Dlaczego logowanie przez VPN się wlecze: profil, przekierowanie czy pliki offline

Laptop loguje się w biurze w około czterdzieści sekund, a w domu zajmuje to minuty, i nikt w międzyczasie nie zmienił zasad. Zmieniła się ścieżka sieciowa pod trzema funkcjami, które wyglądają podobnie, a zachowują się różnie. Profil mobilny ładuje stan rejestru i foldery profilu, przekierowanie folderów wskazuje folder powłoki na udział serwera, a pliki trybu offline trzymają pamięć podręczną odpowiednich danych sieciowych. Wszystkie trzy mogą dodać czas do logowania, i zwykle odpowiada tylko jedna z nich.

Trzy oczekiwania i trzech różnych odpowiedzialnych

To profil mobilny sprawia, że ustawienia użytkownika podążają za osobą między uczestniczącymi komputerami, a ładowanie odbywa się wcześnie w sesji. Gałąź rejestru użytkownika i foldery profilu są kopiowane lub scalane przy logowaniu, a następnie zapisywane z powrotem przy wylogowaniu. Ta praca jest synchroniczna, dlatego wolna ścieżka do udziału profilu jest odczuwana jako wolny pulpit, a nie jako wolne kopiowanie plików.

Przekierowanie folderów to inny mechanizm. Przenosi wybrane foldery powłoki, Dokumenty to typowy przykład, do obsługiwanej lokalizacji sieciowej i zostawia je tam. Profil może wtedy pozostać mały, bo dane nie są w nim, a koszt przenosi się na moment, w którym powłoka lub aplikacja dotknie tego folderu.

Pliki trybu offline dodają lokalną pamięć podręczną oraz synchronizację dla odpowiednich plików sieciowych. Odpowiadają na inne pytanie, mianowicie co się dzieje, gdy serwer jest nieosiągalny, i mogą tracić czas na synchronizację przy logowaniu i wylogowaniu, gdy pamięć podręczna jest nieaktualna. To właśnie traktowanie tych trzech rzeczy jako jednego ustawienia tworzy zasady, które są wolne w jedną stronę i bezużyteczne w drugą.

Zmierz, co naprawdę czeka

Zacznij od odczytania, gdzie mieszka profil i czy jest ładowany ze ścieżki serwera. Następnie zmierz czas listowania katalogu na każdym udziale, którego dotyka sesja, ponieważ udział odpowiadający w milisekundach w sieci lokalnej może potrzebować sekund przez tunel i zajęty serwer plików.

Te dwa fakty zawężają problem szybciej niż jakikolwiek audyt zasad, a do ich zebrania nie trzeba zmieniać konfiguracji. Uruchom je na dotkniętym laptopie, a nie na serwerze stojącym obok udziału.

Get-CimInstance Win32_UserProfile | Select-Object LocalPath, Loaded, SID
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\*' | Select-Object ProfileImagePath
Measure-Command { Get-ChildItem '\\fs01.corp.internal\profiles\a.singh' | Out-Null }

Jeśli ścieżka profilu jest lokalna i tylko jeden przekierowany folder wskazuje serwer, ładowanie profilu nie jest twoim oczekiwaniem, cokolwiek mówi zgłoszenie do pomocy technicznej. Jeśli ścieżka profilu jest zdalna, a listowanie trwa sekundy, logowanie czeka na ten udział, a poprawka dotyczy ścieżki lub rozmiaru profilu, a nie samego pulpitu. Czytaj liczby w tej kolejności, a spór zwykle kończy się właśnie tam.

Połączenie pojawia się po rozpoczęciu oczekiwania

Tunel użytkownika uruchamiany z pulpitu pojawia się długo po załadowaniu profilu, więc nie może pomóc etapowi, który był wolny. Windows zauważa niedostępną ścieżkę, przechodzi na buforowane poświadczenia i profil lokalny, i sesja w końcu się otwiera. Dlatego ten sam laptop może potrzebować minut przy pierwszym logowaniu w domu i sekund przy drugim, gdy istnieje buforowany profil. Oczekiwanie jest realne, ale połączenie, którego potrzebuje, nie istnieje w tym momencie.

Naprawa oznacza przesunięcie połączenia wcześniej, a nie dostrajanie profilu. Tunel maszyny lub połączenie przed logowaniem z uwierzytelnianiem komputera ustanawia ścieżkę, zanim użytkownik się zaloguje, i wymaga własnego cyklu życia certyfikatu oraz własnych reguł zapory. Buforowane poświadczenia to druga połowa projektu i działają tylko dla kont, które logowały się wcześniej.

Testuj sekwencję, a nie komponenty. Wyloguj się całkowicie, uruchom tunel tak, jak zrobiłby to użytkownik zdalny, i zmierz logowanie od prośby o poświadczenia do użytecznego pulpitu.

Trzymaj dokumenty poza profilem

Udział profilu to złe miejsce na duże kolekcje dokumentów, i przewodnik wdrażania profili mobilnych firmy Microsoft właśnie dlatego trzyma osobno magazyn profilu i udziały przekierowanych folderów. Profil noszący folder Dokumenty o rozmiarze kilku gigabajtów będzie wolny przy każdym logowaniu i wylogowaniu, a rozmiar po cichu rośnie, dopóki ktoś go nie zmierzy.

Przekieruj foldery, które trzymają dane, a profilowi zostaw ustawienia. Wyklucz pamięci podręczne, które można odbudować, jak pamięci podręczne przeglądarek i dane tymczasowe aplikacji, ponieważ ich przenoszenie dodaje czasu i nie zmienia niczego, co użytkownik widzi. Trzymaj dane skrzynki pocztowej i inne magazyny aplikacji w lokalizacji obsługiwanej przez aplikację, a nie na ścieżce mobilnej.

Nie udostępniaj udziału profilu w trybie offline. Pliki trybu offline należą do odpowiednich udziałów danych, a buforowana gałąź profilu, która synchronizuje się w obu kierunkach, to raport o uszkodzeniu, który czeka, aż się zdarzy.

Sprawdź wszystkie cztery scenariusze, zanim uznasz to za naprawione

Szybkie logowanie w biurze dowodzi bardzo niewiele. Projekt musi przetrwać dostęp z biura, pracę z domu przez tunel, pracę bez połączenia i powrót do biura, bo właśnie w czwartym przypadku pojawiają się konflikty synchronizacji. Zmierz te same cztery przypadki na jednym kontrolowanym koncie i z prawdziwymi aplikacjami, i zapisz liczby.

Zbierz dziennik usługi profili i wynikowy zestaw zasad z dotkniętej sesji, a nie ze swojej stacji administracyjnej.

Get-WinEvent -LogName 'Microsoft-Windows-User Profile Service/Operational' -MaxEvents 30
gpresult /r /scope:user
Measure-Command { Get-ChildItem '\\fs01.corp.internal\users\a.singh\Documents' | Out-Null }

Porównaj te czasy z podstawą w biurze i z rozmiarem tego, co jest przesyłane. Logowanie, które nawet z małym profilem i szybkim udziałem trwa minutę, nie jest problemem profilu, a następnym miejscem, na które trzeba spojrzeć, jest przetwarzanie zasad grupy albo skrypt logowania, który czeka na sieć. Jeśli różnica jest właśnie tam, profil nigdy nie był problemem. Potwierdź, że niezsynchronizowana praca jest zachowana, zanim zmienisz zasady folderów lub wyczyścisz pamięć podręczną, ponieważ synchronizacja i odtwarzalna kopia zapasowa to różne gwarancje.