Нэг VPN, хоёр Windows бүртгэл: яагаад нөгөө сесс эвдэрдэг
Маршрут ба резолверууд машины хэмжээнд байдаг тул нэг бүртгэлийн туннель бусдын замыг өөрчилдөг. Дараа нь «Хэрэглэгч солих» мөрийг аль бодлого эсвэл нэвтрэх модуль устгасныг ол.
Хоёр хүн нэвтэрсэн байна, тэдний нэг нь корпорацийн туннельд холбогдоход нөгөө бүртгэлийн хөтөч нэг минутын өмнө хэвийн ачаалж байсан хуудсуудыг ачаалахаа болино. Мөн тэр машинд нэвтрэх дэлгэцээс «Хэрэглэгч солих» гэсэн мөр бас алга болсон тул хоёр дахь хүн өөрийн сесс рүү буцаж чадахгүй байна. Үүнийг хоёр дахь сессээс гадагш нь дагаж үзэх нь ойлгох хамгийн хурдан арга, учир нь нэгдүгээр хэрэглэгчийн холболтод нууц зүйл байхгүй бөгөөд ямар объектууд хуваалцаж байгааг харвал хоёр дахь хэрэглэгчийн асуудалд нууцлаг зүйл үлдэхгүй.
Эвдэрсэн сессээс эхэл
Эхний биш, хоёр дахь бүртгэлийн ажлын талбар луу яв. Тэнд терминал нээж, нөгөө сесс холбогдсон үед маршрутын хүснэгт болон резолверын жагсаалтыг хар. Харж байгаа бүхэн нь машинд хамаарах бөгөөд нөгөө хэрэглэгчид биш — энэ бол эхний сэжүүр.
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4ConnectivityХэрэв анхдагч маршрут одоо туннелийн интерфэйс рүү зааж байвал хоёр дахь хэрэглэгчийн урсгал ч мөн түүнийг дагана. Хэрэв резолверын жагсаалтад хувийн сервер нэмэгдсэн бол тэдний хайлт одоо туннель тасарсны дараа хүрэх боломжгүй газар руу явна. Эдгээрийн аль нь ч клиентийн алдаа биш; эдгээр нь нэг хуваалцсан сүлжээний стектийн үр дагавар.
Гурав дахь команд нь гомдлын хоёр дахь төрлийг тайлбарлана. Адаптер машиныг нийтийн сүлжээний ангилалаас хувийн ангилал руу шилжүүлэхэд профайлд хамаарах галт ханын дүрмүүд бүх бүртгэлд нэгэн зэрэг өөрчлөгддөг тул өглөө зөвшөөрөгдсөн програмууд хэн ч дүрэмд хүрэхгүйгээр үдээс хойш блоклогдож болно.
Холболт нь хэрэглэгч тус бүрт, сүлжээ тийм биш
Windows холболтын объектыг түүнийг үүсгэсэн хэрэглэгчийн профайлд хадгална. Түүний үүсгэдэг виртуал адаптер, суулгадаг маршрутууд болон бүртгэдэг DNS серверүүд нь машины хэмжээнд хамаарна. Энэхүү хуваагдал нь гарчигт дурдсан хоёр шинж тэмдгийн аль алиных нь эх сурвалж.
Мөн нэгдүгээр хэрэглэгчийг гаргахад ихэвчлэн хоёр дахь хэрэглэгчийн асуудал засагддаг шалтгааныг энэ тайлбарлана. Холболтыг устгахад адаптер болон маршрутууд хамт арилж, машины хэмжээнд байсан төлөв хэн ч холбогдохоос өмнөх байдалдаа буцаж ирнэ. Энэ нь хэрэгтэй оношлогоо: хэрэв гарснаар нөгөө бүртгэл засагдвал та эвдэрсэн профайл биш, хуваалцсан төлөвийг харж байна.
Харин хоёр дахь сессэд өөр маршрутын хүснэгт өгч чадахгүй. Хүснэгт нэг л байх бөгөөд дурын хоёр сесс түүнийг хуваалцана. Энэ нь тодорхой клиентийн хязгаарлалт биш, үйлдлийн системийн шинж чанар юм. Мөн энэ нь өөрөөр таамагласан аливаа загвар байнга бүтэлгүйтэх бөгөөд тэдгээр бүтэлгүйтэл нь хамааралгүй програмын алдаа мэт харагдана гэсэн үг.
«Хэрэглэгч солих» мөрийг юу устгасныг энэ дарааллаар ол
Хурдан хэрэглэгч солих нь огт өөр шалтгаанаар алга болсон бөгөөд түүний засвар маршруттай ямар ч холбоогүй. Дөрвөн хувилбарыг дараалан шалга, учир нь эхний хоёрыг секундын дотор буцаах боломжтой, харин сүүлийнх нь үнэтэй.
