एक VPN, दो Windows खाते: दूसरा सत्र क्यों टूटता है
रूट और रिज़ॉल्वर पूरे मशीन के हैं, इसलिए एक खाते की टनल बाकी को मोड़ देती है। फिर पता लगाएं कि किस नीति या लॉगिन मॉड्यूल ने उपयोगकर्ता बदलें प्रविष्टि हटाई।
दो लोग साइन-इन हैं, उनमें से एक कॉर्पोरेट टनल से जुड़ता है, और दूसरे खाते का ब्राउज़र उन पृष्ठों को लोड करना बंद कर देता है जो एक मिनट पहले ठीक थे। उसी मशीन पर साइन-इन स्क्रीन से उपयोगकर्ता बदलें प्रविष्टि भी गायब हो गई है, इसलिए दूसरा व्यक्ति अपने सत्र में वापस नहीं जा सकता। इसे दूसरे सत्र से बाहर की ओर देखना इसे समझने का सबसे तेज़ तरीका है, क्योंकि पहले उपयोगकर्ता के कनेक्शन में कुछ भी छिपा नहीं है, और यह देखते ही कि कौन सी वस्तुएं साझा हैं, दूसरे उपयोगकर्ता की समस्या में कुछ भी रहस्यमय नहीं रहता।
उसी सत्र से शुरू करें जो टूटा
पहले नहीं, दूसरे खाते के डेस्कटॉप पर जाएं। वहां टर्मिनल खोलें और दूसरा सत्र जुड़ा रहने के दौरान रूटिंग तालिका और रिज़ॉल्वर सूची देखें। आप जो कुछ भी देखते हैं वह मशीन का है, दूसरे उपयोगकर्ता का नहीं, और यही पहला सुराग है।
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivityअगर डिफ़ॉल्ट रूट अब टनल इंटरफ़ेस की ओर इशारा करता है, तो दूसरे उपयोगकर्ता का ट्रैफ़िक भी उसी का अनुसरण करता है। अगर रिज़ॉल्वर सूची में एक निजी सर्वर जुड़ गया है, तो उनकी लुकअप अब ऐसी जगह जाती है जहां टनल गिरने पर वे नहीं पहुंच सकेंगे। इनमें से कोई भी क्लाइंट में बग नहीं है; ये एक ही साझा नेटवर्क स्टैक के परिणाम हैं।
तीसरा कमांड शिकायतों की दूसरी श्रेणी समझाता है। जब कोई एडाप्टर मशीन को सार्वजनिक से निजी नेटवर्क श्रेणी में बदल देता है, तो प्रोफ़ाइल से बंधे फ़ायरवॉल नियम एक साथ हर खाते के लिए बदल जाते हैं, इसलिए सुबह अनुमत ऐप्स दोपहर में ब्लॉक हो सकते हैं, बिना किसी ने नियम को छुआ हो।
कनेक्शन प्रति उपयोगकर्ता है, नेटवर्क नहीं
Windows कनेक्शन ऑब्जेक्ट को उस उपयोगकर्ता की प्रोफ़ाइल में रखता है जिसने इसे बनाया था। यह जो वर्चुअल एडाप्टर बनाता है, जो रूट इंस्टॉल करता है और जो DNS सर्वर पंजीकृत करता है, वे मशीन-व्यापी हैं। यही विभाजन शीर्षक के दोनों लक्षणों का स्रोत है।
यह यह भी समझाता है कि पहले उपयोगकर्ता को साइन-आउट करना आमतौर पर दूसरे को क्यों ठीक करता है। कनेक्शन हटाने से एडाप्टर और रूट उसके साथ हट जाते हैं, और पूरी मशीन की स्थिति वही हो जाती है जो किसी के जुड़ने से पहले थी। यह एक उपयोगी निदान है: अगर साइन-आउट दूसरे खाते को ठीक करता है, तो आप टूटी प्रोफ़ाइल नहीं, साझा स्थिति देख रहे हैं।
आप जो नहीं कर सकते वह है दूसरे सत्र को अलग रूटिंग तालिका देना। तालिका एक ही है, और कोई भी दो सत्र उसे साझा करते हैं। यह ऑपरेटिंग सिस्टम की विशेषता है, किसी विशेष क्लाइंट की सीमा नहीं। इसका मतलब यह भी है कि उल्टा मानने वाला कोई भी डिज़ाइन असफल होता रहेगा, और विफलताएं असंबंधित ऐप बग जैसी दिखेंगी।
उपयोगकर्ता बदलें प्रविष्टि किसने हटाई, यह क्रम में खोजें
तेज़ उपयोगकर्ता स्विचिंग एक बिल्कुल अलग कारण से गायब हुई है, और इसका समाधान रूटिंग से कोई लेना-देना नहीं रखता। चारों उम्मीदवारों को क्रम से देखें, क्योंकि पहले दो सेकंडों में वापस किए जा सकते हैं और बाद वालों की कीमत है।
