Por que o inicio de sesión por VPN se arrastra: perfil, redirección ou ficheiros sen conexión

O portátil inicia sesión en arredor de corenta segundos na oficina e tarda minutos na casa, e ninguén cambiou unha directiva mentres tanto. O que cambiou é a ruta de rede baixo tres funcións que se parecen e se comportan de forma distinta. Un perfil móbil carga o estado do rexistro e os cartafoles do perfil, a redirección de cartafoles apunta un cartafol do shell a un recurso compartido do servidor, e os ficheiros sen conexión manteñen unha caché de datos de rede aptos. As tres poden engadir tempo a un inicio de sesión, e normalmente só unha delas é a responsable.

Tres esperas con tres responsables distintos

O perfil móbil é o que fai que a configuración de usuario siga unha persoa entre equipos participantes, e a carga ocorre pronto na sesión. O ramo do rexistro do usuario e os cartafoles do perfil cópianse ou combínanse ao iniciar sesión, e despois escríbense de volta ao pechala. Ese traballo é sincrónico, e por iso unha ruta lenta ao recurso compartido do perfil percíbese como un escritorio lento e non como unha copia de ficheiros lenta.

A redirección de cartafoles é outro mecanismo. Move cartafoles do shell seleccionados, Documentos é o exemplo habitual, a unha localización de rede compatible e déixaos alí. O perfil pode entón seguir sendo pequeno, porque os datos non están dentro, e o custo trasládase ao momento en que o shell ou unha aplicación toca ese cartafol.

Os ficheiros sen conexión engaden unha caché local máis sincronización para os ficheiros de rede aptos. Responden a outra pregunta, que é que ocorre cando o servidor non está dispoñible, e poden gastar tempo sincronizando ao iniciar e pechar sesión cando a caché está obsoleta. Tratar as tres como un só axuste é o que produce unha directiva lenta nunha dirección e inútil na outra.

Mida cal está a esperar de verdade

Empece lendo onde vive o perfil e se se carga desde unha ruta de servidor. Despois mida o tempo dunha listaxe de directorio en cada recurso compartido que toque a sesión, porque un recurso que responde en milisegundos na rede local pode tardar segundos a través dun túnel e un servidor de ficheiros ocupado.

Eses dous feitos acoutan o problema máis rápido que calquera auditoría de directivas, e non necesitan ningún cambio de configuración para recollerse. Execúteos no portátil afectado, non nun servidor que estea xunto ao recurso compartido.

Get-CimInstance Win32_UserProfile | Select-Object LocalPath, Loaded, SID
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\*' | Select-Object ProfileImagePath
Measure-Command { Get-ChildItem '\\fs01.corp.internal\profiles\a.singh' | Out-Null }

Se a ruta do perfil é local e só un cartafol redirixido apunta a un servidor, a carga do perfil non é a súa espera, diga o que diga o ticket de soporte. Se a ruta do perfil é remota e a listaxe tarda segundos, o inicio de sesión espera a ese recurso, e a solución vai sobre a ruta ou o tamaño do perfil e non sobre o escritorio en si. Lea as cifras nesa orde e a discusión adoita terminar aí.

A conexión chega despois de que comezase a espera

Un túnel de usuario que arrinca desde o escritorio aparece moito despois de que o perfil se cargase, así que non pode axudar á etapa que era lenta. Windows advirte a ruta non dispoñible, recorre a credenciais na caché e a un perfil local, e a sesión acaba abríndose. Por iso o mesmo portátil pode tardar minutos no primeiro inicio de sesión na casa e segundos no segundo, unha vez que hai un perfil na caché. A espera é real, pero a conexión que necesita non existe nese momento.

Arranxalo significa mover a conexión antes, non axustar o perfil. Un túnel de máquina ou unha conexión previa ao inicio de sesión con autenticación de equipo establece a ruta antes de que o usuario inicie sesión, e necesita o seu propio ciclo de vida de certificado e as súas propias regras de devasado. As credenciais na caché son a outra metade do deseño, e só funcionan para contas que xa iniciaron sesión antes.

Probe a secuencia e non os compoñentes. Peche a sesión por completo, inicie o túnel como o faría un usuario remoto e mida o inicio de sesión desde a petición de credenciais ata un escritorio utilizábel.

Manteña os documentos fóra do perfil

O recurso compartido do perfil é o lugar equivocado para grandes coleccións de documentos, e a guía de implantación de perfís móbiles de Microsoft mantén por ese motivo separados o almacenamento do perfil e os recursos compartidos de cartafoles redirixidos. Un perfil que leve un cartafol Documentos de varios gigabytes será lento en cada inicio e peche de sesión, e o tamaño medra en silencio ata que alguén o mide.

Redirixa os cartafoles que gardan datos e deixa que o perfil garde axustes. Exclúe as cachés que se poden reconstruír, como as do navegador e os datos temporais de aplicacións, porque transferilas engade tempo e non cambia nada que o usuario vexa. Mantén os datos do buzón e outros almacéns de aplicacións na localización que a aplicación admite, e non nunha ruta móbil.

Non faga que o recurso compartido do perfil estea dispoñible sen conexión. Os ficheiros sen conexión pertencen a recursos compartidos de datos aptos, e un ramo de perfil na caché que se sincroniza en ambos os sentidos é un informe de corrupción esperando a ocorrer.

Comprobe os catro escenarios antes de dalo por resolto

Un inicio de sesión rápido na oficina demostra moi pouco. O deseño ten que sobrevivir ao acceso desde a oficina, ao traballo desde a casa polo túnel, ao traballo sen conexión e á volta á oficina, porque é no cuarto caso onde aparecen os conflitos de sincronización. Mida os mesmos catro cunha conta controlada e as aplicacións reais, e anote as cifras.

Recolla o rexistro do servizo de perfís e o conxunto de directivas resultante da sesión afectada, non da súa estación de traballo administrativa.

Get-WinEvent -LogName 'Microsoft-Windows-User Profile Service/Operational' -MaxEvents 30
gpresult /r /scope:user
Measure-Command { Get-ChildItem '\\fs01.corp.internal\users\a.singh\Documents' | Out-Null }

Compare eses tempos coa liña base da oficina e co tamaño do que se está a transferir. Un inicio de sesión que aínda tarda un minuto cun perfil pequeno e un recurso rápido non é un problema de perfil, e o seguinte lugar onde mirar é o procesamento da Directiva de grupo ou un script de inicio de sesión que espera á rede. Se aí está a diferenza, o perfil nunca foi o problema. Confirme que se conserva o traballo non sincronizado antes de cambiar unha directiva de cartafoles ou borrar unha caché, xa que a sincronización e unha copia de seguridade recuperábel son garantías distintas.