Бір VPN, екі Windows тіркелгісі: неге басқа сеанс бұзылады

Екі адам жүйеге кірген, олардың біреуі корпоративтік туннельге қосылады, ал екінші тіркелгінің браузері бір минут бұрын ашылған беттерді жүктеуді тоқтатады. Сол машинада «Пайдаланушыны ауыстыру» жазбасы кіру экранынан жоғалып кетті, сондықтан екінші адам өз сеансына қайта алмайды. Мұны екінші сеанстан сыртқа қарай бақылау — түсінудің ең жылдам жолы, өйткені бірінші пайдаланушының қосылымында жасырын ештеңе жоқ және қай объектілер ортақ екенін көргенде, екінші пайдаланушының мәселесінде жұмбақ ештеңе қалмайды.

Бұзылған сеанстан бастаңыз

Бірінші емес, екінші тіркелгінің жұмыс үстеліне өтіңіз. Сол жерде терминал ашып, екінші сеанс қосылған кезде маршруттау кестесін және шешуші серверлер тізімін қараңыз. Көргеннің бәрі машинаға тиесілі, басқа пайдаланушыға емес — бұл бірінші белгі.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Егер әдепкі маршрут енді туннель интерфейсіне көрсетсе, екінші пайдаланушының трафигі де соған ілеседі. Егер шешуші серверлер тізіміне жеке сервер қосылса, олардың сұраныстары туннель үзілгенде қол жетпейтін жерге кетеді. Бұлардың ешқайсысы клиенттегі қате емес; бұл — бір ортақ желілік стектің салдары.

Үшінші пәрмен шағымдардың екінші түрін түсіндіреді. Адаптер машинаны қоғамдық желі санатынан жеке санатқа ауыстырғанда, профильге байланған брандмауэр ережелері барлық тіркелгі үшін бірден өзгереді, сондықтан таңертең рұқсат етілген қолданбалар түстен кейін ешкім ережеге қол тигізбесе де бұғатталуы мүмкін.

Қосылым пайдаланушыға тән, желі тән емес

Windows қосылым нысанын оны жасаған пайдаланушының профилінде сақтайды. Ол жасайтын виртуалды адаптер, орнататын маршруттар және тіркейтін DNS серверлері бүкіл машинаға ортақ. Осы бөліну — тақырыптағы екі симптомның да көзі.

Бұл сондай-ақ бірінші пайдаланушыны жүйеден шығару әдетте екіншісінің мәселесін неге шешетінін түсіндіреді. Қосылымды жою адаптерді де, маршруттарды да алып кетеді, ал машина деңгейіндегі күй ешкім қосылмаған бұрынғы қалпына оралады. Бұл пайдалы диагностика: егер шығу басқа тіркелгіні түзетсе, сіз бүлінген профильді емес, ортақ күйді көріп отырсыз.

Алайда екінші сеансқа басқа маршруттау кестесін бере алмайсыз. Кесте біреу, кез келген екі сеанс оны ортақ пайдаланады. Бұл нақты клиенттің шектеуі емес, операциялық жүйенің қасиеті. Бұл сонымен қатар керісінше деп есептейтін кез келген жобаның үнемі сәтсіздікке ұшырайтынын білдіреді, ал сәтсіздіктер байланысы жоқ қолданба қателеріне ұқсайды.

«Пайдаланушыны ауыстыру» жазбасын ненің жойғанын осы ретпен табыңыз

Жылдам пайдаланушы ауыстыру мүлдем басқа себеппен жоғалды, оны түзету маршруттауға қатысы жоқ. Төрт кандидатты ретімен қарап шығыңыз, өйткені алғашқы екеуін секундтар ішінде қайтаруға болады, ал кейінгілерінің құны бар.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Тізілім мәні — ең қарапайым түсіндірме. Егер ол бар болып, 1 мәнін көрсетсе, жазба саясатпен жасырылған, ал топтық саясат жолы: Computer Configuration, Administrative Templates, System, Logon және жазба нүктелерін жасыруға арналған параметр. Оны «Конфигурацияланбаған» күйіне қойып, gpupdate /force көмегімен жаңартыңыз.

Екінші пәрмен бұл саясаттың жергілікті түрде жазылуынан емес, доменнен жеткізіліп жатқанын көрсетеді. Егер ол есепте жеңген GPO-мен бірге көрінсе, жергілікті мәнді өңдеу келесі жаңартуда қайтарылатын уақытша түзету болып табылады, сондықтан бұл мәселені саясаттың иесімен талқылау керек.

Үшінші пәрмен басқа механизмді қамтиды. Кіру модулін орнататын тіркелгі деректері немесе желіге қатынау провайдері жұмыс істеп тұрғанда жазбаны басып қалуы мүмкін, ал кейбір клиенттер кіру экранында талап ұстап тұратын кіруге дейінгі құрамдасты да тіркейді. Осы қызметті өшіру ауыстыруды қалпына келтіреді, бірақ модуль ұсыну үшін бар кіруге дейінгі немесе posture функцияларын да алып тастайды.

Өзіңізді құлыптап қалмай өзгертіңіз

Жұмыс істеп жатқанда бір әкімшілік сеансты ашық ұстаңыз және тек сол экран арқылы қол жететін машинада кіру экранын ешқашан өзгертпеңіз. Алдымен басқа сеанстардан шығыңыз, өзгерісті қолданыңыз, жаңартыңыз, содан кейін қайта жүктеу арқылы емес, пайдаланушыларды ауыстыру арқылы тексеріңіз.

Қандай posture функцияларын өшіргеніңізді жазып қойыңыз. Клиенттің жаңартуы кіру модулін қайта орнатуы немесе қайта қосуы мүмкін, сонда симптом айқын себепсіз қайтады, әдетте ешкім бұрынғы өзгерісті есіне түсірмейтін қолдау терезесінің ортасында.

Басқарылатын құрылғыда параметр жоғарыдан жеткізіледі деп есептеңіз. Саясат есебін алдымен тексеру қайтарылатын жергілікті өңдеулерден бір сағат үнемдейді. Ол сондай-ақ жауап «жоқ» болғанда кімнен сұрау керектігін айтады. Жеңген саясатты атайтын билет біреу өзгертіп қойған тізілім кілтін сипаттайтын билетке қарағанда екі есе жылдам шешіледі.

Екі тіркелгіні де тексеріп, үлгіні таңдаңыз

Нәтижені екі пайдаланушы бастан кешетін ретпен тексеріңіз. Бірінші тіркелгі ажыратылған күйде екінші тіркелгімен кіріңіз, қалыпты қатынауды растаңыз, содан кейін бірінші тіркелгінің туннелін қосып, екінші тіркелгінің күтілетін жолы әлі де сіз ойлағандай екенін растаңыз.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Егер екі тіркелгіге де бір уақытта әртүрлі желілік жолдар шынымен қажет болса, адал жауап — екі машина, екі виртуалды машина немесе тек бір жол талап етілетін саясат. Ортақ қосылымдағы бөлінген туннель не тасымалданатынын тарылта алады, бірақ әр сеансқа өз кестесін бере алмайды. Мұны ерте түсіну үш әрекеттен кейін анықтағаннан арзан.

Бұл — айналып өтіп жамау емес, ашық түрде қабылданатын шешім. Бір маршруттау кестесі, бір шешуші серверлер тізімі, бір брандмауэр профилі: қалғанының бәрі осыдан туындайды, ал осыны сақтайтын түзету келесі айда да жұмыс істейтін болады.