एक VPN, दोन Windows खाती: दुसरे सत्र का बिघडते
रूट्स व रिझॉल्व्हर मशीन-व्यापी आहेत, त्यामुळे एका खात्याचे टनेल इतरांचा मार्ग बदलते. नंतर 'वापरकर्ता बदला' पर्याय कोणत्या धोरणाने किंवा लॉगॉन मॉड्यूलने काढला ते शोधा.
दोन लोक साइन इन आहेत, त्यांपैकी एक जण कॉर्पोरेट टनेलला जोडतो, आणि दुसऱ्या खात्याचा ब्राउझर एका मिनिटापूर्वी व्यवस्थित उघडणारी पाने लोड करणे थांबवतो। त्याच मशीनवर साइन इन स्क्रीनवरून 'वापरकर्ता बदला' हा पर्यायही गायब झाला आहे, त्यामुळे दुसरा माणूस आपल्या सत्रात परत येऊ शकत नाही। हे दुसऱ्या सत्रातून बाहेरच्या दिशेने पाहणे हा ते समजून घेण्याचा सर्वात जलद मार्ग आहे, कारण पहिल्या वापरकर्त्याच्या कनेक्शनमध्ये काहीही लपलेले नाही आणि कोणत्या वस्तू सामायिक आहेत हे दिसल्यावर दुसऱ्या वापरकर्त्याच्या समस्येत काहीही गूढ राहत नाही।
ज्या सत्रात बिघाड झाला तिथून सुरुवात करा
पहिल्या नाही, दुसऱ्या खात्याच्या डेस्कटॉपवर जा। तिथे टर्मिनल उघडा आणि दुसरे सत्र जोडलेले असताना राउटिंग टेबल व रिझॉल्व्हर यादी पाहा। तुम्हाला दिसणारे सर्व काही मशीनचे आहे, दुसऱ्या वापरकर्त्याचे नाही — हाच पहिला सुगावा।
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivityजर डीफॉल्ट रूट आता टनेल इंटरफेसकडे दाखवत असेल, तर दुसऱ्या वापरकर्त्याचा रहदारीही त्याच्यामागे जातो। जर रिझॉल्व्हर यादीत खाजगी सर्व्हर आला असेल, तर त्यांचे शोध आता टनेल तुटल्यावर पोहोचता येणार नाही अशा ठिकाणी जातात। यापैकी काहीही क्लायंटमधील बग नाही; हे एका सामायिक नेटवर्क स्टॅकचे परिणाम आहेत।
तिसरा आदेश तक्रारींचा दुसरा प्रकार स्पष्ट करतो। अ‍ॅडॉप्टर मशीनचे नेटवर्क वर्ग सार्वजनिकवरून खाजगीत बदलते तेव्हा प्रोफाइलशी जोडलेले फायरवॉल नियम सर्व खात्यांसाठी एकाच वेळी बदलतात, त्यामुळे सकाळी परवानगी असलेली अ‍ॅप्लिकेशन्स कोणीही नियमाला हात न लावता दुपारी अडवली जाऊ शकतात।
कनेक्शन प्रत्येक वापरकर्त्याचे, नेटवर्क तसे नाही
Windows कनेक्शन ऑब्जेक्ट ते तयार करणाऱ्या वापरकर्त्याच्या प्रोफाइलमध्ये ठेवते। ते तयार करणारा व्हर्च्युअल अ‍ॅडॉप्टर, बसवलेले रूट्स आणि नोंदवलेले DNS सर्व्हर संपूर्ण मशीनच्या व्याप्तीचे आहेत। हे विभाजन शीर्षकातील दोन्ही लक्षणांचे मूळ आहे।
पहिल्या वापरकर्त्याला साइन आउट केल्याने सहसा दुसऱ्याची समस्या का सुटते हेही यामुळे स्पष्ट होते। कनेक्शन काढल्यास अ‍ॅडॉप्टर व रूट्सही निघून जातात, आणि मशीन-व्यापी स्थिती कोणी जोडणी करण्यापूर्वीच्या स्थितीत परत जाते। हे उपयुक्त निदान आहे: साइन आउट केल्याने दुसरे खाते सुधारले तर तुम्ही बिघडलेले प्रोफाइल नाही, तर सामायिक स्थिती पाहत आहात।
तुम्ही जे करू शकत नाही ते म्हणजे दुसऱ्या सत्राला वेगळे राउटिंग टेबल देणे। टेबल एकच आहे, आणि कोणतीही दोन सत्रे ते सामायिक करतात। हे विशिष्ट क्लायंटची मर्यादा नसून ऑपरेटिंग सिस्टमचा गुणधर्म आहे। याचा अर्थ असाही की अन्यथा गृहीत धरणारी कोणतीही रचना सतत अयशस्वी होईल, आणि ते अयशस्वी होणे संबंध नसलेल्या अ‍ॅप्लिकेशन बगसारखे दिसेल।
'वापरकर्ता बदला' पर्याय कशाने काढला हे या क्रमाने शोधा
जलद वापरकर्ता बदल पूर्णपणे वेगळ्या कारणाने गायब झाला आहे, आणि त्याच्या उपायाचा राउटिंगशी काहीही संबंध नाही। चार पर्याय क्रमाने तपासा, कारण पहिले दोन काही सेकंदात पूर्वस्थितीत आणता येतात, तर नंतरच्या पर्यायांना किंमत मोजावी लागते।
