Viens VPN, divi Windows konti: kāpēc otra sesija salūzt

Divi cilvēki ir pieteikušies, viens no viņiem pieslēdzas uzņēmuma tunelim, un otras konta pārlūkprogramma pārstāj ielādēt lapas, kas vēl pirms minūtes darbojās. Tajā pašā mašīnā pieteikšanās ekrānā ir pazudusi arī vienuma «Pārslēgt lietotāju» opcija, tāpēc otrais cilvēks nevar atgriezties savā sesijā. Šo problēmu visātrāk izprast, ja to pēta, sākot no otrās sesijas un virzoties uz āru, jo pirmā lietotāja savienojumā nekas nav apslēpts, un otrā lietotāja problēmā nepaliek nekas noslēpumains, kad redzams, kuri objekti ir kopīgi.

Sāciet ar sesiju, kas sabojājās

Dodieties uz otrā konta darbvirsmu, nevis pirmā. Atveriet tur termināli un, kamēr otra sesija ir savienota, apskatiet maršrutēšanas tabulu un risinātājserveru sarakstu. Viss, ko redzat, pieder mašīnai, nevis otram lietotājam, un tā ir pirmā pazīme.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Ja noklusējuma maršruts tagad norāda uz tuneļa interfeisu, arī otrā lietotāja trafiks tam seko. Ja risinātājserveru sarakstam ir pievienots privāts serveris, viņu vaicājumi tagad dodas tur, kur pēc tuneļa pārrāvuma viņi nevarēs nokļūt. Neviens no šiem nav klienta kļūda; tie ir viena kopīga tīkla steka sekas.

Trešā komanda izskaidro otru sūdzību klasi. Kad adapters pārslēdz mašīnu no publiskas uz privātu tīkla kategoriju, ar profilu saistītie ugunsmūra noteikumi mainās visiem kontiem uzreiz, tāpēc lietotnes, kas no rīta bija atļautas, pēcpusdienā var tikt bloķētas, nevienam neaiztiekot noteikumu.

Savienojums ir katram lietotājam, tīkls nav

Windows savienojuma objektu glabā tā lietotāja profilā, kurš to izveidoja. Tā radītais virtuālais adapters, instalētie maršruti un reģistrētie DNS serveri ir visas mašīnas mērogā. Šī atdalīšana ir abu virsrakstā minēto simptomu avots.

Tas arī izskaidro, kāpēc pirmā lietotāja izrakstīšanās parasti salabo otro. Savienojuma noņemšana noņem adapteri un maršrutus, un mašīnas mēroga stāvoklis atgriežas tādā, kāds tas bija pirms kāds pieslēdzās. Tā ir noderīga diagnostika: ja izrakstīšanās salabo otru kontu, jūs skatāt kopīgu stāvokli, nevis bojātu profilu.

Ko jūs nevarat, ir dot otrajai sesijai citu maršrutēšanas tabulu. Tabula ir viena, un jebkuras divas sesijas to dala. Tā ir operētājsistēmas īpašība, nevis konkrēta klienta ierobežojums. Tas arī nozīmē, ka jebkurš risinājums, kas pieņem pretējo, turpinās ciest neveiksmi, un šīs neveiksmes izskatīsies kā nesaistītas lietotņu kļūdas.

Atrodiet, kas noņēma vienumu «Pārslēgt lietotāju», šajā secībā

Ātrā lietotāju pārslēgšana pazuda pavisam cita iemesla dēļ, un risinājumam nav nekāda sakara ar maršrutēšanu. Izskatiet četrus kandidātus pēc kārtas, jo pirmos divus var atcelt sekundēs, bet pēdējiem ir sava cena.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Reģistra vērtība ir vienkāršākais skaidrojums. Ja tā pastāv un rāda 1, vienums ir paslēpts ar politiku, un grupas politikas ceļš ir Computer Configuration, Administrative Templates, System, Logon un iestatījums, kas nosaukts ātrās lietotāju pārslēgšanas vienumu slēpšanai. Iestatiet to uz Not Configured un atsvaidziniet ar gpupdate /force.

Otrā komanda pastāsta, vai šī politika tiek piegādāta no domēna, nevis rakstīta lokāli. Ja tā parādās pārskatā ar uzvarējušo GPO, lokālās vērtības labošana ir pagaidu labojums, kas atgriezīsies nākamajā atsvaidzināšanā, un šī saruna jāved ar politikas īpašnieku.

Trešā komanda aptver otru mehānismu. Akreditācijas datu vai tīkla piekļuves nodrošinātājs, kas instalē pieteikšanās moduli, var nomākt vienumu, kamēr tas darbojas, un daži klienti arī reģistrē komponentu, kas startē pirms pieteikšanās un notur prasību pieteikšanās ekrānā. Šī pakalpojuma atspējošana atjauno pārslēgšanu, taču tā arī noņem pirms pieteikšanās vai posture funkcijas, kam modulis ir paredzēts.

Mainiet to, neieslēdzot sevi ārā

Strādājot turiet atvērtu vienu administrēšanas sesiju, un nekad nemainiet pieteikšanās ekrāna iestatījumus mašīnā, kurai varat piekļūt tikai caur šo ekrānu. Vispirms izrakstieties no citām sesijām, piemērojiet izmaiņas, atsvaidziniet un pēc tam pārbaudiet, pārslēdzot lietotājus, nevis pārstartējot.

Pierakstiet, kuras posture funkcijas atspējojāt. Klienta atjauninājums var pārinstalēt vai atkal iespējot pieteikšanās moduli, un simptoms atgriezīsies bez acīmredzama iemesla, parasti atbalsta loga vidū, kad neviens neatceras iepriekšējās izmaiņas.

Pārvaldītā ierīcē pieņemiet, ka iestatījums tiek piegādāts no augšas. Politikas pārskata pārbaude vispirms ietaupa stundu lokālu labojumu, kas atgriežas. Tas arī pasaka, ko jautāt, kad atbilde ir nē. Biļete, kurā nosaukta uzvarējusī politika, tiek atrisināta divreiz ātrāk nekā tā, kurā aprakstīta reģistra atslēga, ko kāds jau mainījis.

Pārbaudiet abus kontus un izvēlieties modeli

Pārbaudiet rezultātu tādā secībā, kādā to piedzīvo abi lietotāji. Piesakieties ar otro kontu, kamēr pirmais ir atvienots, apstipriniet parasto piekļuvi, pēc tam pievienojiet pirmā konta tuneli un apstipriniet, ka otrā konta gaidītais ceļš joprojām ir tāds, kā bijāt iecerējis.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Ja abiem kontiem tiešām vienlaikus vajag atšķirīgus tīkla ceļus, godīgā atbilde ir divas mašīnas, divas virtuālās mašīnas vai politika, kur nepieciešams tikai viens ceļš. Sadalīts tunelis kopīgajā savienojumā var sašaurināt to, kas pārvietojas, bet nevar dot katrai sesijai savu tabulu. To uzzināt agrāk ir lētāk nekā atklāt pēc trim mēģinātiem apiet.

Tas ir lēmums, kas jāpieņem skaidri, nevis jālāpa apejot. Viena maršrutēšanas tabula, viens risinātājserveru saraksts, viens ugunsmūra profils: viss pārējais no tā izriet, un labojums, kas to respektē, darbosies arī nākamajā mēnesī.