Ee VPN, zwee Windows-Konten: Firwat déi aner Sitzung briechen geet
Routen a Resolver sinn maschinnwäit, sou datt den Tunnel vun engem Kont de Wee vun den aneren ännert. Da fannt eraus, wéi eng Politik oder e Logonsmodul den Andrag «Benotzer wiesselen» ewechgeholl huet.
Zwee Persoune sinn ageloggt, eng vun hinnen verbënnt sech mam Firmetunnel, an den Browser vum anere Kont hält op, Säiten ze lueden, déi virun enger Minutt nach gutt waren. Op der selwechter Maschinn ass och den Andrag «Benotzer wiesselen» aus dem Umellbildschierm verschwonnen, sou datt déi zweet Persoun net méi an hir eege Sitzung zréckkënnt. Dëst vun der zweeter Sitzung aus no baussen ze verfollegen ass de séierste Wee, et ze verstoen, well iwwer d'Verbindung vum éischte Benotzer näischt verstoppt ass an iwwer de Problem vum zweete Benotzer näischt mysteriéis bleift, wann ee gesäit, wéi eng Objeten gedeelt ginn.
Fänkt an der Sitzung un, déi kaputtgaang ass
Gitt op den Desktop vum zweete Kont, net vum éischten. Maacht do en Terminal op a kuckt d'Routuingstabell an d'Resolverlëscht, während déi aner Sitzung verbonnen ass. Alles, wat Dir gesitt, gehéiert zur Maschinn, net zum anere Benotzer — dat ass den éischten Hiwäis.
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4ConnectivityWann d'Standardroute elo op d'Tunnelinterfacce weist, da follegt de Verkéier vum zweete Benotzer och dëser. Wann d'Resolverlëscht e private Server bäikritt huet, da ginn hir Ufroen elo dohinner, wou si net méi erreechen, wann den Tunnel fält. Keng vun deenen zwee ass e Feeler am Client; si sinn d'Folge vun engem eenzegen, gedeelte Netzwierkstack.
Den drëtte Kommando erkläert eng zweete Klass vu Beschwerden. Wann en Adapter d'Maschinn vun enger ëffentlecher op eng privat Netzwierkkategorie ëmstellt, änneren sech d'Firewallregele vum Profil fir all Kont gläichzäiteg, sou datt Uwendungen, déi moies erlaabt waren, mëttes blockéiert kënne ginn, ouni datt een eng Regel beréiert.
D'Verbindung ass pro Benotzer, d'Netzwierk net
Windows hält d'Verbindungsobjet am Profil vum Benotzer, dee se erstallt huet. Den virtuelle Adapter, deen se produzéiert, d'Routen, déi se installéiert, an d'DNS-Server, déi se registréiert, sinn op d'Maschinn bezunn. Dës Deelung ass d'Quell vun deenen zwee Symptomer am Titel.
Et erkläert och, firwat d'Ausloggen vum éischte Benotzer de Problem vum zweete gewéinlech léist. D'Verbindung ewechhuelen hëlt den Adapter an d'Routen mat, an de maschinnwäite Staat geet zréck op dat, wat virum Ewewahrs war. Dat ass eng nëtzlech Diagnostik: wann d'Ausloggen deen anere Kont fléckt, da kuckt Dir op gedeelte Staat a net op e futtis Profil.
Wat Dir awer net kënnt, ass der zweeter Sitzung eng aner Routuingstabell ze ginn. Et gëtt eng Tabell, an zwou Sitzunge vun all Zesummestellung deelen se. Dat ass eng Eegeschaft vum Betribssystem a keng Limitatioun vun engem bestëmmten Client. Et heescht och, datt all Design, deen anescht unhëlt, weiderhi wäert scheiteren, an d'Feeler wäerten wéi onzämmenhänkend Applikatiounsfeeler ausgesinn.
Fannt, wat den Andrag «Benotzer wiesselen» geläscht huet, an dëser Reihenfolge
Déi séier Benotzerwiessele verschwonnen aus engem ganz aneren Grond, an d'Léisung huet näischt mat Routuing ze dinn. Schafft Iech duerch déi véier Kandidaten an der Reihenfolge, well déi éischt zwou a Sekonnen ëmgoe sinn an déi spéider eng Käschte hunn.
