Бир VPN, эки Windows аккаунту: эмне үчүн башка сессия бузулат
Маршруттар жана чечүүчү серверлер бүт машинага жалпы, ошондуктан бир аккаунттун туннели калгандарынын жолун өзгөртөт. Анан «Колдонуучуну алмаштыруу» пунктун кайсы саясат же кирүү модулу жок кылганын табыңыз.
Эки адам системага кирген, алардын бири корпоративдик туннелге туташат, ал эми экинчи аккаунттун браузери бир мүнөт мурун жакшы ачылып турган барактарды жүктөөнү токтотот. Ошол эле машинада кирүү экранынан «Колдонуучуну алмаштыруу» пункту да жоголгон, ошондуктан экинчи адам өз сессиясына кайта албайт. Муну экинчи сессиядан тышкары карап чыгуу — түшүнүүнүн эң тез жолу, анткени биринчи колдонуучунун туташуусунда жашыруун эч нерсе жок жана кайсы объектилер жалпы экенин көргөндө экинчи колдонуучунун көйгөйүндө сыр калбайт.
Бузулган сессиядан баштаңыз
Биринчи эмес, экинчи аккаунттун иш тактасына өтүңүз. Ал жерден терминал ачып, экинчи сессия туташкан абалда маршруттоо таблицасын жана чечүүчү серверлердин тизмесин караңыз. Көргөнүңүздүн баары башка колдонуучуга эмес, машинага таандык — бул биринчи белги.
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4ConnectivityЭгер демейки маршрут эми туннель интерфейсине көрсөтсө, экинчи колдонуучунун трафиги да ага ээрчийт. Эгер чечүүчү серверлердин тизмесине жеке сервер кошулса, алардын суроолору туннель үзүлгөндө жетүү мүмкүн болбогон жерге кетет. Булардын экөө тең клиенттеги ката эмес; алар бир жалпы тармактык стектин кесепеттери.
Үчүнчү буйрук даттануулардын экинчи түрүн түшүндүрөт. Адаптер машинаны коомдук тармак категориясынан жеке категорияга которгондо, профилге байланган брандмауэр эрежелери бардык аккаунт үчүн бир эле учурда өзгөрөт, ошондуктан эртең менен уруксат берилген колдонмолор түштөн кийин эч ким эрежеге тийбесе да блоктолушу мүмкүн.
Туташуу колдонуучуга жараша, тармак андай эмес
Windows туташуу объектисин аны түзгөн колдонуучунун профилинде сактайт. Ал түзгөн виртуалдык адаптер, орноткон маршруттары жана каттаган DNS серверлери бүт машинага жалпы. Ушул бөлүнүү — аталыштагы эки белгинин тең булагы.
Бул ошондой эле биринчи колдонуучуну системадан чыгарганда эмне үчүн экинчисиники оңдолорун түшүндүрөт. Туташууну алып салуу адаптерди жана маршруттарды да алып кетет, ал эми машина деңгээлиндеги абал эч ким туташпаган мурунку абалга кайтат. Бул пайдалуу диагностика: эгер чыгуу башка аккаунтту оңдосо, сиз бузулган профилди эмес, жалпы абалды көрүп жатасыз.
Ал эми экинчи сессияга башка маршруттоо таблицасын бере албайсыз. Таблица бир, каалаган эки сессия аны бөлүшөт. Бул конкреттүү клиенттин чектөөсү эмес, операциялык системанын касиети. Бул ошондой эле башкача деп эсептеген ар кандай долбоордун дайыма ийгиликсиз болорун билдирет, ал эми бузулуулар байланышы жок колдонмо каталарына окшош болот.
«Колдонуучуну алмаштыруу» пунктун эмне жок кылганын ушул тартипте табыңыз
Тез колдонуучу алмаштыруу такыр башка себептен жоголгон жана аны оңдоо маршруттоого эч кандай тиешеси жок. Төрт талапкерди ирети менен карап чыгыңыз, анткени алгачкы экөөнү секундалар ичинде кайтарууга болот, ал эми кийинкилеринин баасы бар.