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayNameरजिस्ट्री मान सबसे सरल व्याख्या है। अगर वह मौजूद है और 1 पढ़ता है, तो प्रविष्टि नीति से छिपी है, और ग्रुप पॉलिसी का रास्ता है कंप्यूटर कॉन्फ़िगरेशन, प्रशासनिक टेम्पलेट, सिस्टम, लॉगिन, और वह सेटिंग जिसका नाम तेज़ उपयोगकर्ता स्विचिंग प्रवेश बिंदुओं को छिपाने पर रखा गया है। उसे 'कॉन्फ़िगर नहीं किया गया' पर सेट करें और gpupdate /force से रीफ़्रेश करें।
दूसरा कमांड आपको बताता है कि वह नीति स्थानीय रूप से लिखे जाने के बजाय किसी डोमेन से दी जा रही है या नहीं। अगर वह रिपोर्ट में जीतने वाले GPO के साथ दिखती है, तो स्थानीय मान संपादित करना एक अस्थायी समाधान है जो अगले रीफ़्रेश पर वापस आ जाता है, और बातचीत नीति के मालिक के साथ होनी चाहिए।
तीसरा कमांड दूसरे तंत्र को कवर करता है। लॉगिन मॉड्यूल इंस्टॉल करने वाला कोई क्रेडेंशियल या नेटवर्क एक्सेस प्रदाता चलते समय प्रविष्टि को दबा सकता है, और कुछ क्लाइंट ऐसा घटक भी पंजीकृत करते हैं जो लॉगिन से पहले शुरू होता है और साइन-इन स्क्रीन पर दावा बनाए रखता है। उस सेवा को अक्षम करने से स्विचिंग बहाल होती है, और यह उन प्री-लॉगिन या पोस्चर फ़ंक्शनों को भी हटा देता है जिनके लिए मॉड्यूल मौजूद है।
| Cause | How to confirm | Cost of the fix |
|---|---|---|
| HideFastUserSwitching policy | Registry value present and set to 1 | None; remove the policy |
| Logon module service | Service running under a vendor name | Loses pre-logon and posture behaviour |
| GINA-era assumption | Only relevant on very old Windows | Nothing to fix; the mechanism is gone |
खुद को बाहर किए बिना इसे बदलें
काम करते समय एक प्रशासनिक सत्र खुला रखें, और ऐसी मशीन पर कभी साइन-इन स्क्रीन बदलाव न करें जहां आप केवल उसी स्क्रीन से पहुंच सकते हैं। पहले दूसरे सत्रों को साइन-आउट करें, बदलाव लागू करें, रीफ़्रेश करें, और फिर रीबूट करके नहीं, उपयोगकर्ता बदलकर परीक्षण करें।
आपने कौन से पोस्चर फ़ंक्शन अक्षम किए, यह दर्ज करें। क्लाइंट अपडेट लॉगिन मॉड्यूल को फिर से इंस्टॉल या फिर से सक्षम कर सकता है, और लक्षण स्पष्ट कारण के बिना लौट आता है, आमतौर पर सपोर्ट विंडो के बीच में जब किसी को पहले का बदलाव याद नहीं रहता।
प्रबंधित डिवाइस पर मानें कि सेटिंग ऊपर से दी जाती है। पहले नीति रिपोर्ट जांचना वापस जाने वाले स्थानीय संपादनों का एक घंटा बचाता है। यह यह भी बताता है कि जवाब ना होने पर किससे पूछें। जीतने वाली नीति का नाम लेने वाला टिकट उस टिकट से दोगुना तेज़ हल होता है जो किसी के पहले से बदले रजिस्ट्री कुंजी का वर्णन करता है।
दोनों खातों को सत्यापित करें और मॉडल चुनें
परिणाम का परीक्षण उसी क्रम में करें जिसमें दोनों उपयोगकर्ता इसे अनुभव करते हैं। पहला डिस्कनेक्ट रहते दूसरे खाते से साइन इन करें, सामान्य पहुंच की पुष्टि करें, फिर पहले खाते की टनल जोड़ें और पुष्टि करें कि दूसरे खाते का अपेक्षित रास्ता अभी भी वही है जो आप चाहते थे।
qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443अगर दोनों खातों को सचमुच एक ही समय में अलग नेटवर्क रास्ते चाहिए, तो ईमानदार जवाब है दो मशीनें, दो वर्चुअल मशीनें, या ऐसी नीति जिसमें केवल एक रास्ता आवश्यक हो। साझा कनेक्शन पर स्प्लिट टनल यह सीमित कर सकती है कि क्या चलता है, लेकिन हर सत्र को अपनी तालिका नहीं दे सकती। तीन कोशिशों के बाद पता लगाने से जल्दी वहां पहुंचना सस्ता है।
यही वह निर्णय है जो स्पष्ट रूप से लेना है, चारों ओर पैबंद लगाने के बजाय। एक रूटिंग तालिका, एक रिज़ॉल्वर सूची, एक फ़ायरवॉल प्रोफ़ाइल: बाकी सब उसी से आता है, और जो समाधान इसका सम्मान करता है वह अगले महीने भी काम करेगा।