Yksi VPN, kaksi Windows-tiliä: miksi toinen istunto rikkoutuu

Kaksi ihmistä on kirjautuneena, toinen heistä yhdistää yrityksen tunneliin, ja toisen tilin selain lakkaa lataamasta sivuja, jotka olivat kunnossa minuutti sitten. Samalla koneella myös Vaihda käyttäjää -kohta on kadonnut kirjautumisnäytöltä, joten toinen henkilö ei pääse takaisin omaan istuntoonsa. Tämän seuraaminen toisesta istunnosta ulospäin on nopein tapa ymmärtää se, koska ensimmäisen käyttäjän yhteydessä ei ole mitään piilotettua eikä toisen käyttäjän ongelmassa ole mitään hämärää, kun näkee, mitkä objektit ovat yhteisiä.

Aloita istunnosta, joka rikkoutui

Mene toisen tilin työpöydälle, älä ensimmäisen. Avaa siellä terminaali ja katso reititystaulukkoa ja resolveriluetteloa, kun toinen istunto on yhdistettynä. Kaikki mitä näet kuuluu koneelle, ei toiselle käyttäjälle, ja se on ensimmäinen vihje.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Jos oletusreitti osoittaa nyt tunnelin liitäntään, myös toisen käyttäjän liikenne seuraa sitä. Jos resolveriluetteloon on tullut yksityinen palvelin, heidän haut menevät nyt paikkaan, johon he eivät pääse, kun tunneli putoaa. Kumpikaan ei ole asiakasohjelman bugi; ne ovat yhden jaetun verkkopinon seurauksia.

Kolmas komento selittää toisen valitusluokan. Kun sovitin vaihtaa koneen julkisesta yksityiseen verkkoluokkaan, profiiliin sidotut palomuurisäännöt muuttuvat kaikille tileille kerralla, joten aamulla sallitut sovellukset voivat olla iltapäivällä estettyjä kenenkään koskematta sääntöön.

Yhteys on käyttäjäkohtainen, verkko ei

Windows pitää yhteysolion sen käyttäjän profiilissa, joka loi sen. Sen tuottama virtuaalinen sovitin, asentamansa reitit ja rekisteröimänsä DNS-palvelimet ovat koneenlaajuisia. Tämä jakautuminen on otsikon molempien oireiden lähde.

Se selittää myös, miksi ensimmäisen käyttäjän uloskirjautuminen yleensä korjaa toisen. Yhteyden poistaminen poistaa sovittimen ja reitit sen mukana, ja koneenlaajuinen tila palaa siihen, mikä se oli ennen kuin kukaan soitti sisään. Se on hyödyllinen diagnoosi: jos uloskirjautuminen korjaa toisen tilin, kyse on jaetusta tilasta eikä rikkinäisestä profiilista.

Sitä et voi tehdä, että antaisit toiselle istunnolle eri reititystaulukon. Taulukkoja on yksi, ja mitkä tahansa kaksi istuntoa jakavat sen. Se on käyttöjärjestelmän ominaisuus, ei tietyn asiakasohjelman rajoitus. Se tarkoittaa myös, että mikä tahansa suunnittelu, joka olettaa muuta, epäonnistuu jatkossakin, ja epäonnistumiset näyttävät toisiinsa liittymättömiltä sovellusvirheiltä.

Selvitä, mikä poisti Vaihda käyttäjää -kohdan, tässä järjestyksessä

Nopea käyttäjänvaihto katosi täysin eri syystä, eikä korjauksella ole mitään tekemistä reitityksen kanssa. Käy neljä ehdokasta läpi järjestyksessä, koska kaksi ensimmäistä voi perua sekunneissa ja myöhemmillä on hintansa.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Rekisteriarvo on yksinkertaisin selitys. Jos se on olemassa ja lukee 1, kohde on piilotettu käytännöllä, ja ryhmäkäytännön polku on Tietokoneen kokoonpano, Hallinnolliset mallit, Järjestelmä, Kirjautuminen ja asetus, joka on nimetty nopean käyttäjänvaihdon aloituspisteiden piilottamisen mukaan. Aseta se tilaan Ei määritetty ja päivitä komennolla gpupdate /force.

Toinen komento kertoo, toimitetaanko käytäntö toimialueelta sen sijaan että se kirjoitettaisiin paikallisesti. Jos se näkyy raportissa voittavan GPO:n kanssa, paikallisen arvon muokkaaminen on väliaikainen korjaus, joka palautuu seuraavassa päivityksessä, ja keskustelu kuuluu käytännön omistajalle.

Kolmas komento kattaa toisen mekanismin. Kirjautumismoduulin asentava tunnistetieto- tai verkkoyhteyspalveluntarjoaja voi tukahduttaa kohteen sen käydessä, ja jotkin asiakasohjelmat rekisteröivät myös ennen kirjautumista käynnistyvän komponentin, joka pitää vaadetta kirjautumisnäytöllä. Palvelun poistaminen käytöstä palauttaa vaihdon, ja se poistaa myös ennen kirjautumista tai asennon tarkistuksen toiminnot, joita varten moduuli on olemassa.

Muuta sitä lukitsematta itseäsi ulos

Pidä yksi hallinnollinen istunto avoinna työskennellessäsi, äläkä koskaan tee kirjautumisnäytön muutosta koneella, johon pääset vain sen näytön kautta. Kirjaa muut istunnot ensin ulos, ota muutos käyttöön, päivitä ja testaa sitten vaihtamalla käyttäjää äläkä käynnistämällä uudelleen.

Kirjaa ylös, mitkä asennon tarkistuksen toiminnot poistit käytöstä. Asiakasohjelman päivitys voi asentaa kirjautumismoduulin uudelleen tai ottaa sen uudelleen käyttöön, ja oire palaa ilman ilmeistä syytä, yleensä kesken tukijakson, kun kukaan ei muista aiempaa muutosta.

Hallinnoidulla laitteella oleta, että asetus toimitetaan ylhäältä. Käytäntöraportin tarkistaminen ensin säästää tunnin paikallisia muokkauksia, jotka palautuvat. Se kertoo myös, keneltä kysyä, kun vastaus on ei. Tiketti, joka nimeää voittavan käytännön, ratkaistaan kaksi kertaa nopeammin kuin sellainen, joka kuvaa rekisteriavainta, jonka joku on jo muuttanut.

Vahvista molemmat tilit ja valitse malli

Testaa tulos siinä järjestyksessä, jossa molemmat käyttäjät sen kokevat. Kirjaudu toisena tilinä, kun ensimmäinen on irrotettu, vahvista normaali pääsy, yhdistä sitten ensimmäisen tilin tunneliin ja vahvista, että toisen tilin odotettu polku on edelleen se, mitä tarkoitit.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Jos molemmat tilit todella tarvitsevat eri verkkopolkuja samanaikaisesti, rehellinen vastaus on kaksi konetta, kaksi virtuaalikonetta tai käytäntö, jossa tarvitaan vain yksi polku. Jaetun yhteyden split-tunneli voi kaventaa sitä, mikä liikkuu, mutta se ei voi antaa jokaiselle istunnolle omaa taulukkoa. Sinne ajoissa pääseminen on halvempaa kuin sen löytäminen kolmen kiertotieyrityksen jälkeen.

Se on päätös, joka on tehtävä nimenomaisesti sen sijaan, että sitä paikattaisiin ympäriltä. Yksi reititystaulukko, yksi resolveriluettelo, yksi palomuuriprofiili: kaikki muu seuraa siitä, ja sitä kunnioittava korjaus toimii vielä ensi kuussakin.