Jedan VPN, dva Windows računa: zašto se druga sesija kvari

Dvije osobe su prijavljene, jedna od njih povezuje korporativni tunel, a preglednik drugog računa prestaje učitavati stranice koje su prije minute radile. Na istom računalu s ekrana za prijavu nestala je i stavka Promijeni korisnika, pa druga osoba ne može vratiti u vlastitu sesiju. Pratiti to od druge sesije prema van najbrži je način da se to shvati, jer u vezi prvog korisnika ništa nije skriveno, a u problemu drugog korisnika ništa ne ostaje tajanstveno kad vidiš koji su objekti dijeljeni.

Počni u sesiji koja se pokvarila

Idi na radnu površinu drugog računa, ne prvog. Tamo otvori terminal i pogledaj tablicu usmjeravanja i popis razrješivača dok je druga sesija povezana. Sve što vidiš pripada računalu, a ne drugom korisniku, i to je prvi trag.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Ako zadana ruta sada pokazuje na sučelje tunela, promet drugog korisnika ide za njom. Ako je na popis razrješivača došao privatni poslužitelj, njihove pretrage sada idu negdje gdje ne mogu doći kad tunel padne. Ništa od toga nije pogreška u klijentu; to su posljedice jednog dijeljenog mrežnog sloga.

Treća naredba objašnjava drugu vrstu pritužbi. Kad adapter prebaci računalo iz javne u privatnu mrežnu kategoriju, pravila vatrozida vezana uz profil mijenjaju se za sve račune odjednom, pa aplikacije koje su ujutro bile dopuštene mogu poslijepodne biti blokirane, a da nitko nije dotaknuo pravilo.

Veza je po korisniku, mreža nije

Windows drži objekt veze u profilu korisnika koji ju je stvorio. Virtualni adapter koji stvara, rute koje instalira i DNS poslužitelji koje registrira djeluju na razini cijelog računala. Ta podjela izvor je oba simptoma iz naslova.

To objašnjava i zašto odjava prvog korisnika obično popravi drugoga. Uklanjanje veze uklanja adapter i rute s njom, a stanje na razini računala vraća se na ono prije nego što se bilo tko spojio. To je korisna dijagnostika: ako odjava popravi drugi račun, gledaš dijeljeno stanje, a ne pokvaren profil.

Ono što ne možeš jest dati drugoj sesiji drugu tablicu usmjeravanja. Tablica je jedna i bilo koje dvije sesije dijele ju. To je svojstvo operacijskog sustava, a ne ograničenje određenog klijenta. To također znači da će svaki dizajn koji pretpostavlja drukčije nastaviti propadati, a ti će kvarovi izgledati kao nepovezane pogreške aplikacije.

Nađi što je uklonilo stavku Promijeni korisnika, ovim redom

Brza promjena korisnika nestala je zbog posve drugog razloga, a popravak nema nikakve veze s usmjeravanjem. Prođi kroz četiri kandidata redom, jer prva dva se poništavaju u sekundama, a kasniji imaju cijenu.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Vrijednost u registru najjednostavnije je objašnjenje. Ako postoji i čita se 1, stavka je skrivena pravilnikom, a put pravilnika grupe je Computer Configuration, Administrative Templates, System, Logon, i postavka nazvana po skrivanju ulaznih točaka brze promjene korisnika. Postavi ju na Not Configured i osvježi s gpupdate /force.

Druga naredba govori dolazi li taj pravilnik iz domene, a ne je li zapisan lokalno. Ako se pojavi u izvješću s pobjedničkim GPO-om, uređivanje lokalne vrijednosti privremeni je popravak koji se vraća pri sljedećem osvježavanju, a razgovor pripada vlasniku pravilnika.

Treća naredba pokriva drugi mehanizam. Davatelj vjerodajnica ili mrežnog pristupa koji instalira modul za prijavu može potisnuti stavku dok radi, a neki klijenti registriraju i komponentu koja se pokreće prije prijave i drži zahtjev na ekranu za prijavu. Onemogućavanje te usluge vraća promjenu, ali uklanja i funkcije prije prijave ili posture zbog kojih modul postoji.

Promijeni to bez da se zaključaš

Drži jednu administrativnu sesiju otvorenom dok radiš i nikada ne mijenjaj postavku na ekranu za prijavu na računalu do kojeg dolaziš samo kroz taj ekran. Prvo odjavi ostale sesije, primijeni promjenu, osvježi, a zatim testiraj promjenom korisnika, a ne ponovnim pokretanjem.

Zapiši koje si posture funkcije onemogućio. Ažuriranje klijenta može ponovno instalirati ili ponovno omogućiti modul za prijavu, a simptom se vraća bez očitog uzroka, obično usred prozora podrške kad se nitko ne sjeća prethodne promjene.

Na upravljanom uređaju pretpostavi da se postavka dostavlja odozgo. Provjera izvješća pravilnika najprije štedi sat lokalnih uređivanja koja se vraćaju. Također ti kaže koga pitati kad je odgovor ne. Zahtjev koji imenuje pobjednički pravilnik rješava se dvostruko brže od onoga koji opisuje ključ registra koji je netko već promijenio.

Provjeri oba računa i odaberi model

Testiraj rezultat redom kojim ga doživljavaju oba korisnika. Prijavi se drugim računom dok je prvi odspojen, potvrdi normalan pristup, zatim poveži tunel prvog računa i potvrdi da je očekivani put drugog računa još uvijek onaj koji si namjeravao.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Ako oba računa doista trebaju različite mrežne putove istodobno, iskren odgovor su dva računala, dva virtualna računala ili pravilnik u kojem je potreban samo jedan put. Podijeljeni tunel na dijeljenoj vezi može suziti što prolazi, ali ne može dati svakoj sesiji vlastitu tablicu. Doći do toga rano jeftinije je nego otkriti to nakon tri pokušaja zaobilaženja.

To je odluka koju treba donijeti izričito, a ne krpati oko nje. Jedna tablica usmjeravanja, jedan popis razrješivača, jedan profil vatrozida: sve ostalo slijedi iz toga, a popravak koji to poštuje radit će i sljedeći mjesec.