Por qué el inicio de sesión por VPN se arrastra: perfil, redirección o archivos sin conexión

El portátil inicia sesión en unos cuarenta segundos en la oficina y tarda minutos en casa, y nadie ha cambiado una directiva mientras tanto. Lo que ha cambiado es la ruta de red bajo tres características que se parecen y se comportan de forma distinta. Un perfil móvil carga el estado del registro y las carpetas del perfil, la redirección de carpetas apunta una carpeta del shell a un recurso compartido del servidor, y los archivos sin conexión mantienen una caché de datos de red aptos. Las tres pueden añadir tiempo a un inicio de sesión, y normalmente solo una de ellas es la responsable.

Tres esperas con tres responsables distintos

El perfil móvil es el que hace que la configuración de usuario siga a una persona entre equipos participantes, y la carga ocurre pronto en la sesión. La rama del registro del usuario y las carpetas del perfil se copian o se combinan al iniciar sesión, y luego se escriben de vuelta al cerrarla. Ese trabajo es sincrónico, y por eso una ruta lenta al recurso compartido del perfil se percibe como un escritorio lento y no como una copia de archivos lenta.

La redirección de carpetas es otro mecanismo. Mueve carpetas del shell seleccionadas, Documentos es el ejemplo habitual, a una ubicación de red compatible y las deja allí. El perfil puede entonces seguir siendo pequeño, porque los datos no están dentro, y el coste se traslada al momento en que el shell o una aplicación toca esa carpeta.

Los archivos sin conexión añaden una caché local más sincronización para los archivos de red aptos. Responden a otra pregunta, que es qué ocurre cuando el servidor no está disponible, y pueden gastar tiempo sincronizando al iniciar y cerrar sesión cuando la caché está obsoleta. Tratar las tres como un solo ajuste es lo que produce una directiva lenta en una dirección e inútil en la otra.

Mida cuál está esperando en realidad

Empiece leyendo dónde vive el perfil y si se carga desde una ruta de servidor. Después mida el tiempo de un listado de directorio en cada recurso compartido que toque la sesión, porque un recurso que responde en milisegundos en la red local puede tardar segundos a través de un túnel y un servidor de archivos ocupado.

Esos dos hechos acotan el problema más rápido que cualquier auditoría de directivas, y no necesitan ningún cambio de configuración para recogerse. Ejecútelos en el portátil afectado, no en un servidor que esté junto al recurso compartido.

Get-CimInstance Win32_UserProfile | Select-Object LocalPath, Loaded, SID
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\*' | Select-Object ProfileImagePath
Measure-Command { Get-ChildItem '\\fs01.corp.internal\profiles\a.singh' | Out-Null }

Si la ruta del perfil es local y solo una carpeta redirigida apunta a un servidor, la carga del perfil no es su espera, diga lo que diga el ticket de soporte. Si la ruta del perfil es remota y el listado tarda segundos, el inicio de sesión espera a ese recurso, y la solución va sobre la ruta o el tamaño del perfil y no sobre el escritorio en sí. Lea las cifras en ese orden y la discusión suele terminar ahí.

La conexión llega después de que haya empezado la espera

Un túnel de usuario que arranca desde el escritorio aparece mucho después de que el perfil se haya cargado, así que no puede ayudar a la etapa que era lenta. Windows advierte la ruta no disponible, recurre a credenciales en caché y a un perfil local, y la sesión acaba abriéndose. Por eso el mismo portátil puede tardar minutos en el primer inicio de sesión en casa y segundos en el segundo, una vez que hay un perfil en caché. La espera es real, pero la conexión que necesita no existe en ese momento.

Arreglarlo significa mover la conexión antes, no ajustar el perfil. Un túnel de máquina o una conexión previa al inicio de sesión con autenticación de equipo establece la ruta antes de que el usuario inicie sesión, y necesita su propio ciclo de vida de certificado y sus propias reglas de firewall. Las credenciales en caché son la otra mitad del diseño, y solo funcionan para cuentas que ya han iniciado sesión antes.

Pruebe la secuencia y no los componentes. Cierre la sesión por completo, inicie el túnel como lo haría un usuario remoto y mida el inicio de sesión desde la petición de credenciales hasta un escritorio utilizable.

Mantenga los documentos fuera del perfil

El recurso compartido del perfil es el lugar equivocado para grandes colecciones de documentos, y la guía de implementación de perfiles móviles de Microsoft mantiene por ese motivo separados el almacenamiento del perfil y los recursos compartidos de carpetas redirigidas. Un perfil que lleve una carpeta Documentos de varios gigabytes será lento en cada inicio y cierre de sesión, y el tamaño crece en silencio hasta que alguien lo mide.

Redirija las carpetas que guardan datos y deje que el perfil guarde ajustes. Excluya las cachés que se pueden reconstruir, como las del navegador y los datos temporales de aplicaciones, porque transferirlas añade tiempo y no cambia nada que el usuario vea. Mantenga los datos del buzón y otros almacenes de aplicaciones en la ubicación que la aplicación admite, y no en una ruta móvil.

No haga que el recurso compartido del perfil esté disponible sin conexión. Los archivos sin conexión pertenecen a recursos compartidos de datos aptos, y una rama de perfil en caché que se sincroniza en ambos sentidos es un informe de corrupción esperando a ocurrir.

Compruebe los cuatro escenarios antes de darlo por resuelto

Un inicio de sesión rápido en la oficina demuestra muy poco. El diseño tiene que sobrevivir al acceso desde la oficina, al trabajo desde casa por el túnel, al trabajo sin conexión y a la vuelta a la oficina, porque es en el cuarto caso donde aparecen los conflictos de sincronización. Mida los mismos cuatro con una cuenta controlada y las aplicaciones reales, y anote las cifras.

Recoja el registro del servicio de perfiles y el conjunto de directivas resultante de la sesión afectada, no de su estación de trabajo administrativa.

Get-WinEvent -LogName 'Microsoft-Windows-User Profile Service/Operational' -MaxEvents 30
gpresult /r /scope:user
Measure-Command { Get-ChildItem '\\fs01.corp.internal\users\a.singh\Documents' | Out-Null }

Compare esos tiempos con la línea base de la oficina y con el tamaño de lo que se está transfiriendo. Un inicio de sesión que todavía tarda un minuto con un perfil pequeño y un recurso rápido no es un problema de perfil, y el siguiente lugar donde mirar es el procesamiento de Directiva de grupo o un script de inicio de sesión que espera a la red. Si ahí está la diferencia, el perfil nunca fue el problema. Confirme que se conserva el trabajo no sincronizado antes de cambiar una directiva de carpetas o borrar una caché, ya que la sincronización y una copia de seguridad recuperable son garantías distintas.