Зашто се пријава преко VPN-а вуче: профил, преусмеравање или ванмрежне датотеке

Лаптоп се у канцеларији пријави за око четрдесет секунди, а код куће му требају минути, и нико у међувремену није променио политику. Променио се мрежни пут испод три функције које изгледају слично, а понашају се различито. Покретни профил учитава стање регистра и фасцикле профила, преусмеравање фасцикли усмерава фасциклу љуске на серверски удео, а ванмрежне датотеке држе кеш подобних мрежних података. Сва три могу додати време пријави, и обично је одговорно само једно од њих.

Три чекања са три различита власника

Управо покретни профил чини да подешавања корисника прате особу између рачунара који учествују, а учитавање се дешава рано у сесији. Огранак регистра корисника и фасцикле профила копирају се или спајају при пријави, а затим уписују назад при одјави. Тај рад је синхрон, зато се спор пут до удела профила осећа као спор десктоп, а не као споро копирање датотека.

Преусмеравање фасцикли је други механизам. Премешта изабране фасцикле љуске, Документи су уобичајен пример, на подржано мрежно место и оставља их тамо. Профил тада може остати мали, јер подаци нису у њему, а трошак се премешта на тренутак када љуска или апликација дотакне ту фасциклу.

Ванмрежне датотеке додају локални кеш и синхронизацију за подобне мрежне датотеке. Оне одговарају на друго питање, наиме шта се дешава када сервер није доступан, и могу потрошити време на синхронизацију при пријави и одјави када је кеш застарео. Управо третирање сва три као једног подешавања ствара политику која је спора у једном смеру и бескорисна у другом.

Измерите шта заправо чека

Почните тако што ћете прочитати где профил живи и да ли се учитава са серверске путање. Затим измерите време листе директоријума на сваком уделу који сесија дотакне, јер удео који у локалној мрежи одговори за милисекунде може преко тунела и заузетог сервера датотека да потраје секунде.

Ове две чињенице сужавају проблем брже од било које ревизије политике, и за њихово прикупљање није потребна измена конфигурације. Покрените их на погођеном лаптопу, а не на серверу који стоји поред удела.

Get-CimInstance Win32_UserProfile | Select-Object LocalPath, Loaded, SID
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\*' | Select-Object ProfileImagePath
Measure-Command { Get-ChildItem '\\fs01.corp.internal\profiles\a.singh' | Out-Null }

Ако је путања профила локална и само једна преусмерена фасцикла показује на сервер, учитавање профила није ваше чекање, шта год да каже тикет подршке. Ако је путања профила удаљена и листа траје секунде, пријава чека тај удео, а исправка се тиче путање или величине профила, а не самог десктопа. Читајте бројеве тим редом и расправа се обично ту завршава.

Веза стиже пошто је чекање почело

Тунел корисника који се покреће са десктопа појављује се много после учитавања профила, тако да не може помоћи фази која је била спора. Windows примећује недоступну путању, прелази на кеширане акредитиве и локални профил, и сесија се на крају отвара. Зато исти лаптоп код куће при првој пријави може да потраје минуте, а при другој секунде, када већ постоји кеширани профил. Чекање је стварно, али веза која му је потребна у том тренутку не постоји.

Поправити то значи померити везу раније, а не подешавати профил. Тунел рачунара или веза пре пријаве са аутентификацијом рачунара успоставља путању пре него што се корисник пријави, и потребан му је сопствени животни циклус сертификата и сопствена правила заштитног зида. Кеширани акредитиви су друга половина дизајна, и раде само за налоге који су се раније пријављивали.

Тестирајте редослед, а не компоненте. Одјавите се потпуно, покрените тунел како би то учинио удаљени корисник, и измерите пријаву од захтева за акредитиве до употребљивог десктопа.

Држите документе изван профила

Удео профила је погрешно место за велике збирке докумената, и Microsoft водич за распоређивање покретних профила управо зато држи складиште профила и уделе преусмерених фасцикли одвојено. Профил који носи фасциклу Документи од неколико гигабајта биће спор при свакој пријави и одјави, а величина тихо расте док је неко не измери.

Преусмерите фасцикле које држе податке, а профилу оставите подешавања. Искључите кешеве који могу поново да се изграде, попут кешева прегледача и привремених података апликација, јер њихов пренос додаје време и не мења ништа што корисник види. Држите податке поштанског сандучета и друга складишта апликација на месту које апликација подржава, а не на покретној путањи.

Не учините удео профила доступним ван мреже. Ванмрежне датотеке припадају подобним уделима података, а кеширани огранак профила који се синхронизује у оба смера је извештај о оштећењу који чека да се догоди.

Проверите сва четири сценарија пре него што то прогласите решеним

Брза пријава у канцеларији доказује веома мало. Дизајн мора да издржи приступ из канцеларије, рад од куће кроз тунел, рад без везе и повратак у канцеларију, јер се у четвртом случају појављују конфликти синхронизације. Измерите иста четири са једним контролисаним налогом и стварним апликацијама, и запишите бројеве.

Прикупите дневник услуге профила и добијени скуп политика из погођене сесије, а не са своје административне радне станице.

Get-WinEvent -LogName 'Microsoft-Windows-User Profile Service/Operational' -MaxEvents 30
gpresult /r /scope:user
Measure-Command { Get-ChildItem '\\fs01.corp.internal\users\a.singh\Documents' | Out-Null }

Упоредите та времена са основном линијом у канцеларији и са величином онога што се преноси. Пријава која и са малим профилом и брзим уделом траје минут није проблем профила, и следеће место за гледање је обрада групне политике или скрипта за пријаву која чека мрежу. Ако је јаз тамо, профил никада није био проблем. Потврдите да је несинхронизовани рад сачуван пре него што промените политику фасцикли или очистите кеш, јер су синхронизација и обновљива резервна копија различите гаранције.