Egy VPN, két Windows-fiók: miért törik el a másik munkamenet

Két ember van bejelentkezve, egyikük csatlakozik a vállalati alagúthoz, és a másik fiók böngészője abbahagyja azoknak az oldalaknak a betöltését, amelyek egy perccel korábban rendben voltak. Ugyanazon a gépen a Felhasználóváltás bejegyzés is eltűnt a bejelentkezési képernyőről, így a második ember nem tud visszatérni a saját munkamenetébe. Ennek a második munkamenetből kifelé történő követése a leggyorsabb módja annak megértésére, mert az első felhasználó kapcsolatában semmi sincs elrejtve, és a második felhasználó problémájában sincs semmi rejtélyes, amint látja, mely objektumok megosztottak.

A megtört munkamenetben kezdje

Menjen a második fiók asztalára, ne az elsőére. Nyisson ott egy terminált, és nézze meg az útvonaltáblát és a feloldók listáját, amíg a másik munkamenet csatlakoztatva van. Minden, amit lát, a géphez tartozik, nem a másik felhasználóhoz, és ez az első nyom.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Ha az alapértelmezett útvonal most az alagút interfészére mutat, a második felhasználó forgalma is azt követi. Ha a feloldók listája privát kiszolgálót kapott, a lekérdezéseik most olyan helyre mennek, ahová nem tudnak eljutni, ha az alagút elszakad. Egyik sem hiba a kliensben; egyetlen, megosztott hálózati verem következményei.

A harmadik parancs a panaszok második osztályát magyarázza. Amikor egy adapter a gépet nyilvános hálózati kategóriából privátba váltja, a profilhoz kötött tűzfal-szabályok egyszerre minden fiókra megváltoznak, így a reggel engedélyezett alkalmazások délután blokkolhatók anélkül, hogy bárki hozzányúlna egy szabályhoz.

A kapcsolat felhasználónkénti, a hálózat nem

A Windows a kapcsolat objektumát annak a felhasználónak a profiljában tartja, aki létrehozta. Az általa létrehozott virtuális adapter, a telepített útvonalak és a regisztrált DNS-kiszolgálók gép szintűek. Ez a szétválás a címben szereplő mindkét tünet forrása.

Ez azt is megmagyarázza, miért javítja az első felhasználó kijelentkezése általában a másodikat. A kapcsolat eltávolítása eltávolítja az adaptert és vele az útvonalakat, és a gép szintű állapot visszatér ahhoz, ami azelőtt volt, hogy bárki bejelentkezett volna. Ez hasznos diagnózis: ha a kijelentkezés megjavítja a másik fiókot, megosztott állapotot lát, nem törött profilt.

Amit nem tehet, az az, hogy a második munkamenetnek más útvonaltáblát adjon. Egy tábla van, és bármely két munkamenet megosztja. Ez az operációs rendszer tulajdonsága, nem egy adott kliens korlátja. Azt is jelenti, hogy minden olyan tervezés, amely mást feltételez, továbbra is el fog bukni, és a hibák független alkalmazáshibáknak fognak látszani.

Derítse ki, mi távolította el a Felhasználóváltás bejegyzést, ebben a sorrendben

A gyors felhasználóváltás teljesen más okból tűnt el, és a javításnak semmi köze az útvonalválasztáshoz. Járja végig a négy jelöltet sorrendben, mert az első kettő másodpercek alatt visszafordítható, a későbbieknek pedig ára van.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

A beállításjegyzék-érték a legegyszerűbb magyarázat. Ha létezik és 1-et olvas, a bejegyzést házirend rejti el, és a csoportházirend-útvonal: Számítógép konfigurációja, Felügyeleti sablonok, Rendszer, Bejelentkezés, valamint a gyors felhasználóváltás belépési pontjainak elrejtéséről elnevezett beállítás. Állítsa Nem konfigurált értékre, és frissítse ezzel: gpupdate /force.

A második parancs megmondja, hogy ezt a házirendet tartományból szállítják-e, nem helyben írják. Ha a jelentésben nyertes GPO-val jelenik meg, a helyi érték szerkesztése ideiglenes javítás, amely a következő frissítéskor visszaáll, és a beszélgetés a házirend tulajdonosával folytatandó.

A harmadik parancs a másik mechanizmust fedi le. A bejelentkezési modult telepítő hitelesítő vagy hálózati hozzáférési szolgáltató elnyomhatja a bejegyzést, amíg fut, és egyes kliensek olyan összetevőt is regisztrálnak, amely a bejelentkezés előtt indul, és igényt tart a bejelentkezési képernyőn. A szolgáltatás letiltása visszaállítja a váltást, és eltávolítja a bejelentkezés előtti vagy állapotellenőrzési funkciókat is, amelyekért a modul létezik.

Módosítsa anélkül, hogy kizárná magát

Tartson nyitva egy felügyeleti munkamenetet, miközben dolgozik, és soha ne hajtson végre bejelentkezési képernyő módosítást olyan gépen, amelyet csak azon a képernyőn keresztül ér el. Először jelentkezzen ki a többi munkamenetből, alkalmazza a módosítást, frissítsen, majd teszteljen felhasználóváltással, ne újraindítással.

Jegyezze fel, mely állapotellenőrzési funkciókat tiltotta le. Egy kliensfrissítés újratelepítheti vagy újra engedélyezheti a bejelentkezési modult, és a tünet nyilvánvaló ok nélkül visszatér, általában egy támogatási ablak közepén, amikor senki sem emlékszik a korábbi módosításra.

Kezelt eszközön feltételezze, hogy a beállítást felülről szállítják. A házirend-jelentés előzetes ellenőrzése egy órányi helyi szerkesztést takarít meg, amely visszaáll. Azt is megmondja, kit kérdezzen, ha a válasz nem. Egy jegy, amely megnevezi a nyertes házirendet, kétszer olyan gyorsan megoldódik, mint az, amely egy olyan beállításjegyzék-kulcsot ír le, amelyet valaki már megváltoztatott.

Ellenőrizze mindkét fiókot, és válassza ki a modellt

Tesztelje az eredményt abban a sorrendben, ahogy a két felhasználó megéli. Jelentkezzen be a második fiókkal úgy, hogy az első le van csatlakoztatva, erősítse meg a normál hozzáférést, majd csatlakoztassa az első fiók alagútját, és erősítse meg, hogy a második fiók várt útvonala továbbra is az, amit szándékolt.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Ha mindkét fióknak valóban különböző hálózati útvonalakra van szüksége egyszerre, az őszinte válasz két gép, két virtuális gép vagy egy házirend, amelyben csak egy útvonal szükséges. A megosztott kapcsolat osztott alagútja szűkítheti, mi mozog, de nem adhat minden munkamenetnek saját táblát. Ide korán eljutni olcsóbb, mint három megkerülési kísérlet után felfedezni.

Ez az a döntés, amelyet kifejezetten meg kell hozni, nem pedig körbefoltozni. Egy útvonaltábla, egy feloldólista, egy tűzfalprofil: minden más ebből következik, és az ezt tiszteletben tartó javítás jövő hónapban is működni fog.