Üks VPN, kaks Windowsi kontot: miks teine sessioon katkeb

Kaks inimest on sisse logitud, üks neist ühendab ettevõtte tunneli ja teise konto brauser lakkab laadimast lehti, mis olid veel minut aega tagasi korras. Samas masinas on ka sisselogimisekraanilt kadunud valik Vaheta kasutajat, nii et teine inimene ei saa oma sessiooni tagasi. Selle jälgimine teisest sessioonist väljapoole on kiireim viis sellest aru saada, sest esimese kasutaja ühenduses pole midagi peidetud ja teise kasutaja probleemis pole midagi mõistatuslikku, kui näete, milliseid objekte jagatakse.

Alustage sessioonist, mis katkes

Minge teise konto töölauale, mitte esimese omale. Avage seal terminal ja vaadake marsruutimistabelit ja resolverite loendit, kui teine sessioon on ühendatud. Kõik, mida näete, kuulub masinale, mitte teisele kasutajale, ja see on esimene vihje.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Kui vaikimisi marsruut osutab nüüd tunneli liidesele, järgib seda ka teise kasutaja liiklus. Kui resolverite loendisse on lisandunud privaatne server, lähevad nende päringud nüüd kohta, kuhu nad ei saa tunneli kadudes enam jõuda. Kumbki neist pole kliendi viga; need on ühe jagatud võrgupinu tagajärjed.

Kolmas käsk selgitab teist tüüpi kaebusi. Kui adapter lülitab masina avalikust võrgukategooriast privaatsesse, muutuvad profiilipõhised tulemüürireeglid korraga kõigi kontode jaoks, nii et hommikul lubatud rakendused võivad pärastlõunal olla blokeeritud, ilma et keegi reeglit puudutaks.

Ühendus on kasutajapõhine, võrk mitte

Windows hoiab ühenduse objekti selle kasutaja profiilis, kes selle lõi. Virtuaalne adapter, mille see loob, marsruudid, mille see paigaldab, ja DNS-serverid, mille see registreerib, kehtivad kogu masinale. See jaotus on mõlema pealkirjas nimetatud sümptomi allikas.

See selgitab ka, miks esimese kasutaja väljalogimine teise tavaliselt parandab. Ühenduse eemaldamine eemaldab adapteri ja marsruudid koos sellega ning kogu masina olek taastub selleks, mis oli enne, kui keegi sisse helistas. See on kasulik diagnostika: kui väljalogimine parandab teise konto, vaatate jagatud olekut, mitte katkist profiili.

Mida te ei saa teha, on anda teisele sessioonile teistsugune marsruutimistabel. Tabel on üks ja kaks suvalist sessiooni jagavad seda. See on operatsioonisüsteemi omadus, mitte konkreetse kliendi piirang. See tähendab ka, et iga disain, mis eeldab vastupidist, jääb ikka nurjuma, ja nurjumised näivad seostamata rakendusevigadena.

Leidke, mis eemaldas valiku Vaheta kasutajat, selles järjekorras

Kiire kasutajavahetus kadus täiesti teisel põhjusel ja parandusel pole marsruutimisega mingit pistmist. Käige neli kandidaati järjekorras läbi, sest kaks esimest saab sekunditega tagasi pöörata ja hilisematel on hind.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Registriväärtus on kõige lihtsam seletus. Kui see on olemas ja loeb 1, on valik poliitikaga peidetud, ja rühmakäsu poliitika tee on Arvuti konfiguratsioon, Haldusmallid, Süsteem, Sisselogimine ja säte, mis on nimetatud kiire kasutajavahetuse sisenemispunktide peitmise järgi. Määrake see väärtusele Pole konfigureeritud ja värskendage käsuga gpupdate /force.

Teine käsk ütleb, kas seda poliitikat tarnitakse domeenist, mitte ei kirjutata kohapeal. Kui see ilmub aruandes võitva GPO-ga, on kohaliku väärtuse muutmine ajutine parandus, mis taandub järgmisel värskendamisel, ja vestlus kuulub poliitika omanikule.

Kolmas käsk hõlmab teist mehhanismi. Sisselogimismooduli paigaldav mandaadi- või võrguühenduse pakkuja võib valiku selle töötamise ajal maha suruda, ja mõned kliendid registreerivad ka komponendi, mis käivitub enne sisselogimist ja hoiab sisselogimisekraanil nõuet. Selle teenuse keelamine taastab vahetamise ja eemaldab ka enne sisselogimist või olekukontrolli funktsioonid, mille jaoks moodul olemas on.

Muutke seda ennast välja lukustamata

Hoidke töötamise ajal üks administraatori sessioon lahti ja ärge tehke kunagi sisselogimisekraani muudatust masinas, kuhu pääsete ainult selle ekraani kaudu. Logige esmalt teised sessioonid välja, rakendage muudatus, värskendage ja seejärel testige kasutaja vahetamisega, mitte taaskäivitamisega.

Pange kirja, millised olekukontrolli funktsioonid keelasite. Kliendi värskendus võib sisselogimismooduli uuesti paigaldada või uuesti lubada ning sümptom naaseb ilma ilmse põhjuseta, tavaliselt keset tugiakent, kui keegi varasemat muudatust ei mäleta.

Hallataval seadmel eeldage, et säte tarnitakse ülalt. Poliitika aruande kontrollimine kõigepealt säästab tunni kohalikke muudatusi, mis taanduvad. See ütleb ka, kellelt küsida, kui vastus on ei. Pilet, mis nimetab võitva poliitika, lahendatakse kaks korda kiiremini kui see, mis kirjeldab registrivõtit, mida keegi on juba muutnud.

Kontrollige mõlemat kontot ja valige mudel

Testige tulemust järjekorras, milles kaks kasutajat seda kogevad. Logige sisse teise kontona, kui esimene on lahti ühendatud, kinnitage tavaline juurdepääs, seejärel ühendage esimese konto tunnel ja kinnitage, et teise konto oodatav tee on endiselt see, mida kavatsesite.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Kui mõlemal kontol on tõesti vaja samal ajal erinevaid võrguteid, on aus vastus kaks masinat, kaks virtuaalmasinat või poliitika, kus on nõutav ainult üks tee. Jagatud ühenduse split-tunnel võib kitsendada seda, mis liigub, kuid ei saa anda igale sessioonile oma tabelit. Sinna varakult jõudmine on odavam kui selle avastamine pärast kolme möödaviigu katset.

See on otsus, mis tuleb teha selgesõnaliselt, mitte selle ümber lappida. Üks marsruutimistabel, üks resolverite loend, üks tulemüüriprofiil: kõik muu tuleneb sellest ja parandus, mis seda austab, töötab ka järgmisel kuul.