Prečo sa prihlásenie cez VPN vlečie: profil, presmerovanie alebo offline súbory

Notebook sa v kancelárii prihlási za približne štyridsať sekúnd a doma mu to trvá minúty, a medzitým nikto nezmenil zásadu. Zmenila sa sieťová cesta pod tromi funkciami, ktoré vyzerajú rovnako a správajú sa inak. Pohyblivý profil načíta stav registra a priečinky profilu, presmerovanie priečinkov ukazuje priečinok prostredia na serverový share a offline súbory držia vyrovnávaciu pamäť vhodných sieťových údajov. Všetky tri môžu pridať čas k prihláseniu a zvyčajne je zodpovedná len jedna z nich.

Tri čakania s tromi rôznymi vlastníkmi

Práve pohyblivý profil spôsobuje, že používateľské nastavenia nasledujú človeka medzi zúčastnenými počítačmi, a načítanie prebieha skoro v relácii. Vetva registra používateľa a priečinky profilu sa pri prihlásení skopírujú alebo zlúčia a pri odhlásení sa zapíšu späť. Táto práca je synchrónna, preto sa pomalá cesta k zdieľanému priečinku profilu prejaví ako pomalá pracovná plocha, nie ako pomalé kopírovanie súborov.

Presmerovanie priečinkov je iný mechanizmus. Presúva vybrané priečinky prostredia, Dokumenty sú obvyklý príklad, na podporované sieťové umiestnenie a necháva ich tam. Profil tak môže zostať malý, pretože údaje v ňom nie sú, a náklad sa presúva do okamihu, keď sa prostredie alebo aplikácia dotkne tohto priečinka.

Offline súbory pridávajú lokálnu vyrovnávaciu pamäť a synchronizáciu pre vhodné sieťové súbory. Odpovedajú na inú otázku, a to čo sa stane, keď je server nedostupný, a môžu tráviť čas synchronizáciou pri prihlásení a odhlásení, keď je vyrovnávacia pamäť zastaraná. Práve zaobchádzanie s týmito tromi ako s jedným nastavením vytvára zásadu, ktorá je pomalá v jednom smere a zbytočná v druhom.

Zmerajte, ktoré skutočne čaká

Začnite čítaním, kde profil žije a či sa načítava zo serverovej cesty. Potom zmerajte čas výpisu adresára na každom share, ktorého sa relácia dotkne, pretože share, ktorý v lokálnej sieti odpovie za milisekundy, môže cez tunel a vyťažený súborový server trvať sekundy.

Tieto dve skutočnosti zúžia problém rýchlejšie ako akýkoľvek audit zásad a na ich zber netreba meniť konfiguráciu. Spustite ich na postihnutom notebooku, nie na serveri, ktorý stojí vedľa shares.

Get-CimInstance Win32_UserProfile | Select-Object LocalPath, Loaded, SID
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\*' | Select-Object ProfileImagePath
Measure-Command { Get-ChildItem '\\fs01.corp.internal\profiles\a.singh' | Out-Null }

Ak je cesta profilu lokálna a na server ukazuje len jeden presmerovaný priečinok, načítanie profilu nie je vaše čakanie, nech tiket podpory hovorí čokoľvek. Ak je cesta profilu vzdialená a výpis trvá sekundy, prihlásenie čaká na tento share a oprava sa týka cesty alebo veľkosti profilu, nie samotnej pracovnej plochy. Čítajte čísla v tomto poradí a spor sa zvyčajne tam skončí.

Pripojenie prichádza po začatí čakania

Používateľský tunel spúšťaný z pracovnej plochy sa objaví až dávno po načítaní profilu, takže nemôže pomôcť fáze, ktorá bola pomalá. Windows si všimne nedostupnú cestu, prejde na poverenia vo vyrovnávacej pamäti a lokálny profil, a relácia sa nakoniec otvorí. Preto ten istý notebook môže pri prvom prihlásení doma trvať minúty a pri druhom sekundy, keď už existuje profil vo vyrovnávacej pamäti. Čakanie je skutočné, ale pripojenie, ktoré potrebuje, v tom okamihu neexistuje.

Oprava znamená posunúť pripojenie skôr, nie ladiť profil. Tunel počítača alebo pripojenie pred prihlásením s overovaním počítača ustanoví cestu predtým, než sa používateľ prihlási, a potrebuje vlastný životný cyklus certifikátu a vlastné pravidlá firewallu. Poverenia vo vyrovnávacej pamäti sú druhou polovicou návrhu a fungujú len pre účty, ktoré sa už niekedy prihlásili.

Testujte sled, nie komponenty. Úplne sa odhláste, spustite tunel tak, ako by to urobil vzdialený používateľ, a zmerajte prihlásenie od výzvy na poverenia po použiteľnú pracovnú plochu.

Nechajte dokumenty mimo profilu

Zdieľaný priečinok profilu je nesprávne miesto pre veľké kolekcie dokumentov a príručka Microsoftu na nasadenie pohyblivých profilov práve preto drží úložisko profilov a shares presmerovaných priečinkov oddelene. Profil, ktorý nesie priečinok Dokumenty s veľkosťou niekoľkých gigabajtov, bude pomalý pri každom prihlásení a odhlásení a veľkosť potichu rastie, kým ju niekto nezmeria.

Presmerujte priečinky, ktoré držia údaje, a profilu nechajte nastavenia. Vylúčte vyrovnávacie pamäte, ktoré sa dajú znovu postaviť, ako vyrovnávacie pamäte prehliadačov a dočasné údaje aplikácií, pretože ich prenos pridáva čas a nemení nič, čo používateľ vidí. Ponechajte údaje poštovej schránky a iné úložiská aplikácií na umiestnení, ktoré aplikácia podporuje, a nie na pohyblivej ceste.

Nesprístupnite zdieľaný priečinok profilu offline. Offline súbory patria na vhodné dátové shares a vetva profilu vo vyrovnávacej pamäti, ktorá sa synchronizuje oboma smermi, je správa o poškodení, ktorá čaká, kým sa stane.

Otestujte všetky štyri scenáre, kým to označíte za opravené

Rýchle prihlásenie v kancelárii dokazuje veľmi málo. Návrh musí prežiť prístup z kancelárie, prácu z domu cez tunel, prácu bez pripojenia a návrat do kancelárie, pretože práve v štvrtom prípade sa objavia konflikty synchronizácie. Zmerajte tie isté štyri s jedným kontrolovaným účtom a skutočnými aplikáciami a čísla si zapíšte.

Zozbierajte protokol služby profilov a výslednú sadu zásad z postihnutej relácie, nie zo svojej administratívnej pracovnej stanice.

Get-WinEvent -LogName 'Microsoft-Windows-User Profile Service/Operational' -MaxEvents 30
gpresult /r /scope:user
Measure-Command { Get-ChildItem '\\fs01.corp.internal\users\a.singh\Documents' | Out-Null }

Porovnajte tieto časy s kancelárskou základňou a s veľkosťou toho, čo sa prenáša. Prihlásenie, ktoré aj s malým profilom a rýchlym share trvá minútu, nie je problém profilu, a ďalším miestom, kam sa pozrieť, je spracovanie zásad skupiny alebo prihlasovací skript, ktorý čaká na sieť. Ak je medzera práve tam, profil nikdy nebol problémom. Pred zmenou zásady priečinkov alebo vymazaním vyrovnávacej pamäte potvrďte, že nesynchronizovaná práca je zachovaná, pretože synchronizácia a obnoviteľná záloha sú rôzne záruky.