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayNameDe Registrierungswäert ass déi einfachst Erklärung. Wann en do ass a 1 steet, dann ass den Andrag duerch Politik verstoppt, an de Gruppepolitikpad ass Computer Configuration, Administrative Templates, System, Logon, an d'Astellunge fir d'Andréngpunkte vum séierte Benotzerwiesselen ze verstoppen. Stellt en op Not Configured an aktualiséiert mat gpupdate /force.
Den zweete Kommando seet Iech, ob dës Politik aus enger Domain geliwwert gëtt amplaz lokal geschriwwen ze sinn. Wann se am Rapport mat enger gewinnender GPO erschéngt, dann ass d'lokal Wäertännerung eng temporär Reparatur, déi beim nächsten Aktualiséierung zréckgeet, an d'Gespréich gehéiert deemjenegen, deen d'Politik besëtzt.
Den drëtte Kommando deckt den anere Mechanismus of. En Authentifizéierungs- oder Netzwierkzougangsprovider, deen e Logonsmodul installéiert, kann den Andrag ënnerdrécken, während en leeft, an e puer Clienten registréieren och eng Komponent, déi virum Login ufänkt a en Usproch um Umellbildschierm behält. Dee Service desaktivéieren stellt d'Wiesselen erëm hier, an et hëlt och d'Vir-Login- oder Posturefunktiounen ewech, fir déi d'Modul do ass.
| Cause | How to confirm | Cost of the fix |
|---|---|---|
| HideFastUserSwitching policy | Registry value present and set to 1 | None; remove the policy |
| Logon module service | Service running under a vendor name | Loses pre-logon and posture behaviour |
| GINA-era assumption | Only relevant on very old Windows | Nothing to fix; the mechanism is gone |
Ännert et, ouni Iech auszeschléissen
Hält eng Administratiounssitzung op, während Dir schafft, a maacht ni eng Ännerung um Umellbildschierm op enger Maschinn, déi Dir nëmmen iwwer dee Bildschierm erreecht. Loggt déi aner Sitzungen als éischt aus, applizéiert d'Ännerung, aktualiséiert, an testet dann duerch Benotzerwiesselen amplaz duerch Neistart.
Notéiert, wéi eng Posturefunktiounen Dir desaktivéiert hutt. E Clientupdate kann d'Logonsmodul nei installéieren oder erëm aschalten, an d'Symptom kënnt ouni offensichtleche Grond zréck, meeschtens mëtt an engem Supportfënster, wou kee sech un déi fréier Ännerung erënnert.
Op engem verwalteten Apparat sollt Dir unhuelen, datt d'Astellung vu uewen geliwwert gëtt. D'Politikbericht als éischt ze préifen spuert eng Stonn lokal Ännerungen, déi zréckgegoe ginn. Et seet Iech och, wien ze froen, wann d'Äntwert nee ass. En Ticket, dee déi gewinnend Politik nennt, gëtt duebel sou séier geléist wéi een, deen e Registrierungsschlëssel beschreift, deen een aneren schonn geännert huet.
Iwwerpréift béid Konten a wielt de Modell
Test de Resultat an der Reihenfolge, an där déi zwee Benotzer en erliewen. Loggt Iech mam zweete Kont an, während den éischten net verbonnen ass, bestätegt normalen Zougang, verbënnt dann den Tunnel vum éischten Kont a bestätegt, datt dee erwaarte Wee vum zweete Kont nach ëmmer deem entsprécht, wat Dir virgesinn hutt.
qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443Wann béid Konten wierklech gläichzäiteg verschidde Netzwierkweeër brauchen, dann ass déi éierlech Äntwert zwou Maschinnen, zwou virtuell Maschinnen oder eng Politik, wou nëmmen ee Wee gefrot ass. En Split-Tunnel op der gedeelter Verbindung kann engen, wat beweegt, awer en kann net all Sitzung hir eege Tabell ginn. Fréi dohin ze kommen ass méi bëlleg, wéi et no dräi versichte Workarounds z'entdecken.
Dat ass d'Entscheedung, déi een explizit sollt treffen, amplaz ronderëm ze patchen. Eng Routuingstabell, eng Resolverlëscht, ee Firewallprofil: alles anescht follegt doraus, an d'Reparatur, déi dat respektéiert, wäert och nächsten Mount nach funktionéieren.