Unu VPN, du Windows-kontoj: kial la alia seanco rompiĝas

Du homoj estas ensalutintaj, unu el ili konektas la firmaan tunelon, kaj la retumilo de la alia konto ĉesas ŝargi paĝojn, kiuj funkciis antaŭ unu minuto. Sur la sama maŝino ankaŭ la ero Ŝanĝi uzanton malaperis de la ensaluta ekrano, do la dua persono ne povas reveni al sia propra seanco. Spuri tion de la dua seanco eksteren estas la plej rapida maniero kompreni ĝin, ĉar nenio pri la konekto de la unua uzanto estas kaŝita, kaj nenio pri la problemo de la dua uzanto estas mistera, post kiam vi vidas, kiuj objektoj estas dividataj.

Komencu en la seanco, kiu rompiĝis

Iru al la labortablo de la dua konto, ne de la unua. Malfermu terminalon tie kaj rigardu la enkursigan tabelon kaj la solvilan liston, dum la alia seanco estas konektita. Ĉio, kion vi vidas, apartenas al la maŝino, ne al la alia uzanto, kaj tio estas la unua indiko.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Se la defaŭlta itinero nun montras al la tunela interfaco, la trafiko de la dua uzanto ankaŭ sekvas ĝin. Se la solvila listo gajnis privatan servilon, iliaj serĉoj nun iras al loko, kiun ili ne povas atingi, kiam la tunelo falas. Neniu el tiuj estas fuŝo en la kliento; ili estas la sekvoj de unu komuna reta stako.

La tria komando klarigas duan klason de plendoj. Kiam adaptilo ŝanĝas la maŝinon de publika al privata retkategorio, fajroŝirmilaj reguloj limigitaj al profilo ŝanĝiĝas por ĉiuj kontoj samtempe, do aplikaĵoj permesitaj matene povas esti blokitaj posttagmeze, sen ke iu tuŝas regulon.

La konekto estas por uzanto, la reto ne

Windows konservas la konektan objekton en la profilo de la uzanto, kiu kreis ĝin. La virtuala adaptilo, kiun ĝi produktas, la itineroj, kiujn ĝi instalas, kaj la DNS-serviloj, kiujn ĝi registras, validas por la tuta maŝino. Tiu divido estas la fonto de ambaŭ simptomoj en la titolo.

Ĝi ankaŭ klarigas, kial elsaluti la unuan uzanton kutime riparas la duan. Forigi la konekton forigas la adaptilon kaj la itinerojn kun ĝi, kaj la maŝinampleksa stato revenas al tio, kio estis antaŭ ol iu alvokis. Tio estas utila diagnozo: se elsaluto riparas la alian konton, vi rigardas komunan staton, ne rompitan profilon.

Kion vi ne povas fari, estas doni al la dua seanco malsaman enkursigan tabelon. Estas unu tabelo, kaj iuj ajn du seancoj dividas ĝin. Tio estas eco de la operaciumo, ne limigo de aparta kliento. Ĝi ankaŭ signifas, ke iu ajn dezajno, kiu supozas la malon, daŭre malsukcesos, kaj la malsukcesoj aspektos kiel nerilataj aplikaĵaj fuŝoj.

Trovu, kio forigis Ŝanĝi uzanton, en ĉi tiu ordo

Rapida uzantoŝanĝo malaperis pro tute alia kaŭzo, kaj la ripeto havas nenion komunan kun enkursigado. Trairu la kvar kandidatojn laŭ ordo, ĉar la unuaj du estas malfareblaj en sekundoj kaj la postaj havas koston.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

La registra valoro estas la plej simpla klarigo. Se ĝi ekzistas kaj legiĝas kiel 1, la ero estas kaŝita per politiko, kaj la vojo de Grupa Politiko estas Komputila Agordo, Administraj Ŝablonoj, Sistemo, Ensaluto, kaj la agordo nomita laŭ kaŝado de la enirpunktoj de rapida uzantoŝanĝo. Agordu ĝin al Ne agordita kaj refreŝigu per gpupdate /force.

La dua komando diras al vi, ĉu tiu politiko estas liverata el domajno anstataŭ skribita loke. Se ĝi aperas en la raporto kun venka GPO, redakti la lokan valoron estas provizora ripeto, kiu revenas ĉe la sekva refreŝigo, kaj la konversacio apartenas al la posedanto de la politiko.

La tria komando kovras la alian mekanismon. Provizanto de akreditaĵoj aŭ reta aliro, kiu instalas ensalutan modulon, povas subpremi la eron dum ĝi funkcias, kaj kelkaj klientoj ankaŭ registras komponanton, kiu startas antaŭ ensaluto kaj tenas postulon sur la ensaluta ekrano. Malŝalti tiun servon restarigas la ŝanĝon, kaj ĝi ankaŭ forigas la antaŭ-ensalutajn aŭ statokontrolajn funkciojn, por kiuj la modulo ekzistas.

Ŝanĝu ĝin sen ŝlosi vin ekstere

Tenu unu administran seancon malfermita dum vi laboras, kaj neniam faru ŝanĝon sur la ensaluta ekrano en maŝino, kiun vi povas atingi nur per tiu ekrano. Unue elsalutu la aliajn seancojn, apliku la ŝanĝon, refreŝigu, kaj poste testu per uzantoŝanĝo anstataŭ per restartigo.

Notu, kiujn statokontrolajn funkciojn vi malŝaltis. Klienta ĝisdatigo povas reinstali aŭ reŝalti la ensalutan modulon, kaj la simptomo revenas sen evidenta kaŭzo, kutime meze de subtena fenestro, kiam neniu memoras la antaŭan ŝanĝon.

Sur administrata aparato, supozu, ke la agordo liveriĝas de supre. Kontroli la politikan raporton unue ŝparas horon da lokaj redaktoj, kiuj revenas. Ĝi ankaŭ diras al vi, kiun demandi, kiam la respondo estas ne. Bileto, kiu nomas la venkan politikon, estas solvita duoble pli rapide ol tiu, kiu priskribas registran ŝlosilon, kiun iu jam ŝanĝis.

Kontrolu ambaŭ kontojn kaj elektu la modelon

Testu la rezulton laŭ la ordo, en kiu la du uzantoj ĝin spertas. Ensalutu kiel la dua konto, dum la unua estas malkonektita, konfirmu normalan aliron, poste konektu la tunelon de la unua konto kaj konfirmu, ke la atendata vojo de la dua konto ankoraŭ estas tio, kion vi intencis.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Se ambaŭ kontoj vere bezonas malsamajn retajn vojojn samtempe, la honesta respondo estas du maŝinoj, du virtualaj maŝinoj, aŭ politiko, kie nur unu vojo estas postulata. Dividita tunelo sur la komuna konekto povas mallarĝigi tion, kio moviĝas, sed ĝi ne povas doni al ĉiu seanco sian propran tabelon. Frue atingi tion estas pli malmultekosta ol malkovri ĝin post tri provoj de ĉirkaŭvojoj.

Tio estas la decido farinda eksplicite, anstataŭ fliki ĉirkaŭ ĝi. Unu enkursiga tabelo, unu solvila listo, unu fajroŝirmila profilo: ĉio alia sekvas el tio, kaj la ripeto, kiu respektas tion, ankoraŭ funkcios venontmonate.