Jeden VPN, dva kontá Windows: prečo sa druhá relácia pokazí

Dvaja ľudia sú prihlásení, jeden z nich pripojí firemný tunel a prehliadač druhého konta prestane načítavať stránky, ktoré ešte pred minútou fungovali. Na tom istom počítači zmizla z prihlasovacej obrazovky aj položka Prepnúť používateľa, takže druhá osoba sa nemôže vrátiť do svojej relácie. Sledovať to od druhej relácie smerom von je najrýchlejší spôsob, ako to pochopiť, pretože na pripojení prvého používateľa nie je nič skryté a na probléme druhého používateľa nezostane nič záhadné, keď vidíte, ktoré objekty sú zdieľané.

Začnite v relácii, ktorá sa pokazila

Prejdite na pracovnú plochu druhého konta, nie prvého. Otvorte tam terminál a pripojenú druhú reláciu skontrolujte smerovaciu tabuľku a zoznam resolverov. Všetko, čo vidíte, patrí počítaču, nie druhému používateľovi, a to je prvá stopa.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Ak predvolená trasa teraz ukazuje na rozhranie tunela, prevádzka druhého používateľa ide tiež po nej. Ak sa v zozname resolverov objavil súkromný server, ich dopyty teraz smerujú tam, kam sa po páde tunela nedostanú. Ani jedno z toho nie je chyba v klientovi; sú to dôsledky jedného zdieľaného sieťového zásobníka.

Tretí príkaz vysvetľuje druhú triedu sťažností. Keď adaptér prepne počítač z verejnej do súkromnej kategórie siete, pravidlá firewallu viazané na profil sa zmenia pre všetky kontá naraz, takže aplikácie povolené ráno môžu byť popoludní zablokované bez toho, aby niekto siahol na pravidlo.

Pripojenie je na používateľa, sieť nie

Windows uchováva objekt pripojenia v profile používateľa, ktorý ho vytvoril. Virtuálny adaptér, ktorý vytvára, trasy, ktoré inštaluje, a DNS servery, ktoré registruje, platia pre celý počítač. Toto rozdelenie je zdrojom oboch príznakov z nadpisu.

Vysvetľuje aj to, prečo odhlásenie prvého používateľa zvyčajne opraví druhého. Odstránenie pripojenia odstráni adaptér aj trasy s ním a stav v rámci celého počítača sa vráti do stavu pred akýmkoľvek prihlásením. To je užitočná diagnostika: ak odhlásenie opraví druhé konto, pozeráte sa na zdieľaný stav, nie na pokazený profil.

Čo nemôžete urobiť, je dať druhej relácii inú smerovaciu tabuľku. Tabuľka je jedna a akékoľvek dve relácie ju zdieľajú. To je vlastnosť operačného systému, nie obmedzenie konkrétneho klienta. Znamená to aj to, že každý návrh, ktorý predpokladá opak, bude naďalej zlyhávať a tie zlyhania budú vyzerať ako nesúvisiace chyby aplikácií.

Zistite, čo odstránilo položku Prepnúť používateľa, v tomto poradí

Rýchle prepínanie používateľov zmizlo z úplne iného dôvodu a oprava nemá nič spoločné so smerovaním. Prejdite štyroch kandidátov po poradí, pretože prvé dva sa dajú vrátiť v priebehu sekúnd a tie neskoršie majú cenu.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Hodnota v registri je najjednoduchšie vysvetlenie. Ak existuje a číta sa 1, položka je skrytá politikou, a cesta skupinovej politiky je Computer Configuration, Administrative Templates, System, Logon, a nastavenie pomenované na skrývanie vstupných bodov rýchleho prepínania používateľov. Nastavte ju na Not Configured a obnovte pomocou gpupdate /force.

Druhý príkaz vám povie, či sa tá politika doručuje z domény, a nie je zapísaná lokálne. Ak sa objaví v správe s víťaznou GPO, úprava lokálnej hodnoty je dočasná oprava, ktorá sa pri ďalšej obnove vráti, a rozhovor patrí vlastníkovi politiky.

Tretí príkaz pokrýva druhý mechanizmus. Poskytovateľ prihlasovacích údajov alebo sieťového prístupu, ktorý inštaluje prihlasovací modul, môže položku počas behu potlačiť a niektorí klienti registrujú aj komponent, ktorý sa spúšťa pred prihlásením a drží nárok na prihlasovacej obrazovke. Vypnutie tejto služby obnoví prepínanie, ale odstráni aj funkcie pred prihlásením alebo posture, pre ktoré modul existuje.

Zmeňte to bez toho, aby ste sa uzamkli vonku

Počas práce majte otvorenú jednu administrátorskú reláciu a nikdy nerobte zmenu na prihlasovacej obrazovke na počítači, ku ktorému sa dostanete iba cez túto obrazovku. Najprv odhláste ostatné relácie, použite zmenu, obnovte a potom testujte prepínaním používateľov, nie reštartom.

Zapíšte si, ktoré funkcie posture ste vypnuli. Aktualizácia klienta môže prihlasovací modul znova nainštalovať alebo znova povoliť a príznak sa vráti bez zjavnej príčiny, zvyčajne uprostred okna podpory, keď si nikto nepamätá predchádzajúcu zmenu.

Na spravovanom zariadení predpokladajte, že nastavenie sa doručuje zhora. Kontrola správy politík najprv ušetrí hodinu lokálnych úprav, ktoré sa vrátia. Tiež vám povie, koho sa opýtať, keď je odpoveď nie. Tiket, ktorý pomenuje víťaznú politiku, sa vyrieši dvakrát rýchlejšie ako ten, ktorý opisuje kľúč registra, ktorý už niekto zmenil.

Overte obe kontá a vyberte model

Testujte výsledok v poradí, v akom ho obaja používatelia zažívajú. Prihláste sa druhým kontom, keď je prvé odpojené, potvrďte normálny prístup, potom pripojte tunel prvého konta a potvrďte, že očakávaná cesta druhého konta je stále tá, ktorú ste zamýšľali.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Ak obe kontá naozaj potrebujú rôzne sieťové cesty súčasne, čestná odpoveď sú dva počítače, dva virtuálne počítače alebo politika, kde sa vyžaduje iba jedna cesta. Rozdelený tunel na zdieľanom pripojení môže zúžiť to, čo prechádza, ale nemôže dať každej relácii vlastnú tabuľku. Prísť na to skôr je lacnejšie než to objaviť po troch pokusoch o obchádzku.

To je rozhodnutie, ktoré treba prijať výslovne, a nie záplatať okolo. Jedna smerovacia tabuľka, jeden zoznam resolverov, jeden profil firewallu: všetko ostatné z toho vyplýva a oprava, ktorá to rešpektuje, bude fungovať aj budúci mesiac.