Satu VPN, dua akun Windows: mengapa sesi lain rusak

Dua orang sudah masuk, salah satunya tersambung ke terowongan perusahaan, dan peramban akun lain berhenti memuat halaman yang tadi masih normal. Di mesin yang sama, entri Ganti pengguna juga hilang dari layar masuk, sehingga orang kedua tidak bisa kembali ke sesinya sendiri. Menelusurinya dari sesi kedua ke luar adalah cara tercepat memahaminya, karena tidak ada yang tersembunyi pada koneksi pengguna pertama, dan tidak ada yang misterius pada masalah pengguna kedua begitu Anda melihat objek mana yang dibagi.

Mulai dari sesi yang rusak

Pergi ke desktop akun kedua, bukan yang pertama. Buka terminal di sana dan lihat tabel perutean serta daftar resolver selama sesi lain tersambung. Semua yang Anda lihat milik mesin, bukan milik pengguna lain, dan itulah petunjuk pertama.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Jika rute default sekarang mengarah ke antarmuka terowongan, lalu lintas pengguna kedua juga mengikutinya. Jika daftar resolver mendapat server privat, pencarian mereka sekarang pergi ke tempat yang tidak bisa mereka capai saat terowongan putus. Tidak satu pun dari itu bug di klien; itu konsekuensi dari satu tumpukan jaringan yang dibagi.

Perintah ketiga menjelaskan kelas keluhan kedua. Saat adaptor mengubah mesin dari kategori jaringan publik ke privat, aturan firewall yang dibatasi pada profil berubah untuk semua akun sekaligus, sehingga aplikasi yang diizinkan pagi hari bisa diblokir sore hari tanpa ada yang menyentuh aturan.

Koneksi itu per pengguna, jaringannya bukan

Windows menyimpan objek koneksi di profil pengguna yang membuatnya. Adaptor virtual yang dihasilkannya, rute yang dipasangnya, dan server DNS yang didaftarkannya berlaku untuk seluruh mesin. Pemisahan itu adalah sumber kedua gejala di judul.

Itu juga menjelaskan mengapa keluar dari pengguna pertama biasanya memperbaiki yang kedua. Menghapus koneksi menghapus adaptor dan rutenya, dan keadaan seluruh mesin kembali seperti sebelum ada yang tersambung. Itu diagnostik yang berguna: jika keluar memperbaiki akun lain, Anda melihat keadaan bersama, bukan profil yang rusak.

Yang tidak bisa Anda lakukan adalah memberi sesi kedua tabel perutean yang berbeda. Tabelnya satu, dan dua sesi mana pun membaginya. Itu sifat sistem operasi, bukan keterbatasan klien tertentu. Artinya juga bahwa rancangan apa pun yang mengandaikan sebaliknya akan terus gagal, dan kegagalannya akan tampak seperti bug aplikasi yang tidak berhubungan.

Temukan apa yang menghapus Ganti pengguna, dalam urutan ini

Pergantian pengguna cepat hilang karena alasan yang sama sekali berbeda, dan perbaikannya tidak ada hubungannya dengan perutean. Telusuri keempat kandidat secara berurutan, karena dua yang pertama bisa dibalik dalam hitungan detik dan yang belakangan punya biaya.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Nilai registri adalah penjelasan paling sederhana. Jika ada dan terbaca 1, entri disembunyikan oleh kebijakan, dan jalur Kebijakan Grup adalah Konfigurasi Komputer, Templat Administratif, Sistem, Logon, dan setelan yang dinamai menurut penyembunyian titik masuk pergantian pengguna cepat. Atur ke Tidak Dikonfigurasi dan segarkan dengan gpupdate /force.

Perintah kedua memberi tahu apakah kebijakan itu dikirim dari domain alih-alih ditulis secara lokal. Jika muncul dalam laporan dengan GPO pemenang, menyunting nilai lokal adalah perbaikan sementara yang kembali pada penyegaran berikutnya, dan pembicaraannya dengan pemilik kebijakan.

Perintah ketiga mencakup mekanisme lainnya. Penyedia kredensial atau akses jaringan yang memasang modul logon dapat menekan entri selama berjalan, dan beberapa klien juga mendaftarkan komponen yang mulai sebelum logon dan mempertahankan klaim di layar masuk. Menonaktifkan layanan itu memulihkan pergantian, dan juga menghapus fungsi pra-logon atau postur yang menjadi alasan modul itu ada.

Ubah tanpa mengunci diri Anda di luar

Biarkan satu sesi administratif terbuka selama Anda bekerja, dan jangan pernah membuat perubahan layar masuk pada mesin yang hanya bisa Anda jangkau melalui layar itu. Keluarkan sesi lain lebih dulu, terapkan perubahan, segarkan, lalu uji dengan berganti pengguna alih-alih memulai ulang.

Catat fungsi postur mana yang Anda nonaktifkan. Pembaruan klien dapat memasang ulang atau mengaktifkan kembali modul logon, dan gejalanya kembali tanpa sebab jelas, biasanya di tengah jendela dukungan saat tidak ada yang mengingat perubahan sebelumnya.

Pada perangkat terkelola, anggap setelan dikirim dari atas. Memeriksa laporan kebijakan lebih dulu menghemat satu jam suntingan lokal yang kembali. Itu juga memberi tahu siapa yang harus ditanya saat jawabannya tidak. Tiket yang menyebut kebijakan pemenang diselesaikan dua kali lebih cepat daripada yang menjelaskan kunci registri yang sudah diubah seseorang.

Verifikasi kedua akun dan pilih modelnya

Uji hasilnya dalam urutan yang dialami kedua pengguna. Masuk sebagai akun kedua dengan akun pertama terputus, pastikan akses normal, lalu sambungkan terowongan akun pertama dan pastikan jalur yang diharapkan akun kedua masih seperti yang Anda maksudkan.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Jika kedua akun benar-benar membutuhkan jalur jaringan berbeda pada saat yang sama, jawaban jujurnya adalah dua mesin, dua mesin virtual, atau kebijakan yang hanya mensyaratkan satu jalur. Terowongan terpisah pada koneksi bersama dapat mempersempit apa yang bergerak, tetapi tidak dapat memberi setiap sesi tabelnya sendiri. Sampai ke sana lebih awal lebih murah daripada menemukannya setelah tiga upaya jalan pintas.

Itulah keputusan yang harus diambil secara eksplisit alih-alih menambal di sekitarnya. Satu tabel perutean, satu daftar resolver, satu profil firewall: semua hal lain mengikuti dari itu, dan perbaikan yang menghormatinya akan tetap bekerja bulan depan.