Një VPN, dy llogari Windows: pse prishet sesioni tjetër

Dy persona janë të kyçur, njëri prej tyre lidh tunelin e kompanisë, dhe shfletuesi i llogarisë tjetër ndalon së ngarkuari faqet që funksiononin një minutë më parë. Në të njëjtën makinë, zëri Ndrysho përdoruesin ka humbur gjithashtu nga ekrani i hyrjes, kështu që personi i dytë nuk mund të kthehet në sesionin e vet. Ndjekja e kësaj nga sesioni i dytë nga jashtë është mënyra më e shpejtë për ta kuptuar, sepse asgjë në lidhjen e përdoruesit të parë nuk është e fshehur, dhe asgjë në problemin e përdoruesit të dytë nuk mbetet misterioze pasi shihni cilat objekte ndahen.

Filloni në sesionin që u prish

Shkoni te desktopi i llogarisë së dytë, jo i të parës. Hapni atje një terminal dhe shikoni tabelën e rrugëzimit dhe listën e zgjidhësve ndërsa sesioni tjetër është i lidhur. Gjithçka që shihni i përket makinës, jo përdoruesit tjetër, dhe ky është gjurmimi i parë.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Nëse rruga e parazgjedhur tani tregon ndërfaqen e tunelit, trafiku i përdoruesit të dytë ndjek gjithashtu atë. Nëse listës së zgjidhësve i është shtuar një server privat, kërkimet e tyre tani shkojnë diku ku nuk mund të arrijnë pasi tuneli bie. Asnjëra prej tyre nuk është gabim në klient; janë pasojat e një stivi të vetëm të përbashkët rrjeti.

Komanda e tretë shpjegon një klasë të dytë ankesash. Kur një përshtatës e kthen makinën nga një kategori rrjeti publik në privat, rregullat e firewall-it të lidhura me një profil ndryshojnë për të gjitha llogaritë njëherësh, kështu që aplikacionet që lejoheshin në mëngjes mund të bllokohen pasdite pa i prekur askush një rregull.

Lidhja është për përdorues, rrjeti nuk është

Windows e mban objektin e lidhjes në profilin e përdoruesit që e krijoi. Përshtatësi virtual që prodhon, rrugët që instalon dhe serverat DNS që regjistron janë në shkallë të gjithë makinës. Kjo ndarje është burimi i të dy simptomave në titull.

Kjo shpjegon gjithashtu pse dalja e përdoruesit të parë zakonisht e rregullon të dytin. Heqja e lidhjes heq përshtatësin dhe rrugët bashkë me të, dhe gjendja në shkallë makine kthehet në atë që ishte përpara se dikush të lidhej. Kjo është një diagnostikim i dobishëm: nëse dalja e rregullon llogarinë tjetër, po shikoni gjendje të ndarë dhe jo një profil të prishur.

Ajo që nuk mund të bëni është t'i jepni sesionit të dytë një tabelë tjetër rrugëzimi. Tabela është një, dhe çdo dy sesione e ndajnë atë. Kjo është veti e sistemit operativ dhe jo kufizim i një klienti të caktuar. Do të thotë gjithashtu se çdo projekt që supozon të kundërtën do të vazhdojë të dështojë, dhe dështimet do të duken si gabime aplikacioni të palidhura.

Gjeni çfarë hoqi zërin Ndrysho përdoruesin, në këtë rend

Ndryshimi i shpejtë i përdoruesve humbi për një arsye krejt tjetër, dhe rregullimi nuk ka asnjë lidhje me rrugëzimin. Kaloni nëpër katër kandidatët me radhë, sepse dy të parët kthehen prapa në sekonda dhe të mëvonshmit kanë një kosto.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Vlera e regjistrit është shpjegimi më i thjeshtë. Nëse ekziston dhe lexon 1, zëri është fshehur nga politika, dhe rruga e Politikës së Grupit është Computer Configuration, Administrative Templates, System, Logon, dhe cilësimi i emërtuar për fshehjen e pikave të hyrjes së ndryshimit të shpejtë të përdoruesve. Vendoseni në Not Configured dhe rifreskoni me gpupdate /force.

Komanda e dytë ju tregon nëse ajo politikë po dorëzohet nga një domen dhe jo e shkruar lokalisht. Nëse shfaqet në raport me një GPO fitues, redaktimi i vlerës lokale është një rregullim i përkohshëm që kthehet në rifreskimin tjetër, dhe biseda i takon pronarit të politikës.

Komanda e tretë mbulon mekanizmin tjetër. Një ofrues kredencialesh ose aksesi rrjeti që instalon një modul hyrjeje mund ta shtypë zërin ndërsa punon, dhe disa klientë regjistrojnë gjithashtu një komponent që niset para hyrjes dhe mban një pretendim në ekranin e hyrjes. Çaktivizimi i atij shërbimi e rikthen ndryshimin, dhe heq gjithashtu funksionet para hyrjes ose posture për të cilat ekziston moduli.

Ndryshojeni pa u mbyllur jashtë

Mbani një sesion administrativ të hapur ndërsa punoni, dhe mos bëni kurrë një ndryshim në ekranin e hyrjes në një makinë që e arrini vetëm përmes atij ekrani. Dilni më parë nga sesionet e tjera, zbatoni ndryshimin, rifreskoni, dhe më pas provoni duke ndryshuar përdorues në vend të rinisjes.

Shënoni cilat funksione posture çaktivizuat. Një përditësim i klientit mund ta riinstalojë ose riaktivizojë modulin e hyrjes, dhe simptoma kthehet pa një shkak të dukshëm, zakonisht në mes të një dritareje mbështetjeje kur askush nuk e mban mend ndryshimin e mëparshëm.

Në një pajisje të menaxhuar, supozoni se cilësimi dorëzohet nga lart. Kontrolli i raportit të politikave së pari kursen një orë redaktime lokale që kthehen. Ju tregon gjithashtu kë të pyesni kur përgjigjja është jo. Një biletë që emërton politikën fituese zgjidhet dy herë më shpejt sesa një që përshkruan një çelës regjistri që dikush e ka ndryshuar tashmë.

Verifikoni të dyja llogaritë dhe zgjidhni modelin

Provoni rezultatin në rendin që e përjetojnë dy përdoruesit. Hyni me llogarinë e dytë ndërsa e para është e shkëputur, konfirmoni akses normal, më pas lidhni tunelin e llogarisë së parë dhe konfirmoni që rruga e pritur e llogarisë së dytë është ende ajo që kishit synuar.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Nëse të dyja llogaritë kanë vërtet nevojë për rrugë rrjeti të ndryshme në të njëjtën kohë, përgjigjja e ndershme është dy makina, dy makina virtuale ose një politikë ku kërkohet vetëm një rrugë. Një tunel i ndarë në lidhjen e përbashkët mund të ngushtojë atë që kalon, por nuk mund t'i japë çdo sesioni tabelën e vet. Të arrish atje herët është më e lirë sesa ta zbulosh pas tre përpjekjeve për t'i shmangur.

Ky është vendimi që duhet marrë në mënyrë të qartë dhe jo duke arnuar përreth. Një tabelë rrugëzimi, një listë zgjidhësish, një profil firewall-i: gjithçka tjetër rrjedh nga kjo, dhe rregullimi që e respekton do të funksionojë edhe muajin tjetër.