Éin VPN, to Windows-kontoar: kvifor den andre økta blir broten

To personar er innlogga, ein av dei koplar til bedriftstunnelen, og nettlesaren til den andre kontoen sluttar å lasta sider som var i orden for eit minutt sidan. På same maskin har også Bytt brukar-punktet forsvunne frå innloggingsskjermen, så den andre personen kjem ikkje tilbake til si eiga økt. Å følgja dette frå den andre økta og utover er den raskaste måten å forstå det på, fordi ingenting ved tilkoplinga til den første brukaren er skjult, og ingenting ved problemet til den andre brukaren er mystisk når du ser kva objekt som blir delte.

Start i økta som vart øydelagd

Gå til skrivebordet til den andre kontoen, ikkje den første. Opne ein terminal der og sjå på rutetabellen og resolverlista medan den andre økta er tilkopla. Alt du ser høyrer til maskinen, ikkje den andre brukaren, og det er det første sporet.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Viss standardruta no peikar på tunellgrensesnittet, følgjer trafikken til den andre brukaren ho også. Viss resolverlista har fått ein privat server, går oppslaga deira no ein stad dei ikkje kan nå når tunnelen fell. Ingen av desse er ein feil i klienten; dei er konsekvensane av éin delt nettverksstakk.

Den tredje kommandoen forklarer ein annan klasse klager. Når ein adapter byter maskinen frå offentleg til privat nettverkskategori, endrar brannmurreglane knytte til ein profil seg for alle kontoar samstundes, så program som var tillatne om morgonen kan bli blokkerte om ettermiddagen utan at nokon rører ein regel.

Tilkoplinga er per brukar, nettverket er det ikkje

Windows held tilkoplingsobjektet i profilen til brukaren som oppretta det. Den virtuelle adapteren ho lagar, rutene ho installerer og DNS-tenarane ho registrerer er maskinomfattande. Den delinga er kjelda til begge symptoma i tittelen.

Det forklarer også kvifor det vanlegvis fiksar den andre å logga den første brukaren ut. Å fjerna tilkoplinga fjernar adapteren og rutene med henne, og maskinomfattande tilstand går tilbake til slik han var før nokon kopla til. Det er ein nyttig diagnose: viss utlogging reparerer den andre kontoen, ser du på delt tilstand og ikkje på ein øydelagd profil.

Det du ikkje kan, er å gje den andre økta ein annan rutetabell. Det finst éin tabell, og to økter deler han. Det er ein eigenskap ved operativsystemet og ikkje ei avgrensing i ein bestemd klient. Det tyder også at eitkvart design som føresett noko anna vil halda fram med å mislukkast, og feila vil sjå ut som urelaterte programfeil.

Finn ut kva som fjerna Bytt brukar, i denne rekkjefølgja

Hurtig brukarbytte forsvann av ein heilt annan grunn, og løysinga har ingenting med ruting å gjera. Gå gjennom dei fire kandidatane i rekkjefølgje, fordi dei to første kan tilbakestillast på sekundar og dei seinare har ein kostnad.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Registerverdien er den enklaste forklaringa. Viss han finst og les 1, er punktet skjult av policy, og gruppepolicybanen er Computer Configuration, Administrative Templates, System, Logon, og innstillinga som er namngjeven for å skjula inngangspunkta for hurtig brukarbytte. Set henne til Not Configured og oppdater med gpupdate /force.

Den andre kommandoen fortel deg om den policyen blir levert frå eit domene i staden for å vera skriven lokalt. Viss han viser seg i rapporten med ein vinnande GPO, er redigering av den lokale verdien ein mellombels reparasjon som blir tilbakestilt ved neste oppdatering, og samtalen høyrer til den som eig policyen.

Den tredje kommandoen dekkjer den andre mekanismen. Ein leverandør av legitimasjon eller nettverkstilgang som installerer ein innloggingsmodul kan undertrykkja punktet medan han køyrer, og nokre klientar registrerer også ein komponent som startar før innlogging og held eit krav på innloggingsskjermen. Å deaktivera den tenesta gjenopprettar byttinga, og det fjernar også funksjonane før innlogging eller posture som modulen finst for å tilby.

Endre det utan å låsa deg sjølv ute

Hald éi administrativ økt open medan du arbeider, og gjer aldri ei endring på innloggingsskjermen på ei maskin du berre når gjennom den skjermen. Logg dei andre øktene ut først, bruk endringa, oppdater, og test deretter ved å byta brukar i staden for ved å starta på nytt.

Noter kva posture-funksjonar du deaktiverte. Ein klientoppdatering kan installera på nytt eller aktivera innloggingsmodulen igjen, og symptomet kjem tilbake utan openberr årsak, vanlegvis midt i eit støttevindauge når ingen hugsar den tidlegare endringa.

På ein administrert eining, gå ut frå at innstillinga blir levert ovanfrå. Å sjekka policyrapporten først sparar ein time med lokale redigeringar som blir tilbakestilte. Det fortel deg også kven du skal spørja når svaret er nei. Ei sak som namngjev den vinnande policyen blir løyst dobbelt så raskt som ei som skildrar ein registernøkkel nokon allereie har endra.

Stadfest begge kontoane og vel modellen

Test resultatet i den rekkjefølgja dei to brukarane opplever det. Logg inn som den andre kontoen medan den første er fråkopla, stadfest normal tilgang, kople deretter til tunnelen til den første kontoen og stadfest at den venta ruta til den andre kontoen framleis er den du hadde tenkt.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Viss begge kontoane verkeleg treng ulike nettverksruter samstundes, er det ærlege svaret to maskinar, to virtuelle maskinar eller ein policy der berre éi rute er påkravd. Ein splitta tunnel på den delte tilkoplinga kan snevra inn kva som flyttar seg, men han kan ikkje gje kvar økt sin eigen tabell. Å koma dit tidleg er billegare enn å oppdaga det etter tre freista omvegar.

Det er avgjerda som må takast eksplisitt i staden for å lappast rundt. Éin rutetabell, éi resolverliste, éin brannmurprofil: alt anna følgjer av det, og reparasjonen som respekterer det vil framleis verka neste månad.