Ien VPN, twa Windows-akkounts: wêrom't de oare sesje brekt
Rûtes en resolvers binne masinebreed, dat de tunnel fan ien akkount liedt de oaren om. Fyn dan hokker belied of oanmeldmodule de ynfier Brûker wikselje ferwidere hat.
Twa minsken binne oanmeld, ien fan harren ferbynt de bedriuwstunnel, en de browser fan it oare akkount hâldt op mei it laden fan siden dy't in minút lyn noch goed wiene. Op deselde masine is ek de ynfier Brûker wikselje fan it oanmeldskerm ferdwûn, dat de twadde persoan kin net werom nei har eigen sesje. Dit fan de twadde sesje út folgje is de fluchste manier om it te begripen, want oan de ferbining fan de earste brûker is neat ferburgen, en oan it probleem fan de twadde brûker is neat mysterieus sadree't jo sjogge hokker objekten dield wurde.
Begjin yn de sesje dy't brutsen is
Gean nei it buroblêd fan it twadde akkount, net it earste. Iepenje dêr in terminal en sjoch nei de routingstabel en de resolverslist wylst de oare sesje ferbûn is. Alles wat jo sjogge heart by de masine, net by de oare brûker, en dat is de earste oanwizing.
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4ConnectivityAs de standertrûte no nei de tunnel-yngong wiist, folget it ferkear fan de twadde brûker dy ek. As de resolverslist in partikuliere server krigen hat, geane har opfoarjen no nei in plak dêr't se net komme kinne sadree't de tunnel falt. Gjin fan beide is in bug yn de klient; it binne de gefolgen fan ien dielde netwurkstapel.
It tredde kommando ferklearret in twadde klasse fan klachten. As in adapter de masine fan in iepenbiere nei in partikuliere netwurk-kategory omskeakelt, feroarje firewallregels dy't oan in profyl bûn binne foar alle akkounts tagelyk, dat applikaasjes dy't moarns tastien wiene kinne middeis blokkearre wurde sûnder dat immen in regel oanrekket.
De ferbining is per brûker, it netwurk net
Windows bewarret it ferbiningsobjekt yn it profyl fan de brûker dy't it makke hat. De firtuele adapter dy't it makket, de rûtes dy't it ynstallearret en de DNS-servers dy't it registrearret binne masinebreed. Dy splitsing is de boarne fan beide symptomen yn de titel.
It ferklearret ek wêrom't it ôfmelden fan de earste brûker meastentiids de twadde reparearret. It ferwiderjen fan de ferbining ferwideret de adapter en de rûtes dermei, en de masinebrede tastân giet werom nei wat it wie foardat immen ynbelde. Dat is in nuttige diagnoaze: as ôfmelden it oare akkount reparearret, sjogge jo nei dielde tastân en net nei in brutsen profyl.
Wat jo net kinne, is de twadde sesje in oare routingstabel jaan. Der is ien tabel, en elk twa sesjes diele dy. Dat is in eigenskip fan it bestjoeringssysteem en net in beheining fan in bepaald klient. It betsjut ek dat elk ûntwerp dat oars oannimt, bliuwt mislearjen, en de mislearrings sille der as net-relatearre applikaasjefouten útsjen.
Fyn wat Brûker wikselje fuorthelle hat, yn dizze folchoarder
Fluch brûkerswikselje is om in folslein oare reden ferdwûn, en de reparaasje hat neat mei routing te meitsjen. Wurkje de fjouwer kandidaten yn folchoarder troch, want de earste twa binne yn sekonden werom te draaien en de lettere hawwe in kosten.
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayNameDe registerwearde is de ienfâldichste ferklearring. As dy bestiet en 1 lêst, is de ynfier troch belied ferburgen, en it paad fan Groepsbelied is Kompjûterkonfiguraasje, Bestjoerlike sjabloanen, Systeem, Oanmelding, en de ynstelling neamd nei it ferbergjen fan fluch-brûkerswikselje-yngongspunten. Set dy op Net konfigurearre en ferfarskje mei gpupdate /force.
It twadde kommando fertelt jo oft dat belied fan in domein levere wurdt ynstee fan lokaal skreaun. As it yn it rapport ferskynt mei in winnende GPO, is it bewurkjen fan de lokale wearde in tydlike reparaasje dy't by de folgjende ferfarsking weromkomt, en it petear heart by wa't it belied besit.
It tredde kommando beslacht it oare meganisme. In oanbieder fan befinings of netwurktagong dy't in oanmeldmodule ynstallearret kin de ynfier ûnderdrukke wylst er draait, en guon kliïnten registrearje ek in komponint dy't foar de oanmelding start en in oanspraak op it oanmeldskerm hâldt. It útskeakeljen fan dy tsjinst herstelt it wikseljen, en it fuorthellet ek de foar-oanmelding- of postuerfunksjes dy't de module bestiet om te leverjen.
| Cause | How to confirm | Cost of the fix |
|---|---|---|
| HideFastUserSwitching policy | Registry value present and set to 1 | None; remove the policy |
| Logon module service | Service running under a vendor name | Loses pre-logon and posture behaviour |
| GINA-era assumption | Only relevant on very old Windows | Nothing to fix; the mechanism is gone |
Feroarje it sûnder josels bûten te sluten
Hâld ien bestjoerlike sesje iepen wylst jo wurkje, en meitsje nea in feroaring op it oanmeldskerm op in masine dêr't jo allinnich troch dat skerm komme kinne. Meld de oare sesjes earst ôf, pas de feroaring ta, ferfarskje, en test dan troch fan brûker te wikseljen ynstee fan troch opnij te starten.
Skriuw op hokker postuerfunksjes jo útskeakele hawwe. In klientfernijing kin de oanmeldmodule opnij ynstallearje of wer aktivearje, en it symptoom komt werom sûnder dúdlike oarsaak, meastentiids midden yn in stipefinster as nimmen de eardere feroaring betinkt.
Op in beheard apparaat, nim oan dat de ynstelling fan boppen levere wurdt. Earst it beliedsrapport kontrolearje sparret in oere oan lokale bewurkingen dy't weromkomme. It fertelt jo ek by wa't jo freegje moatte as it antwurd nee is. In ticket dat it winnende belied neamt wurdt twa kear sa fluch oplost as ien dat in registerkaai beskriuwt dy't immen al feroare hat.
Kontrolearje beide akkounts en kies it model
Test it resultaat yn 'e folchoarder wêryn't de twa brûkers it belibje. Meld oan as it twadde akkount wylst it earste loskeppele is, befêstigje normale tagong, ferbyn dan de tunnel fan it earste akkount en befêstigje dat it ferwachte paad fan it twadde akkount noch altyd is wat jo bedoelden.
qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443As beide akkounts echt tagelyk ferskate netwurkpaden nedich hawwe, is it earlike antwurd twa masines, twa firtuele masines, of in belied wêrby't mar ien paad nedich is. In splitstunnel op de dielde ferbining kin fersmelle wat beweecht, mar hy kin net elke sesje syn eigen tabel jaan. Dêr betiid komme is goedkeaper as it ûntdekken nei trije besykjen om it hinne te wurkjen.
Dat is it beslút om eksplisyt te nimmen ynstee fan deromhinne te lapjen. Ien routingstabel, ien resolverslist, ien firewallprofyl: al it oare folget dêrfan, en de reparaasje dy't dat respektearret sil folgjende moanne noch wurkje.