Један VPN, два Windows налога: зашто се друга сесија квари

Две особе су пријављене, једна од њих повезује корпоративни тунел, а прегледач другог налога престаје да учитава странице које су пре минут функционисале. На истом рачунару са екрана за пријаву нестала је и ставка Промени корисника, па друга особа не може да се врати у своју сесију. Праћење овога од друге сесије ка споља најбржи је начин да се то разуме, јер у вези првог корисника ништа није скривено, а у проблему другог корисника ништа не остаје тајанствено кад видите који су објекти дељени.

Почните у сесији која се покварила

Идите на радну површину другог налога, не првог. Тамо отворите терминал и погледајте табелу рутирања и списак резолвера док је друга сесија повезана. Све што видите припада рачунару, а не другом кориснику, и то је први траг.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Ако подразумевана рута сада показује на интерфејс тунела, саобраћај другог корисника такође иде за њом. Ако је на списак резолвера дошао приватни сервер, њихове претраге сада иду негде где не могу да стигну кад тунел падне. Ништа од тога није грешка у клијенту; то су последице једног дељеног мрежног стека.

Трећа команда објашњава другу врсту жалби. Кад адаптер пребаци рачунар из јавне у приватну мрежну категорију, правила заштитног зида везана за профил мењају се за све налоге одједном, па апликације које су ујутру биле дозвољене могу поподне бити блокиране, а да нико није дотакао правило.

Веза је по кориснику, мрежа није

Windows држи објекат везе у профилу корисника који ју је направио. Виртуелни адаптер који ствара, руте које инсталира и DNS сервери које региструје делују на нивоу целог рачунала. Та подела је извор оба симптома из наслова.

То објашњава и зашто одјава првог корисника обично поправи другог. Уклањање везе уклања адаптер и руте с њом, а стање на нивоу рачунала враћа се на оно пре него што се било ко повезао. То је корисна дијагностика: ако одјава поправи други налог, гледате дељено стање, а не покварен профил.

Оно што не можете јесте да дате другој сесији другу табелу рутирања. Табела је једна и било које две сесије је деле. То је својство оперативног система, а не ограничење одређеног клијента. То такође значи да ће сваки дизајн који претпоставља другачије наставити да пропада, а ти кварови ће изгледати као неповезане грешке апликације.

Пронађите шта је уклонило ставку Промени корисника, овим редом

Брза промена корисника нестала је због сасвим другог разлога, а поправка нема никакве везе с рутирањем. Прођите кроз четири кандидата редом, јер прва два се поништавају у секундама, а каснији имају цену.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Вредност у регистру је најједноставније објашњење. Ако постоји и чита се као 1, ставка је скривена правилником, а путања правилника групе је Computer Configuration, Administrative Templates, System, Logon и поставка названа по скривању улазних тачака брзе промене корисника. Поставите је на Not Configured и освежите помоћу gpupdate /force.

Друга команда говори да ли се тај правилник доставља из домена, а не да ли је записан локално. Ако се појави у извештају с победничким GPO-ом, уређивање локалне вредности привремена је поправка која се враћа при следећем освежавању, а разговор припада власнику правилника.

Трећа команда покрива други механизам. Добављач акредитива или мрежног приступа који инсталира модул за пријаву може да потисне ставку док ради, а неки клијенти региструју и компоненту која се покреће пре пријаве и држи захтев на екрану за пријаву. Онемогућавање те услуге враћа промену, али уклања и функције пре пријаве или posture због којих модул постоји.

Промените то без да се закључате

Држите једну административну сесију отвореном док радите и никада не мењајте поставку на екрану за пријаву на рачунару до ког долазите само кроз тај екран. Прво одјавите остале сесије, примените промену, освежите, а затим тестирајте променом корисника, а не поновним покретањем.

Запишите које posture функције сте онемогућили. Ажурирање клијента може поново да инсталира или поново омогући модул за пријаву, а симптом се враћа без очигледног узрока, обично усред прозора подршке кад се нико не сећа претходне промене.

На управљаном уређају претпоставите да се поставка доставља одозго. Провера извештаја правилника најпре штеди сат локалних уређивања која се враћају. Такође вам каже кога питати кад је одговор не. Захтев који именује победнички правилник решава се двоструко брже од оног који описује кључ регистра који је неко већ променио.

Проверите оба налога и изаберите модел

Тестирајте резултат редом којим га доживљавају оба корисника. Пријавите се другим налогом док је први одспојен, потврдите нормалан приступ, затим повежите тунел првог налога и потврдите да је очекивана путања другог налога још увек она коју сте намеравали.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Ако оба налога заиста требају различите мрежне путање истовремено, искрен одговор су два рачунара, два виртуелна рачунара или правилник у ком је потребна само једна путања. Подељени тунел на дељеној вези може да сузи шта пролази, али не може да да свакој сесији сопствену табелу. Доћи до тога рано јефтиније је него открити након три покушаја заобилажења.

То је одлука коју треба донети изричито, а не крпити около. Једна табела рутирања, један списак резолвера, један профил заштитног зида: све остало следи из тога, а поправка која то поштује радиће и следећег месеца.