφει σε αυτή πριν συνδεθεί κανείς. Αυτό είναι χρήσιμη διάγνωση: αν η αποσύνδεση επισκευάζει τον άλλο λογαριασμό, βλέπετε κοινόχρηστη κατάσταση και όχι χαλασμένο προφίλ.

Αυτό που δεν μπορείτε να κάνετε είναι να δώσετε στη δεύτερη συνεδρία διαφορετικό πίνακα δρομολόγησης. Υπάρχει ένας πίνακας και δύο τυχαίες συνεδρίες τον μοιράζονται. Αυτό είναι ιδιότητα του λειτουργικού συστήματος και όχι περιορισμός συγκεκριμένου πελάτη. Σημαίνει επίσης ότι κάθε σχεδίαση που υποθέτει το αντίθετο θα αποτυγχάνει συνεχώς, και οι αποτυχίες θα μοιάζουν με άσχετα σφάλματα εφαρμογών.

Βρείτε τι αφαίρεσε την εναλλαγή χρήστη, με αυτή τη σειρά

Η γρήγορη εναλλαγή χρηστών εξαφανίστηκε για εντελώς διαφορετικό λόγο, και η διόρθωση δεν έχει καμία σχέση με τη δρομολόγηση. Περάστε τους τέσσερις υποψηφίους με τη σειρά, γιατί οι δύο πρώτοι αντιστρέφονται σε δευτερόλεπτα και οι επόμενοι έχουν κόστος.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Η τιμή μητρώου είναι η απλούστερη εξήγηση. Αν υπάρχει και διαβάζεται ως 1, η καταχώριση είναι κρυμμένη από πολιτική, και η διαδρομή της πολιτικής ομάδας είναι Διαμόρφωση υπολογιστή, Διοικητικά πρότυπα, Σύστημα, Σύνδεση και η ρύθμιση που ονομάζεται από την απόκρυψη των σημείων εισόδου γρήγορης εναλλαγής χρηστών. Ορίστε τη σε Μη ρυθμισμένη και ανανεώστε με gpupdate /force.

Η δεύτερη εντολή σας λέει αν αυτή η πολιτική παραδίδεται από τομέα αντί να είναι γραμμένη τοπικά. Αν εμφανίζεται στην αναφορά με GPO που κερδίζει, η επεξεργασία της τοπικής τιμής είναι προσωρινή διόρθωση που επανέρχεται στην επόμενη ανανέωση, και η συζήτηση ανήκει στον ιδιοκτήτη της πολιτικής.

Η τρίτη εντολή καλύπτει τον άλλο μηχανισμό. Ένας πάροχος διαπιστευτηρίων ή πρόσβασης δικτύου που εγκαθιστά μονάδα σύνδεσης μπορεί να καταστείλει την καταχώριση όσο εκτελείται, και ορισμένοι πελάτες καταχωρούν επίσης ένα στοιχείο που ξεκινά πριν από τη σύνδεση και κρατά αξίωση στην οθόνη σύνδεσης. Η απενεργοποίηση αυτής της υπηρεσίας επαναφέρει την εναλλαγή, και αφαιρεί επίσης τις λειτουργίες πριν από τη σύνδεση ή στάσης που υπάρχει η μονάδα για να παρέχει.

Αλλάξτε το χωρίς να κλειδωθείτε έξω

Κρατήστε μια διαχειριστική συνεδρία ανοιχτή όσο εργάζεστε, και μην κάνετε ποτέ αλλαγή στην οθόνη σύνδεσης σε μηχάνημα στο οποίο φτάνετε μόνο μέσω αυτής της οθόνης. Αποσυνδέστε πρώτα τις άλλες συνεδρίες, εφαρμόστε την αλλαγή, ανανεώστε και μετά δοκιμάστε αλλάζοντας χρήστη και όχι επανεκκινώντας.

Καταγράψτε ποιες λειτουργίες στάσης απενεργοποιήσατε. Μια ενημέρωση πελάτη μπορεί να επανεγκαταστήσει ή να ενεργοποιήσει ξανά τη μονάδα σύνδεσης, και το σύμπτωμα επιστρέφει χωρίς προφανή αιτία, συνήθως στη μέση ενός παραθύρου υποστήριξης όταν κανείς δεν θυμάται την προηγούμενη αλλαγή.

Σε διαχειριζόμενη συσκευή, υποθέστε ότι η ρύθμιση παραδίδεται από πάνω. Ο έλεγχος της αναφοράς πολιτικής πρώτα εξοικονομεί μια ώρα τοπικών αλλαγών που επανέρχονται. Σας λέει επίσης ποιον να ρωτήσετε όταν η απάντηση είναι όχι. Ένα δελτίο που ονομάζει την πολιτική που κερδίζει επιλύεται δύο φορές πιο γρήγορα από ένα που περιγράφει ένα κλειδί μητρώου που κάποιος έχει ήδη αλλάξει.

Επαληθεύστε και τους δύο λογαριασμούς και επιλέξτε το μοντέλο

Δοκιμάστε το αποτέλεσμα με τη σειρά που το βιώνουν οι δύο χρήστες. Συνδεθείτε ως ο δεύτερος λογαριασμός με τον πρώτο αποσυνδεδεμένο, επιβεβαιώστε την κανονική πρόσβαση, μετά συνδέστε τη σήραγγα του πρώτου λογαριασμού και επιβεβαιώστε ότι η αναμενόμενη διαδρομή του δεύτερου λογαριασμού είναι ακόμη αυτή που σκοπεύατε.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Αν και οι δύο λογαριασμοί χρειάζονται πραγματικά διαφορετικές διαδρομές δικτύου ταυτόχρονα, η ειλικρινής απάντηση είναι δύο μηχανήματα, δύο εικονικά μηχανήματα ή μια πολιτική όπου απαιτείται μόνο μία διαδρομή. Μια διαχωρισμένη σήραγγα στην κοινή σύνδεση μπορεί να περιορίσει το τι κινείται, αλλά δεν μπορεί να δώσει σε κάθε συνεδρία τον δικό της πίνακα. Το να φτάσετε εκεί νωρίς είναι φθηνότερο από το να το ανακαλύψετε μετά από τρεις προσπάθειες παράκαμψης.

Αυτή είναι η απόφαση που πρέπει να ληφθεί ρητά αντί να μπαλωθεί γύρω της. Ένας πίνακας δρομολόγησης, μία λίστα επιλυτών, ένα προφίλ τείχους προστασίας: όλα τα άλλα απορρέουν από αυτό, και η διόρθωση που το σέβεται θα λειτουργεί και τον επόμενο μήνα.