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayNameБүртгэлийн утга нь хамгийн энгийн тайлбар. Хэрэв энэ байгаа бөгөөд 1 гэж уншигдаж байвал мөрийг бодлогоор нуусан бөгөөд бүлгийн бодлогын зам нь Computer Configuration, Administrative Templates, System, Logon болон хурдан хэрэглэгч солих цэгүүдийг нуухаар нэрлэсэн тохиргоо юм. Үүнийг Not Configured болгож, gpupdate /force -аар сэргээ.
Хоёр дахь команд нь тэр бодлого локал бичигдсэн эсэх, эсвэл домэйнээс хүргэгдэж байгаа эсэхийг хэлнэ. Хэрэв тайланд ялсан GPO-той хамт гарч байвал локал утгыг засах нь дараагийн сэргээлтэд буцах түр засвар бөгөөд энэ яриа бодлогын эзэнтэй явагдах ёстой.
Гурав дахь команд нь нөгөө механизмыг хамарна. Нэвтрэх модуль суулгадаг итгэмжлэл эсвэл сүлжээний хандалтын нийлүүлэгч ажиллаж байхдаа мөрийг дарангуйлж чадах бөгөөд зарим клиент нэвтрэх дэлгэцэнд шаардлага хадгалдаг нэвтрэхээс өмнө эхлэх бүрэлдэхүүнийг ч бүртгэдэг. Тэр үйлчилгээг идэвхгүй болгох нь солихыг сэргээх боловч модулийн үзүүлэхээр байгаа нэвтрэхээс өмнөх эсвэл posture функцийг ч арилгана.
| Cause | How to confirm | Cost of the fix |
|---|---|---|
| HideFastUserSwitching policy | Registry value present and set to 1 | None; remove the policy |
| Logon module service | Service running under a vendor name | Loses pre-logon and posture behaviour |
| GINA-era assumption | Only relevant on very old Windows | Nothing to fix; the mechanism is gone |
Өөрийгөө түгжихгүйгээр өөрчил
Ажиллахдаа нэг админ сессийг нээлттэй байлга, мөн зөвхөн тэр дэлгэцээр дамжуулан хүрэх машинд нэвтрэх дэлгэцийн тохиргоог хэзээ ч бүү өөрчил. Эхлээд бусад сессүүдээс гар, өөрчлөлтийг хэрэглэ, сэргээ, дараа нь дахин ачаалах биш хэрэглэгч сольж турш.
Аль posture функцийг идэвхгүй болгосноо бичиж үлдээ. Клиентийн шинэчлэлт нэвтрэх модулийг дахин суулгах эсвэл дахин идэвхжүүлж болох бөгөөд шинж тэмдэг нь тодорхой шалтгаангүйгээр буцаж ирнэ, ихэвчлэн хэн ч өмнөх өөрчлөлтийг санахгүй байх дэмжлэгийн цонхны дунд.
Удирддаг төхөөрөмж дээр тохиргоог дээрээс хүргэдэг гэж үз. Бодлогын тайланг эхлээд шалгах нь буцаж ирэх локал засваруудаас нэг цаг хэмнэнэ. Мөн хариулт нь үгүй үед хэнээс асуухыг хэлнэ. Ялсан бодлогыг нэрлэсэн тасалбар нь хэн нэгэн аль хэдийн өөрчилсөн бүртгэлийн түлхүүрийг дүрсэлсэн тасалбараас хоёр дахин хурдан шийдэгдэнэ.
Хоёр бүртгэлийг шалгаад загвараа сонго
Үр дүнг хоёр хэрэглэгчийн мэдрэх дарааллаар нь шалга. Нэгдүгээр бүртгэл салгаатай байхад хоёр дахь бүртгэлээр нэвтэрч, хэвийн хандалтыг батал, дараа нь нэгдүгээр бүртгэлийн туннелийг холбож, хоёр дахь бүртгэлийн хүлээгдэж буй зам өмнөх шигээ хэвээр байгаа эсэхийг батал.
qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443Хэрэв хоёр бүртгэлд нэгэн зэрэг өөр өөр сүлжээний зам үнэхээр хэрэгтэй бол шударга хариулт нь хоёр машин, хоёр виртуал машин эсвэл зөвхөн нэг зам шаарддаг бодлого юм. Хуваалцсан холболт дээрх хуваагдсан туннель юу хөдөлж байгааг нарийсгаж чадна, гэхдээ сесс бүрт өөрийн хүснэгтийг өгч чадахгүй. Гурван оролдлогын дараа олж мэдэхээс эрт хүлээн зөвшөөрөх нь хямд.
Энэ бол эргэлдэж нөхөөс хийх биш, тодорхойгоор гаргах шийдвэр. Нэг маршрутын хүснэгт, нэг резолверын жагсаалт, нэг галт ханын профайл: бусад бүхэн үүнээс үүдэлтэй бөгөөд үүнийг хүндэтгэсэн засвар ирэх сард ч ажиллана.