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayNameРеестр мааниси — эң жөнөкөй түшүндүрмө. Эгер ал бар болуп, 1 деп окулса, пункт саясат менен жашырылган, ал эми топтук саясаттын жолу: Computer Configuration, Administrative Templates, System, Logon жана тез колдонуучу алмаштыруу пункттарын жашыруу үчүн аталган жөндөө. Аны Not Configured абалына коюп, gpupdate /force буйругу менен жаңыртыңыз.
Экинчи буйрук бул саясаттын жергиликтүү жазылышынан эмес, доменден жеткирилип жатканын айтат. Эгер ал отчётто жеңген GPO менен көрүнсө, жергиликтүү маанини түзөтүү кийинки жаңыртууда кайтарыла турган убактылуу оңдоо болуп саналат жана бул маселени саясаттын ээси менен талкуулоо керек.
Үчүнчү буйрук башка механизмди камтыйт. Кирүү модулун орноткон эсептик жазуу же тармакка кирүү провайдери иштеп турганда пунктту басуу мүмкүн, ал эми айрым клиенттер кирүү экранында талапты кармап турган кирүүгө чейинки компонентти да каттайт. Ошол кызматты өчүрүү алмаштырууну калыбына келтирет, бирок модулдун көрсөтүү үчүн бар болгон кирүүгө чейинки же posture функцияларын да алып салат.
| Cause | How to confirm | Cost of the fix |
|---|---|---|
| HideFastUserSwitching policy | Registry value present and set to 1 | None; remove the policy |
| Logon module service | Service running under a vendor name | Loses pre-logon and posture behaviour |
| GINA-era assumption | Only relevant on very old Windows | Nothing to fix; the mechanism is gone |
Өзүңүздү кулпулап калбастан өзгөртүңүз
Иштеп жатканда бир администратор сессиясын ачык кармаңыз жана кирүү экраны аркылуу гана жетүү мүмкүн болгон машинада кирүү экранынын жөндөөсүн эч качан өзгөртпөңүз. Адегенде башка сессиялардан чыгыңыз, өзгөртүүнү колдонуңуз, жаңыртыңыз, анан кайра жүктөө менен эмес, колдонуучуларды алмаштыруу менен текшериңиз.
Кайсы posture функцияларын өчүргөнүңүздү жазып коюңуз. Клиенттин жаңыртуусу кирүү модулун кайра орнотушу же кайра иштетиши мүмкүн, ошондо белги ачык себепсиз кайтат, көбүнчө эч ким мурунку өзгөртүүнү эстебеген колдоо терезесинин ортосунда.
Башкарылуучу түзмөктө жөндөө жогорудан жеткирилет деп эсептеңиз. Саясат отчётун адегенде текшерүү кайтарыла турган жергиликтүү түзөтүүлөрдөн бир саатты үнөмдөйт. Ошондой эле жооп «жок» болгондо кимден сураш керектигин айтат. Жеңген саясатты атаган билет бирөө буга чейин өзгөрткөн реестр ачкычын сүрөттөгөн билеттен эки эсе тез чечилет.
Эки аккаунтту тең текшерип, моделди тандаңыз
Жыйынтыкты эки колдонуучу башынан өткөргөн тартипте текшериңиз. Биринчи аккаунт ажыратылган абалда экинчи аккаунт менен кирип, кадимки кирүүнү ырастаңыз, анан биринчи аккаунттун туннелин туташтырып, экинчи аккаунттун күтүлгөн жолу дагы эле сиз ойлогондой экенин ырастаңыз.
qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443Эгер эки аккаунтка тең бир эле убакта ар башка тармактык жолдор чындап керек болсо, акыйкат жооп — эки машина, эки виртуалдык машина же бир гана жол талап кылынган саясат. Жалпы туташуудагы бөлүнгөн туннель эмне жүрөрүн тарылта алат, бирок ар бир сессияга өз таблицасын бере албайт. Муну үч аракеттен кийин аныктагандан эрте түшүнгөн арзан.
Бул — айланып өтүп жамап коюу эмес, ачык түрдө кабыл алынуучу чечим. Бир маршруттоо таблицасы, бир чечүүчү серверлер тизмеси, бир брандмауэр профили: калганынын баары ушундан келип чыгат жана муну сыйлаган оңдоо кийинки айда да иштейт.