Еден VPN, две Windows сметки: зошто другата сесија се расипува

Двајца луѓе се најавени, едниот од нив се поврзува со корпоративниот тунел, а прелистувачот на другата сметка престанува да вчитува страници што пред една минута работеа. На истиот компјутер од екранот за најава исчезна и ставката „Префрли корисник“, така што вториот човек не може да се врати во сопствената сесија. Следењето на ова од втората сесија нанадвор е најбрзиот начин да се разбере, бидејќи во врската на првиот корисник нема ништо скриено, а во проблемот на вториот корисник не останува ништо мистериозно откако ќе се види кои објекти се споделени.

Започнете во сесијата што се расипа

Одете на работната површина на втората сметка, не на првата. Отворете терминал таму и, додека другата сесија е поврзана, погледнете ја табелата за рутирање и списокот на резолвери. Сѐ што гледате ѝ припаѓа на машината, не на другиот корисник, и тоа е првиот знак.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Ако стандардната рута сега покажува кон интерфејсот на тунелот, сообраќајот на вториот корисник исто така оди по неа. Ако списокот на резолвери доби приватен сервер, нивните барања сега одат некаде каде што не можат да стигнат кога тунелот ќе падне. Ниту едно од овие не е грешка во клиентот; тие се последица на еден заеднички мрежен стек.

Третата команда објаснува втора класа на поплаки. Кога адаптерот ја префрла машината од јавна во приватна мрежна категорија, правилата на огнениот ѕид ограничени на профил се менуваат за сите сметки одеднаш, така што апликациите што беа дозволени наутро можат да бидат блокирани попладне без никој да допре правило.

Врската е по корисник, мрежата не е

Windows го чува објектот на врската во профилот на корисникот што ја создал. Виртуелниот адаптер што таа го создава, рутите што ги инсталира и DNS-серверите што ги регистрира се од обем на машината. Оваа поделба е изворот на двата симптоми во насловот.

Тоа објаснува и зошто одјавувањето на првиот корисник обично го поправа вториот. Отстранувањето на врската ги отстранува адаптерот и рутите со неа, и состојбата на целата машина се враќа на онаа пред некој да се поврзе. Тоа е корисна дијагностика: ако одјавувањето ја поправи другата сметка, гледате споделена состојба, а не расипан профил.

Она што не можете е да и дадете на втората сесија поинаква табела за рутирање. Табелата е една, и кои било две сесии ја делат. Тоа е својство на оперативниот систем, а не ограничување на одреден клиент. Тоа исто така значи дека секој дизајн што претпоставува поинаку ќе продолжува да не успева, а тие неуспеси ќе изгледаат како неповрзани грешки на апликации.

Откријте што ја отстрани ставката „Префрли корисник“, по овој редослед

Брзото префрлување корисници исчезна од сосема друга причина, и решението нема никаква врска со рутирањето. Поминете низ четирите кандидати по ред, бидејќи првите два се враќаат за секунди, а подоцнежните имаат цена.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Вредноста во регистарот е наједноставното објаснување. Ако постои и чита 1, ставката е скриена со политика, а патеката на групната политика е Computer Configuration, Administrative Templates, System, Logon и поставката именувана за криење на точките за брзо префрлување корисници. Поставете ја на Not Configured и освежете со gpupdate /force.

Втората команда ви кажува дали таа политика се доставува од домен наместо да е запишана локално. Ако се појави во извештајот со победувачка GPO, уредувањето на локалната вредност е привремена поправка што се враќа при следното освежување, и разговорот треба да се води со сопственикот на политиката.

Третата команда го опфаќа другиот механизам. Добавувач на акредитиви или мрежен пристап што инсталира модул за најава може да ја потисне ставката додека работи, а некои клиенти регистрираат и компонента што стартува пред најава и држи барање на екранот за најава. Онеспособувањето на таа услуга го враќа префрлувањето, но ги отстранува и функциите пред најава или posture што модулот постои за да ги обезбеди.

Променете го без да се заклучите

Држете отворена една административна сесија додека работите, и никогаш не менувајте поставка на екранот за најава на машина до која стигнувате само преку тој екран. Прво одјавете ги другите сесии, применете ја промената, освежете, а потоа тестирајте со префрлување корисници наместо со превчитување.

Запишете кои posture функции сте ги онеспособиле. Ажурирање на клиентот може повторно да го инсталира или овозможи модулот за најава, и симптомот се враќа без очигледна причина, обично среде период на поддршка кога никој не се сеќава на претходната промена.

На управуван уред, претпоставете дека поставката се доставува одозгора. Проверката на извештајот за политики прво заштедува еден час локални уредувања што се враќаат. Таа исто така ви кажува кого да прашате кога одговорот е не. Тикет што ја именува победувачката политика се решава двојно побрзо од оној што опишува клуч во регистарот што некој веќе го сменил.

Проверете ги двете сметки и изберете модел

Тестирајте го резултатот по редоследот по кој двајцата корисници го доживуваат. Најавете се со втората сметка додека првата е исклучена, потврдете нормален пристап, потоа поврзете го тунелот на првата сметка и потврдете дека очекуваната патека на втората сметка сѐ уште е онаа што ја сакавте.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Ако двете сметки навистина им требаат различни мрежни патеки во исто време, чесниот одговор е две машини, две виртуелни машини или политика каде што е потребна само една патека. Поделен тунел на споделената врска може да го стесни она што се движи, но не може на секоја сесија да ѝ даде сопствена табела. Да се дојде до тоа рано е поевтино отколку да се открие по три обиди за заобиколување.

Тоа е одлуката што треба да се донесе експлицитно наместо да се крпи наоколу. Една табела за рутирање, еден список на резолвери, еден профил на огнен ѕид: сѐ друго произлегува од тоа, а поправката што го почитува ќе работи и следниот месец.