ერთი VPN, ორი Windows ანგარიში: რატომ ტყდება მეორე სესია
მარშრუტები და გამხსნელები მთელ მანქანაზე მოქმედებს, ამიტომ ერთი ანგარიშის გვირაბი სხვებს გადაამისამართებს. შემდეგ გაარკვიეთ, რომელმა პოლიტიკამ ან შესვლის მოდულმა წაშალა პუნქტი მომხმარებლის შეცვლა.
ორი ადამიანია შესული, ერთი მათგანი კორპორატიულ გვირაბს უკავშირდება, და მეორე ანგარიშის ბრაუზერი წყვეტს იმ გვერდების ჩატვირთვას, რომლებიც ერთი წუთის წინ რიგზე იყო. იმავე მანქანაზე შესვლის ეკრანიდან გაქრა პუნქტი მომხმარებლის შეცვლა, ამიტომ მეორე ადამიანი ვერ ბრუნდება საკუთარ სესიაში. ამის მეორე სესიიდან გარეთკენ თვალყურის დევნება მისი გაგების ყველაზე სწრაფი გზაა, რადგან პირველი მომხმარებლის კავშირში არაფერია დამალული და მეორე მომხმარებლის პრობლემაში არაფერია იდუმალი, როგორც კი დაინახავთ, რომელი ობიექტებია საერთო.
დაიწყეთ გატეხილი სესიიდან
გადადით მეორე ანგარიშის სამუშაო მაგიდაზე და არა პირველის. გახსენით იქ ტერმინალი და შეხედეთ მარშრუტიზაციის ცხრილსა და გამხსნელების სიას, სანამ მეორე სესია დაკავშირებულია. ყველაფერი, რასაც ხედავთ, მანქანას ეკუთვნის და არა სხვა მომხმარებელს, და ეს პირველი მინიშნებაა.
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivityთუ ნაგულისხმევი მარშრუტი ახლა გვირაბის ინტერფეისზე მიუთითებს, მეორე მომხმარებლის ტრაფიკიც მას მიჰყვება. თუ გამხსნელების სიას კერძო სერვერი დაემატა, მათი მოთხოვნები ახლა იმ ადგილას მიდის, სადაც ვერ მიაღწევენ, როცა გვირაბი ჩავარდება. არც ერთი მათგანი არ არის შეცდომა კლიენტში; ეს ერთი საერთო ქსელური დასტის შედეგია.
მესამე ბრძანება ხსნის საჩივრების მეორე კლასს. როცა ადაპტერი მანქანას საჯარო ქსელური კატეგორიიდან კერძოზე გადაიყვანს, პროფილზე შემოსაზღვრული firewall-ის წესები ერთდროულად ყველა ანგარიშისთვის იცვლება, ამიტომ დილით ნებადართული აპლიკაციები შეიძლება შუადღისას დაიბლოკოს, ვინმემ წესს ხელი არ შეხოს.
კავშირი თითო მომხმარებელზეა, ქსელი არა
Windows ინახავს კავშირის ობიექტს იმ მომხმარებლის პროფილში, რომელმაც ის შექმნა. ვირტუალური ადაპტერი, რომელსაც ის ქმნის, მარშრუტები, რომლებსაც აყენებს და DNS სერვერები, რომლებსაც არეგისტრირებს, მთელი მანქანის მასშტაბისაა. ეს გაყოფა სათაურში მოცემული ორივე სიმპტომის წყაროა.
ეს ასევე ხსნის, რატომ ასწორებს პირველი მომხმარებლის გასვლა ჩვეულებრივ მეორეს. კავშირის მოშორება მოშორებს ადაპტერს და მარშრუტებს მასთან ერთად, და მთელი მანქანის მდგომარეობა უბრუნდება იმას, რაც იყო სანამ ვინმე დაუკავშირდებოდა. ეს სასარგებლო დიაგნოსტიკაა: თუ გასვლა არემონტებს სხვა ანგარიშს, თქვენ საერთო მდგომარეობას უყურებთ და არა გატეხილ პროფილს.
რასაც ვერ გააკეთებთ, მეორე სესიისთვის სხვა მარშრუტიზაციის ცხრილის მიცემაა. ცხრილი ერთია, და ნებისმიერი ორი სესია მას იზიარებს. ეს ოპერაციული სისტემის თვისებაა და არა კონკრეტული კლიენტის შეზღუდვა. ეს ასევე ნიშნავს, რომ საპირისპიროს მიმზიდველი ნებისმიერი დიზაინი განაგრძობს წარუმატებლობას, და წარუმატებლობები დაუკავშირებელი აპლიკაციის ხარვეზებივით გამოიყურება.
გაარკვიეთ, რამ წაშალა მომხმარებლის შეცვლა, ამ თანმიმდევრობით
სწრაფი მომხმარებლის გადართვა სრულიად სხვა მიზეზით გაქრა, და შესწორებას მარშრუტიზაციასთან არაფერი აქვს საერთო. გაიარეთ ოთხი კანდიდატი თანმიმდევრობით, რადგან პირველი ორი წამებში უკუგდებადია, ხოლო გვიანდელებს ფასი აქვთ.
