Satu VPN, dua akaun Windows: mengapa sesi lain rosak

Dua orang telah log masuk, salah seorang daripada mereka menyambung ke tunel korporat, dan pelayar akaun yang satu lagi berhenti memuatkan halaman yang elok seminit lalu. Pada mesin yang sama, entri Tukar pengguna juga telah hilang daripada skrin log masuk, jadi orang kedua tidak dapat kembali ke sesinya sendiri. Meneliti perkara ini bermula dari sesi kedua ke luar ialah cara terpantas untuk memahaminya, kerana tiada apa pun tentang sambungan pengguna pertama yang tersembunyi, dan tiada apa pun tentang masalah pengguna kedua yang misteri setelah anda melihat objek mana yang dikongsi.

Mulakan dalam sesi yang rosak

Pergi ke desktop akaun kedua, bukan yang pertama. Buka terminal di sana dan lihat jadual penghalaan serta senarai penyelesai semasa sesi lain bersambung. Semua yang anda lihat milik mesin, bukan milik pengguna lain, dan itulah petunjuk pertama.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Jika laluan lalai kini menunjuk ke antara muka tunel, trafik pengguna kedua juga mengikutinya. Jika senarai penyelesai telah mendapat pelayan persendirian, carian mereka kini pergi ke tempat yang tidak dapat dicapai apabila tunel terputus. Kedua-duanya bukan pepijat dalam klien; ia adalah akibat daripada satu tindanan rangkaian yang dikongsi.

Arahan ketiga menerangkan kelas aduan yang kedua. Apabila penyesuai menukar mesin daripada kategori rangkaian awam kepada persendirian, peraturan tembok api yang terikat pada profil berubah untuk semua akaun serentak, jadi aplikasi yang dibenarkan pada waktu pagi boleh disekat pada sebelah petang tanpa sesiapa menyentuh peraturan.

Sambungan adalah bagi setiap pengguna, rangkaian tidak

Windows menyimpan objek sambungan dalam profil pengguna yang menciptanya. Penyesuai maya yang dihasilkannya, laluan yang dipasangnya dan pelayan DNS yang didaftarkannya adalah merentas seluruh mesin. Pemisahan itulah punca kedua-dua gejala dalam tajuk.

Ia juga menjelaskan mengapa log keluar pengguna pertama biasanya membaiki masalah pengguna kedua. Membuang sambungan membuang penyesuai dan laluan bersamanya, dan keadaan seluruh mesin kembali seperti sebelum sesiapa mendail masuk. Itu diagnostik yang berguna: jika log keluar membaiki akaun lain, anda sedang melihat keadaan yang dikongsi dan bukan profil yang rosak.

Apa yang anda tidak boleh lakukan ialah memberikan sesi kedua jadual penghalaan yang berbeza. Jadualnya hanya satu, dan mana-mana dua sesi berkongsinya. Itu sifat sistem pengendalian, bukan had klien tertentu. Ia juga bermakna mana-mana reka bentuk yang menganggap sebaliknya akan terus gagal, dan kegagalan itu akan kelihatan seperti pepijat aplikasi yang tidak berkaitan.

Cari apa yang membuang entri Tukar pengguna, dalam susunan ini

Penukaran pengguna pantas hilang atas sebab yang sama sekali berbeza, dan pembaikannya tidak ada kaitan dengan penghalaan. Teliti empat calon mengikut susunan, kerana dua yang pertama boleh diterbalikkan dalam beberapa saat dan yang kemudian ada kosnya.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Nilai registri ialah penjelasan paling mudah. Jika ia wujud dan membaca 1, entri itu disembunyikan oleh dasar, dan laluan Dasar Kumpulan ialah Computer Configuration, Administrative Templates, System, Logon, dan tetapan yang dinamakan untuk menyembunyikan titik masuk penukaran pengguna pantas. Tetapkan kepada Not Configured dan muat semula dengan gpupdate /force.

Arahan kedua memberitahu anda sama ada dasar itu dihantar dari domain dan bukan ditulis secara tempatan. Jika ia muncul dalam laporan dengan GPO yang menang, menyunting nilai tempatan ialah pembaikan sementara yang akan berbalik pada muat semula seterusnya, dan perbualan itu perlu dibuat dengan pemilik dasar.

Arahan ketiga merangkumi mekanisme yang satu lagi. Penyedia kelayakan atau akses rangkaian yang memasang modul log masuk boleh menekan entri semasa ia berjalan, dan sesetengah klien juga mendaftarkan komponen sebelum log masuk yang mengekalkan tuntutan pada skrin log masuk. Melumpuhkan perkhidmatan itu memulihkan penukaran, dan ia juga membuang fungsi pra-log masuk atau posture yang modul itu wujud untuk menyediakan.

Tukarkannya tanpa mengunci diri sendiri

Kekalkan satu sesi pentadbiran terbuka semasa anda bekerja, dan jangan sekali-kali membuat perubahan skrin log masuk pada mesin yang hanya boleh dicapai melalui skrin itu. Log keluar sesi lain dahulu, gunakan perubahan, muat semula, kemudian uji dengan menukar pengguna dan bukan dengan but semula.

Catat fungsi posture yang anda lumpuhkan. Kemas kini klien boleh memasang semula atau mengaktifkan semula modul log masuk, dan gejala itu kembali tanpa sebab yang jelas, biasanya di tengah-tengah tetingkap sokongan apabila tiada siapa mengingati perubahan terdahulu.

Pada peranti terurus, anggap tetapan itu dihantar dari atas. Menyemak laporan dasar dahulu menjimatkan satu jam suntingan tempatan yang berbalik. Ia juga memberitahu siapa untuk ditanya apabila jawapannya tidak. Tiket yang menamakan dasar yang menang diselesaikan dua kali lebih pantas daripada tiket yang menerangkan kunci registri yang sudah diubah oleh seseorang.

Sahkan kedua-dua akaun dan pilih model

Uji hasil mengikut susunan yang dialami oleh kedua-dua pengguna. Log masuk sebagai akaun kedua semasa yang pertama terputus, sahkan akses normal, kemudian sambungkan tunel akaun pertama dan sahkan bahawa laluan jangkaan akaun kedua masih seperti yang anda niatkan.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Jika kedua-dua akaun benar-benar memerlukan laluan rangkaian berbeza pada masa yang sama, jawapan jujurnya ialah dua mesin, dua mesin maya, atau dasar yang hanya memerlukan satu laluan. Tunel terbelah pada sambungan yang dikongsi boleh menyempitkan apa yang bergerak, tetapi ia tidak boleh memberi setiap sesi jadualnya sendiri. Menyedari awal lebih murah daripada menemuinya selepas tiga percubaan mengakali.

Itulah keputusan yang perlu dibuat secara jelas dan bukan ditampal di sekelilingnya. Satu jadual penghalaan, satu senarai penyelesai, satu profil tembok api: segala-galanya yang lain mengikut daripada itu, dan pembaikan yang menghormatinya akan masih berfungsi bulan depan.