Zašto se prijava preko VPN-a vuče: profil, preusmjeravanje ili vanmrežne datoteke

Laptop se prijavi za oko četrdeset sekundi u kancelariji, a kod kuće mu trebaju minute, i niko između toga nije promijenio pravilo. Promijenilo se mrežno put ispod tri funkcije koje izgledaju slično, a ponašaju se različito. Pokretni profil učitava stanje registra i fascikle profila, preusmjeravanje fascikli usmjerava fasciklu ljuske na serverski udio, a vanmrežne datoteke drže keš prihvatljivih mrežnih podataka. Sva tri mogu dodati vrijeme prijavi, a obično je odgovoran samo jedan od njih.

Tri čekanja s tri različita vlasnika

Pokretni profil je onaj zbog kojeg korisnička podešavanja slijede osobu između računara koji učestvuju, a učitavanje se događa rano u sesiji. Korisnikov ogranak registra i fascikle profila kopiraju se ili spajaju pri prijavi, a zatim upisuju natrag pri odjavi. Taj rad je sinhron, zato se spor put do udjela profila osjeća kao spor desktop, a ne kao sporo kopiranje datoteka.

Preusmjeravanje fascikli je drugi mehanizam. Ono premješta odabrane fascikle ljuske, Dokumenti su uobičajen primjer, na podržanu mrežnu lokaciju i ostavlja ih tamo. Profil tada može ostati mali, jer podaci nisu u njemu, a trošak se premješta na trenutak kada ljuska ili aplikacija dotakne tu fasciklu.

Vanmrežne datoteke dodaju lokalni keš plus sinhronizaciju za prihvatljive mrežne datoteke. One odgovaraju na drugo pitanje, a to je šta se događa kada server nije dostupan, i mogu potrošiti vrijeme na sinhronizaciju pri prijavi i odjavi kada je keš zastario. Tretiranje sva tri kao jedne postavke stvara pravilo koje je sporo u jednom smjeru i beskorisno u drugom.

Izmjerite šta zapravo čeka

Počnite čitanjem gdje profil živi i da li se učitava s putanje servera. Zatim izmjerite vrijeme popisa direktorija na svakom udjelu koji sesija dotakne, jer udio koji odgovori u milisekundama preko lokalne mreže može trajati sekundama kroz tunel i zauzeti fajl server.

Te dvije činjenice sužavaju problem brže od bilo koje revizije pravila, i ne traže nikakvu promjenu konfiguracije da bi se prikupile. Pokrenite ih na zahvaćenom laptopu, a ne na serveru koji stoji uz udio.

Get-CimInstance Win32_UserProfile | Select-Object LocalPath, Loaded, SID
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\*' | Select-Object ProfileImagePath
Measure-Command { Get-ChildItem '\\fs01.corp.internal\profiles\a.singh' | Out-Null }

Ako je putanja profila lokalna i samo jedna preusmjerena fascikla pokazuje na server, učitavanje profila nije vaše čekanje, šta god govorio tiket korisničke podrške. Ako je putanja profila udaljena i popis traje sekundama, prijava čeka taj udio, a rješenje se tiče putanje ili veličine profila, a ne samog desktopa. Čitajte brojeve tim redom i rasprava se obično tu završava.

Veza stiže nakon što je čekanje počelo

Korisnički tunel koji kreće s desktopa pojavljuje se znatno nakon što je profil učitan, pa ne može pomoći fazi koja je bila spora. Windows primijeti nedostupnu putanju, vraća se na keširane akreditive i lokalni profil, i sesija se na kraju otvori. Zato isti laptop može trajati minutama pri prvoj prijavi kod kuće i sekundama pri drugoj, kada keširani profil postoji. Čekanje je stvarno, ali veza koja mu treba u tom trenutku ne postoji.

Popraviti to znači pomjeriti vezu ranije, a ne podešavati profil. Tunel računara ili veza prije prijave s autentifikacijom računara uspostavlja putanju prije nego se korisnik prijavi, i traži vlastiti životni ciklus certifikata i vlastita pravila firewall-a. Keširani akreditivi su druga polovina dizajna, i rade samo za račune koji su se ranije prijavljivali.

Testirajte slijed, a ne komponente. Odjavite se potpuno, pokrenite tunel kako bi to učinio udaljeni korisnik, i izmjerite prijavu od upita za akreditive do upotrebljivog desktopa.

Držite dokumente izvan profila

Udio profila je pogrešno mjesto za velike zbirke dokumenata, i Microsoftov vodič za implementaciju pokretnih profila upravo zato drži pohranu profila i udjele preusmjerenih fascikli odvojeno. Profil koji nosi fasciklu Dokumenti od nekoliko gigabajta bit će spor pri svakoj prijavi i odjavi, a veličina tiho raste dok je neko ne izmjeri.

Preusmjerite fascikle koje drže podatke, a profilu ostavite podešavanja. Isključite keševe koji se mogu ponovo izgraditi, poput keševa preglednika i privremenih podataka aplikacija, jer njihov prijenos dodaje vrijeme i ne mijenja ništa što korisnik vidi. Držite podatke poštanskog sandučeta i druge pohrane aplikacija na lokaciji koju aplikacija podržava, a ne na pokretnoj putanji.

Ne činite udio profila dostupnim van mreže. Vanmrežne datoteke pripadaju prihvatljivim udjelima podataka, a keširani ogranak profila koji se sinhronizira u oba smjera je izvještaj o oštećenju koji čeka da se dogodi.

Provjerite sva četiri scenarija prije nego kažete da je riješeno

Prijava koja je brza u kancelariji dokazuje vrlo malo. Dizajn mora izdržati pristup iz kancelarije, rad od kuće kroz tunel, rad bez veze i povratak u kancelariju, jer se u četvrtom slučaju pojavljuju sukobi sinhronizacije. Izmjerite ista četiri slučaja s jednim kontroliranim računom i stvarnim aplikacijama, i zapišite brojeve.

Prikupljite dnevnik servisa profila i dobijeni skup pravila iz zahvaćene sesije, a ne sa svoje administrativne radne stanice.

Get-WinEvent -LogName 'Microsoft-Windows-User Profile Service/Operational' -MaxEvents 30
gpresult /r /scope:user
Measure-Command { Get-ChildItem '\\fs01.corp.internal\users\a.singh\Documents' | Out-Null }

Uporedite ta vremena s kancelarijskom osnovom i s veličinom onoga što se prenosi. Prijava koja još traje minutu uz mali profil i brz udio nije problem profila, i sljedeće mjesto za provjeru je obrada grupnih pravila ili skripta za prijavu koja čeka mrežu. Ako je razmak tu, profil nikada nije bio problem. Potvrdite da je nesinhronizirani rad sačuvan prije nego promijenite pravilo fascikle ili očistite keš, jer su sinhronizacija i obnovljiva sigurnosna kopija različita uvjerenja.