Én VPN, to Windows-kontoer: hvorfor den andre økten brytes

To personer er innlogget, en av dem kobler til bedriftstunnelen, og nettleseren til den andre kontoen slutter å laste sider som var i orden for et minutt siden. På samme maskin har også Bytt bruker-punktet forsvunnet fra innloggingsskjermen, så den andre personen kommer ikke tilbake til sin egen økt. Å følge dette fra den andre økten og utover er den raskeste måten å forstå det på, fordi ingenting ved den første brukerens tilkobling er skjult, og ingenting ved den andre brukerens problem er mystisk når du ser hvilke objekter som deles.

Start i økten som ble ødelagt

Gå til den andre kontoens skrivebord, ikke den førstes. Åpne en terminal der og se på rutetabellen og resolverlisten mens den andre økten er tilkoblet. Alt du ser tilhører maskinen, ikke den andre brukeren, og det er det første sporet.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Hvis standardruten nå peker på tunellgrensesnittet, følger den andre brukerens trafikk den også. Hvis resolverlisten har fått en privat server, går oppslagene deres nå et sted de ikke kan nå når tunnelen faller. Ingen av disse er en feil i klienten; de er konsekvensene av én delt nettverksstakk.

Den tredje kommandoen forklarer en annen klasse klager. Når en adapter bytter maskinen fra offentlig til privat nettverkskategori, endres brannmurreglene knyttet til en profil for alle kontoer samtidig, så programmer som var tillatt om morgenen kan bli blokkert om ettermiddagen uten at noen rører en regel.

Tilkoblingen er per bruker, nettverket er det ikke

Windows holder tilkoblingsobjektet i profilen til brukeren som opprettet det. Den virtuelle adapteren den lager, rutene den installerer og DNS-serverne den registrerer er maskinomfattende. Den delingen er kilden til begge symptomene i tittelen.

Det forklarer også hvorfor det vanligvis fikser den andre å logge den første brukeren ut. Å fjerne tilkoblingen fjerner adapteren og rutene med den, og maskinomfattende tilstand går tilbake til slik den var før noen koblet til. Det er en nyttig diagnose: hvis utlogging reparerer den andre kontoen, ser du på delt tilstand og ikke på en ødelagt profil.

Det du ikke kan gjøre, er å gi den andre økten en annen rutetabell. Det finnes én tabell, og to økter deler den. Det er en egenskap ved operativsystemet og ikke en begrensning i en bestemt klient. Det betyr også at ethvert design som antar noe annet vil fortsette å feile, og feilene vil se ut som urelaterte programfeil.

Finn ut hva som fjernet Bytt bruker, i denne rekkefølgen

Hurtig brukerbytte forsvant av en helt annen grunn, og løsningen har ingenting med ruting å gjøre. Gå gjennom de fire kandidatene i rekkefølge, fordi de to første kan tilbakestilles på sekunder og de senere har en kostnad.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Registerverdien er den enkleste forklaringen. Hvis den finnes og leser 1, er punktet skjult av policy, og gruppepolicybanen er Computer Configuration, Administrative Templates, System, Logon, og innstillingen som er navngitt for å skjule inngangspunkter for hurtig brukerbytte. Sett den til Not Configured og oppdater med gpupdate /force.

Den andre kommandoen forteller deg om den policyen leveres fra et domene i stedet for å være skrevet lokalt. Hvis den vises i rapporten med en vinnende GPO, er redigering av den lokale verdien en midlertidig reparasjon som tilbakestilles ved neste oppdatering, og samtalen hører til den som eier policyen.

Den tredje kommandoen dekker den andre mekanismen. En legitimasjons- eller nettverkstilgangsleverandør som installerer en innloggingsmodul kan undertrykke punktet mens den kjører, og noen klienter registrerer også en komponent som starter før innlogging og holder et krav på innloggingsskjermen. Å deaktivere den tjenesten gjenoppretter byttingen, og det fjerner også funksjonene før innlogging eller posture som modulen finnes for å tilby.

Endre det uten å låse deg selv ute

Hold én administrativ økt åpen mens du arbeider, og gjør aldri en endring på innloggingsskjermen på en maskin du bare når gjennom den skjermen. Logg de andre øktene ut først, bruk endringen, oppdater, og test deretter ved å bytte bruker i stedet for ved å starte på nytt.

Noter hvilke posture-funksjoner du deaktiverte. En klientoppdatering kan installere på nytt eller aktivere innloggingsmodulen igjen, og symptomet kommer tilbake uten åpenbar årsak, vanligvis midt i et støttevindu når ingen husker den tidligere endringen.

På en administrert enhet, anta at innstillingen leveres ovenfra. Å sjekke policyrapporten først sparer en time med lokale redigeringer som tilbakestilles. Det forteller deg også hvem du skal spørre når svaret er nei. En sak som navngir den vinnende policyen løses dobbelt så raskt som en som beskriver en registernøkkel noen allerede har endret.

Verifiser begge kontoene og velg modellen

Test resultatet i den rekkefølgen de to brukerne opplever det. Logg inn som den andre kontoen mens den første er frakoblet, bekreft normal tilgang, koble deretter til den første kontoens tunnel og bekreft at den forventede ruten til den andre kontoen fortsatt er den du hadde tenkt.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Hvis begge kontoene virkelig trenger ulike nettverksruter samtidig, er det ærlige svaret to maskiner, to virtuelle maskiner eller en policy der bare én rute er påkrevd. En splittet tunnel på den delte tilkoblingen kan snevre inn hva som flyttes, men den kan ikke gi hver økt sin egen tabell. Å komme dit tidlig er billigere enn å oppdage det etter tre forsøkte omveier.

Det er beslutningen som må tas eksplisitt i stedet for å lappes rundt. Én rutetabell, én resolverliste, én brannmurprofil: alt annet følger av det, og reparasjonen som respekterer det vil fortsatt virke neste måned.