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayNameრეესტრის მნიშვნელობა ყველაზე მარტივი ახსნაა. თუ ის არსებობს და 1-ს კითხულობს, პუნქტი პოლიტიკით დამალულია, და ჯგუფური პოლიტიკის გზაა კომპიუტერის კონფიგურაცია, ადმინისტრაციული შაბლონები, სისტემა, შესვლა, და პარამეტრი, რომელიც სწრაფი მომხმარებლის გადართვის შესვლის წერტილების დამალვით არის დასახელებული. დააყენეთ ის „არ არის კონფიგურირებული“ და განაახლეთ gpupdate /force-ით.
მეორე ბრძანება გეუბნებათ, მიეწოდება თუ არა ეს პოლიტიკა დომენიდან და არა ლოკალურად იწერება. თუ ის ანგარიშში გამარჯვებული GPO-ით გამოჩნდება, ლოკალური მნიშვნელობის რედაქტირება დროებითი შესწორებაა, რომელიც შემდეგ განახლებაზე ბრუნდება, და საუბარი პოლიტიკის მფლობელს ეკუთვნის.
მესამე ბრძანება მოიცავს სხვა მექანიზმს. სერტიფიკატების ან ქსელური წვდომის პროვაიდერი, რომელიც შესვლის მოდულს აყენებს, შეიძლება პუნქტს თრგუნავდეს სანამ მუშაობს, და ზოგიერთი კლიენტი ასევე არეგისტრირებს კომპონენტს, რომელიც შესვლამდე ირთვება და პრეტენზიას ინახავს შესვლის ეკრანზე. ამ სერვისის გამორთვა აღადგენს გადართვას, და ასევე შლის შესვლამდელ ან მდგომარეობის ფუნქციებს, რომლებისთვისაც მოდული არსებობს.
| Cause | How to confirm | Cost of the fix |
|---|---|---|
| HideFastUserSwitching policy | Registry value present and set to 1 | None; remove the policy |
| Logon module service | Service running under a vendor name | Loses pre-logon and posture behaviour |
| GINA-era assumption | Only relevant on very old Windows | Nothing to fix; the mechanism is gone |
შეცვალეთ ის საკუთარი თავის გარეთ ჩაკეტვის გარეშე
სამუშაოს დროს ერთი ადმინისტრაციული სესია ღიად დატოვეთ, და არასოდეს შეცვალოთ შესვლის ეკრანი იმ მანქანაზე, რომელზეც მხოლოდ ამ ეკრანით აღწევთ. ჯერ სხვა სესიები გამორთეთ, გამოიყენეთ ცვლილება, განაახლეთ, და შემდეგ გამოსცადეთ მომხმარებლის გადართვით და არა გადატვირთვით.
ჩაწერეთ, რომელი მდგომარეობის ფუნქციები გამორთეთ. კლიენტის განახლებამ შეიძლება შესვლის მოდული ხელახლა დააყენოს ან ხელახლა ჩართოს, და სიმპტომი ბრუნდება აშკარა მიზეზის გარეშე, ჩვეულებრივ მხარდაჭერის ფანჯრის შუაში, როცა არავის ახსოვს წინა ცვლილება.
მართულ მოწყობილობაზე ჩათვალეთ, რომ პარამეტრი ზემოდან მიეწოდება. პოლიტიკის ანგარიშის ჯერ შემოწმება ზოგავს საათს ლოკალური რედაქტირებებისგან, რომლებიც ბრუნდება. ის ასევე გეუბნებათ, ვის ჰკითხოთ, როცა პასუხი არაა. ბილეთი, რომელიც გამარჯვებულ პოლიტიკას ასახელებს, ორჯერ უფრო სწრაფად წყდება, ვიდრე ის, რომელიც აღწერს რეესტრის გასაღებს, რომელიც ვიღაცამ უკვე შეცვალა.
შეამოწმეთ ორივე ანგარიში და აირჩიეთ მოდელი
გამოსცადეთ შედეგი იმ თანმიმდევრობით, როგორც ორი მომხმარებელი განიცდის მას. შედით როგორც მეორე ანგარიში, სანამ პირველი გათიშულია, დაადასტურეთ ნორმალური წვდომა, შემდეგ შეაერთეთ პირველი ანგარიშის გვირაბი და დაადასტურეთ, რომ მეორე ანგარიშის მოსალოდნელი გზა კვლავ ის არის, რაც გინდოდათ.
qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443თუ ორივე ანგარიშს ნამდვილად სჭირდება სხვადასხვა ქსელური გზა ერთდროულად, პატიოსანი პასუხია ორი მანქანა, ორი ვირტუალური მანქანა, ან პოლიტიკა, სადაც მხოლოდ ერთი გზაა საჭირო. საერთო კავშირზე გაყოფილი გვირაბი შეიძლება შეავიწროოს, რაც მოძრაობს, მაგრამ ვერ მისცემს თითოეულ სესიას საკუთარ ცხრილს. იქ ადრე მისვლა იაფია, ვიდრე სამი მცდელობის შემდეგ აღმოჩენა.
ეს არის გადაწყვეტილება, რომელიც ცალსახად უნდა მივიღოთ და არა გარშემო შეღებვა. ერთი მარშრუტიზაციის ცხრილი, ერთი გამხსნელების სია, ერთი firewall-ის პროფილი: დანარჩენი ყველაფერი აქედან გამომდინარეობს და შესწორება, რომელიც ამას პატივს სცემს, მომავალ თვეშიც იმუშავებს.