Un VPN, două conturi Windows: de ce se strică cealaltă sesiune

Două persoane sunt conectate, una dintre ele se conectează la tunelul companiei, iar browserul celeilalte conturi nu mai încarcă pagini care funcționau acum un minut. Pe aceeași mașină, intrarea Comută utilizatorul a dispărut și ea de pe ecranul de conectare, așa că a doua persoană nu se mai poate întoarce în propria sesiune. Urmărirea acestui lucru din a doua sesiune spre exterior este cea mai rapidă cale de a-l înțelege, pentru că nimic din conexiunea primului utilizator nu este ascuns, iar nimic din problema celui de-al doilea utilizator nu rămâne misterios după ce vezi ce obiecte sunt partajate.

Începe cu sesiunea care s-a stricat

Mergi la desktopul celei de-a doua conturi, nu al primei. Deschide acolo un terminal și uită-te la tabelul de rutare și la lista de resolveri în timp ce cealaltă sesiune este conectată. Tot ce vezi aparține mașinii, nu celuilalt utilizator, și acesta este primul indiciu.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Dacă ruta implicită indică acum interfața tunelului, traficul celui de-al doilea utilizator o urmează și el. Dacă lista de resolveri a primit un server privat, căutările lor merg acum într-un loc unde nu pot ajunge după ce tunelul cade. Niciuna dintre acestea nu este o eroare a clientului; sunt consecințele unui singur stivă de rețea partajat.

A treia comandă explică o a doua clasă de reclamații. Când un adaptor comută mașina dintr-o categorie de rețea publică în una privată, regulile de firewall limitate la un profil se schimbă pentru toate conturile deodată, astfel încât aplicațiile permise dimineața pot fi blocate după-amiaza fără ca cineva să atingă o regulă.

Conexiunea este per utilizator, rețeaua nu

Windows păstrează obiectul conexiunii în profilul utilizatorului care l-a creat. Adaptorul virtual pe care îl produce, rutele pe care le instalează și servere DNS pe care le înregistrează sunt la nivelul întregii mașini. Această separare este sursa ambelor simptome din titlu.

Explică și de ce deconectarea primului utilizator o repară de obicei pe a doua. Eliminarea conexiunii elimină adaptorul și rutele împreună cu ea, iar starea la nivelul mașinii revine la cea de dinainte ca cineva să se conecteze. Este un diagnostic util: dacă deconectarea repară cealaltă cont, te uiți la stare partajată, nu la un profil stricat.

Ceea ce nu poți face este să dai celei de-a doua sesiuni un alt tabel de rutare. Există un singur tabel, iar oricare două sesiuni îl partajează. Aceasta este o proprietate a sistemului de operare, nu o limitare a unui anumit client. Înseamnă și că orice design care presupune altfel va eșua în continuare, iar eșecurile vor arăta ca erori de aplicație fără legătură.

Găsește ce a eliminat Comută utilizatorul, în această ordine

Comutarea rapidă a utilizatorilor a dispărut dintr-un motiv complet diferit, iar remedierea nu are nimic de-a face cu rutarea. Parcurge cei patru candidați în ordine, pentru că primii doi se anulează în câteva secunde, iar ultimii au un cost.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Valoarea din registru este cea mai simplă explicație. Dacă există și citește 1, intrarea este ascunsă de politică, iar calea de Politică de grup este Computer Configuration, Administrative Templates, System, Logon, și setarea numită pentru ascunderea punctelor de intrare de comutare rapidă a utilizatorilor. Seteaz-o la Not Configured și reîmprospătează cu gpupdate /force.

A doua comandă îți spune dacă acea politică este livrată dintr-un domeniu în loc să fie scrisă local. Dacă apare în raport cu un GPO câștigător, editarea valorii locale este o remediere temporară care revine la următoarea reîmprospătare, iar discuția aparține celui care deține politica.

A treia comandă acoperă celălalt mecanism. Un furnizor de acreditări sau de acces la rețea care instalează un modul de conectare poate suprima intrarea cât timp rulează, iar unii clienți înregistrează și o componentă care pornește înainte de conectare și păstrează o pretenție pe ecranul de conectare. Dezactivarea acelui serviciu restaurează comutarea și elimină și funcțiile pre-conectare sau posture pentru care modulul există.

Schimb-o fără să te blochezi afară

Ține o sesiune administrativă deschisă cât lucrezi și nu fă niciodată o modificare pe ecranul de conectare pe o mașină la care ajungi doar prin acel ecran. Deconectează mai întâi celelalte sesiuni, aplică modificarea, reîmprospătează, apoi testează comutând utilizatori, nu repornind.

Notează ce funcții posture ai dezactivat. O actualizare a clientului poate reinstala sau reactiva modulul de conectare, iar simptomul revine fără o cauză evidentă, de obicei la mijlocul unei ferestre de suport când nimeni nu își amintește modificarea anterioară.

Pe un dispozitiv administrat, presupune că setarea este livrată de sus. Verificarea raportului de politici mai întâi economisește o oră de editări locale care revin. De asemenea, îți spune pe cine să întrebi când răspunsul este nu. Un tichet care numește politica câștigătoare este rezolvat de două ori mai repede decât unul care descrie o cheie de registru pe care cineva a schimbat-o deja.

Verifică ambele conturi și alege modelul

Testează rezultatul în ordinea în care îl trăiesc cei doi utilizatori. Conectează-te cu a doua cont în timp ce prima este deconectată, confirmă accesul normal, apoi conectează tunelul primei conturi și confirmă că calea așteptată a celei de-a doua conturi este încă cea pe care ai intenționat-o.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Dacă ambele conturi au într-adevăr nevoie de căi de rețea diferite în același timp, răspunsul sincer este două mașini, două mașini virtuale sau o politică în care este necesară o singură cale. Un tunel divizat pe conexiunea partajată poate restrânge ce se mișcă, dar nu poate da fiecărei sesiuni propriul tabel. Să ajungi acolo devreme este mai ieftin decât să descoperi după trei încercări de ocolire.

Aceasta este decizia care trebuie luată explicit, nu petecită în jur. Un tabel de rutare, o listă de resolveri, un profil de firewall: tot restul decurge de aici, iar remedierea care respectă asta va funcționa și luna viitoare.