En VPN, dva računa Windows: zakaj se druga seja pokvari
Poti in razreševalniki veljajo za celoten računalnik, zato tunel enega računa preusmeri druge. Nato ugotovite, kateri pravilnik ali prijavni modul je odstranil vnos Preklopi uporabnika.
Dve osebi sta prijavljeni, ena od njiju poveže podjetniški tunel in brskalnik drugega računa preneha nalagati strani, ki so še pred minuto delovale. Na istem računalniku je s prijavnega zaslona izginil tudi vnos Preklopi uporabnika, zato se druga oseba ne more vrniti v svojo sejo. Slediti temu od druge seje navzven je najhitrejši način za razumevanje, ker pri povezavi prvega uporabnika ni nič skritega in pri težavi drugega uporabnika ne ostane nič skrivnostnega, ko vidite, kateri objekti so v skupni rabi.
Začnite v seji, ki se je pokvarila
Pojdite na namizje drugega računa, ne prvega. Tam odprite terminal in medtem, ko je druga seja povezana, poglejte usmerjevalno tabelo in seznam razreševalnikov. Vse, kar vidite, pripada računalniku, ne drugemu uporabniku, in to je prva sled.
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4ConnectivityČe privzeta pot zdaj kaže na vmesnik tunela, tudi promet drugega uporabnika sledi njej. Če se je na seznamu razreševalnikov pojavil zasebni strežnik, njihove poizvedbe zdaj gredo tja, kamor po padcu tunela ne morejo priti. Nič od tega ni napaka v odjemalcu; to so posledice enega skupnega omrežnega sklada.
Tretji ukaz pojasnjuje drugo vrsto pritožb. Ko vmesnik preklopi računalnik iz javne v zasebno omrežno kategorijo, se pravila požarnega zidu, vezana na profil, spremenijo za vse račune hkrati, zato so lahko aplikacije, dovoljene zjutraj, popoldne blokirane, ne da bi se kdo dotaknil pravila.
Povezava je na uporabnika, omrežje ni
Windows hrani objekt povezave v profilu uporabnika, ki jo je ustvaril. Navidezni vmesnik, ki ga ustvari, poti, ki jih namesti, in strežniki DNS, ki jih registrira, veljajo za celoten računalnik. Ta delitev je vir obeh simptomov iz naslova.
To pojasni tudi, zakaj odjava prvega uporabnika običajno odpravi težavo drugega. Odstranitev povezave odstrani vmesnik in poti z njo, stanje na ravni računalnika pa se vrne v tisto pred kakršno koli prijavo. To je koristna diagnostika: če odjava popravi drugi račun, gledate skupno stanje in ne pokvarjenega profila.
Česar ne morete, je dati drugi seji drugačno usmerjevalno tabelo. Tabela je ena in kateri koli dve seji si jo delita. To je lastnost operacijskega sistema in ne omejitev določenega odjemalca. Pomeni tudi, da bo vsaka zasnova, ki predpostavlja drugače, še naprej propadala, in te okvare bodo videti kot nepovezane napake aplikacij.
Ugotovite, kaj je odstranilo vnos Preklopi uporabnika, v tem vrstnem redu
Hitro preklapljanje uporabnikov je izginilo iz povsem drugega razloga in popravek nima nič skupnega z usmerjanjem. Pojdite skozi štiri kandidate po vrsti, ker prva dva se povrneta v sekundah, poznejši pa imajo ceno.
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayNameVrednost v registru je najpreprostejša razlaga. Če obstaja in se bere kot 1, je vnos skrit s pravilnikom, pot pravilnika skupine pa je Computer Configuration, Administrative Templates, System, Logon, in nastavitev, poimenovana za skrivanje vstopnih točk hitrega preklapljanja uporabnikov. Nastavite jo na Not Configured in osvežite z gpupdate /force.
Drugi ukaz vam pove, ali se ta pravilnik dostavlja iz domene in ni zapisan lokalno. Če se pojavi v poročilu z zmagovalnim GPO, je urejanje lokalne vrednosti začasna rešitev, ki se ob naslednjem osveževanju povrne, pogovor pa sodi k lastniku pravilnika.
Tretji ukaz pokriva drugi mehanizem. Ponudnik poverilnic ali omrežnega dostopa, ki namesti prijavni modul, lahko vnos med delovanjem zatira, nekateri odjemalci pa registrirajo tudi komponento, ki se zažene pred prijavo in drži zahtevek na prijavnem zaslonu. Onemogočanje te storitve povrne preklapljanje, odstrani pa tudi funkcije pred prijavo ali posture, zaradi katerih modul obstaja.
| Cause | How to confirm | Cost of the fix |
|---|---|---|
| HideFastUserSwitching policy | Registry value present and set to 1 | None; remove the policy |
| Logon module service | Service running under a vendor name | Loses pre-logon and posture behaviour |
| GINA-era assumption | Only relevant on very old Windows | Nothing to fix; the mechanism is gone |
Spremenite to, ne da bi se zaklenili
Med delom imejte odprto eno skrbniško sejo in nikoli ne spreminjajte prijavnega zaslona na računalniku, do katerega pridete samo prek tega zaslona. Najprej odjavite druge seje, uveljavite spremembo, osvežite in nato preizkusite s preklapljanjem uporabnikov, ne z ponovnim zagonom.
Zapišite, katere funkcije posture ste onemogočili. Posodobitev odjemalca lahko prijavni modul znova namesti ali znova omogoči, simptom pa se vrne brez očitnega vzroka, običajno sredi podpornega okna, ko se nihče ne spomni prejšnje spremembe.
Na upravljani napravi predpostavite, da se nastavitev dostavlja od zgoraj. Preverjanje poročila pravilnikov najprej prihrani uro lokalnih urejanj, ki se povrnejo. Pove tudi, koga vprašati, ko je odgovor ne. Zahtevek, ki imenuje zmagovalni pravilnik, se reši dvakrat hitreje kot tisti, ki opisuje ključ registra, ki ga je nekdo že spremenil.
Preverite oba računa in izberite model
Preizkusite izid v vrstnem redu, v katerem ga doživljata oba uporabnika. Prijavite se z drugim računom, medtem ko je prvi odklopljen, potrdite običajen dostop, nato povežite tunel prvega računa in potrdite, da je pričakovana pot drugega računa še vedno tista, ki ste jo nameravali.
qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443Če oba računa res potrebujeta različne omrežne poti hkrati, je pošten odgovor dva računalnika, dva navidezna računalnika ali pravilnik, kjer je potrebna samo ena pot. Razdeljen tunel na skupni povezavi lahko zoži, kaj prehaja, ne more pa dati vsaki seji lastne tabele. Priseči do tega zgodaj je ceneje kot to odkriti po treh poskusih obvoza.
To je odločitev, ki jo je treba sprejeti izrecno, ne pa zakrpati okoli. Ena usmerjevalna tabela, en seznam razreševalnikov, en profil požarnega zidu: vse drugo izhaja iz tega, in popravek, ki to spoštuje, bo deloval tudi naslednji mesec.