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayNameरेजिस्ट्री मूल्य हे सर्वात सोपे स्पष्टीकरण आहे। ते अस्तित्वात असेल आणि 1 असे वाचले तर पर्याय धोरणाने लपवलेला आहे, आणि ग्रुप पॉलिसीचा मार्ग म्हणजे Computer Configuration, Administrative Templates, System, Logon आणि जलद वापरकर्ता बदलाचे प्रवेशबिंदू लपवण्यासाठी नाव दिलेली सेटिंग। ते Not Configured वर ठेवा आणि gpupdate /force ने रिफ्रेश करा।
दुसरा आदेश सांगतो की ते धोरण स्थानिक पातळीवर लिहिलेले नसून डोमेनमधून दिले जात आहे का। ते अहवालात जिंकलेल्या GPO सह दिसत असेल, तर स्थानिक मूल्य संपादित करणे हा पुढील रिफ्रेशला परत जाणारा तात्पुरता उपाय आहे, आणि ही चर्चा धोरणाच्या मालकाशी करावी।
तिसरा आदेश दुसऱ्या यंत्रणेला समाविष्ट करतो। लॉगॉन मॉड्यूल बसवणारा ओळखपत्र किंवा नेटवर्क प्रवेश पुरवठादार ते चालू असताना पर्याय दाबू शकतो, आणि काही क्लायंट साइन इन स्क्रीनवर दावा टिकवणारा लॉगिनपूर्व घटकही नोंदवतात। ती सेवा बंद केल्याने बदल पुन्हा सुरू होतो, पण मॉड्यूल ज्या लॉगिनपूर्व किंवा posture कार्यांसाठी आहे तीही निघून जातात।
| Cause | How to confirm | Cost of the fix |
|---|---|---|
| HideFastUserSwitching policy | Registry value present and set to 1 | None; remove the policy |
| Logon module service | Service running under a vendor name | Loses pre-logon and posture behaviour |
| GINA-era assumption | Only relevant on very old Windows | Nothing to fix; the mechanism is gone |
स्वतःला बंदिस्त न करता ते बदला
काम करताना एक प्रशासकीय सत्र उघडे ठेवा, आणि केवळ त्या स्क्रीनमधून पोहोचता येणाऱ्या मशीनवर साइन इन स्क्रीनचा बदल कधीही करू नका। आधी इतर सत्रांमधून साइन आउट करा, बदल लागू करा, रिफ्रेश करा, आणि नंतर रीबूटऐवजी वापरकर्ते बदलून चाचणी करा।
तुम्ही कोणती posture कार्ये बंद केली ते नोंदवा। क्लायंट अद्ययावत लॉगॉन मॉड्यूल पुन्हा बसवू किंवा पुन्हा सुरू करू शकते, आणि लक्षण स्पष्ट कारणाशिवाय परत येते, सहसा कोणालाही पूर्वीचा बदल आठवत नसताना सपोर्ट विंडोच्या मध्यात।
व्यवस्थापित उपकरणावर सेटिंग वरूनच येते असे गृहीत धरा। धोरण अहवाल आधी तपासल्याने परत जाणाऱ्या स्थानिक संपादनांमधून एक तास वाचतो। उत्तर नाही असेल तेव्हा कोणाला विचारायचे हेही ते सांगते। जिंकलेल्या धोरणाचे नाव देणारे तिकीट, कोणी आधीच बदललेली रेजिस्ट्री की वर्णन करणाऱ्या तिकिटापेक्षा दुप्पट वेगाने सुटते।
दोन्ही खाती तपासा आणि मॉडेल निवडा
दोन्ही वापरकर्त्यांना ज्या क्रमाने अनुभव येतो त्याच क्रमाने निकालाची चाचणी करा। पहिले खाते जोडलेले नसताना दुसऱ्या खात्याने साइन इन करा, सामान्य प्रवेश पुष्टी करा, नंतर पहिल्या खात्याचे टनेल जोडा आणि दुसऱ्या खात्याचा अपेक्षित मार्ग अजूनही तुम्ही ठरवलेलाच आहे याची पुष्टी करा।
qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443दोन्ही खात्यांना एकाच वेळी वेगवेगळे नेटवर्क मार्ग खरोखर आवश्यक असतील, तर प्रामाणिक उत्तर म्हणजे दोन मशीन, दोन व्हर्च्युअल मशीन, किंवा केवळ एकच मार्ग आवश्यक असलेले धोरण। सामायिक कनेक्शनवरील स्प्लिट टनेल काय जाते ते अरुंद करू शकते, पण प्रत्येक सत्राला स्वतःचे टेबल देऊ शकत नाही। तीन प्रयत्नांनंतर हे शोधण्यापेक्षा लवकर स्वीकारणे स्वस्त आहे।
हा आजूबाजूला पॅच करण्याऐवजी स्पष्टपणे घ्यायचा निर्णय आहे। एक राउटिंग टेबल, एक रिझॉल्व्हर यादी, एक फायरवॉल प्रोफाइल: बाकी सर्व त्यातूनच येते, आणि त्याचा आदर करणारा उपाय पुढच्या महिन्यातही चालेल।