Tek VPN, iki Windows hesabı: diğer oturum neden bozulur

İki kişi oturum açmış durumda, biri kurumsal tünele bağlanıyor ve diğer hesabın tarayıcısı bir dakika önce sorunsuz çalışan sayfaları yüklemeyi bırakıyor. Aynı makinede oturum açma ekranından Kullanıcı değiştir girdisi de kayboldu, bu yüzden ikinci kişi kendi oturumuna geri dönemiyor. Bunu ikinci oturumdan dışarıya doğru izlemek anlamanın en hızlı yolu, çünkü birinci kullanıcının bağlantısında gizli hiçbir şey yok ve hangi nesnelerin paylaşıldığını gördüğünüzde ikinci kullanıcının sorununda gizem kalmıyor.

Bozulan oturumdan başlayın

Birinci hesabın değil, ikinci hesabın masaüstüne gidin. Orada bir terminal açın ve diğer oturum bağlıyken yönlendirme tablosuna ve çözümleyici listesine bakın. Gördüğünüz her şey makineye aittir, diğer kullanıcıya değil, ve bu ilk ipucudur.

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivity

Varsayılan yol artık tünel arabirimini gösteriyorsa ikinci kullanıcının trafiği de onu izler. Çözümleyici listesine özel bir sunucu eklendiyse aramaları artık tünel düştüğünde ulaşamayacakları bir yere gider. Bunların hiçbiri istemcide bir hata değil; tek bir paylaşılan ağ yığınının sonuçlarıdır.

Üçüncü komut ikinci tür şikâyeti açıklar. Bir bağdaştırıcı makineyi genel ağ kategorisinden özel ağa geçirdiğinde, bir profile bağlı güvenlik duvarı kuralları tüm hesaplar için aynı anda değişir, bu yüzden sabah izin verilen uygulamalar kimse bir kurala dokunmadan öğleden sonra engellenebilir.

Bağlantı kullanıcı başına, ağ değil

Windows bağlantı nesnesini onu oluşturan kullanıcının profilinde tutar. Ürettiği sanal bağdaştırıcı, kurduğu yollar ve kaydettiği DNS sunucuları makine genelindedir. Bu ayrım başlıktaki iki belirtinin de kaynağıdır.

Bu aynı zamanda birinci kullanıcının oturumunu kapatmanın neden genellikle ikincisini düzelttiğini açıklar. Bağlantıyı kaldırmak bağdaştırıcıyı ve yolları da kaldırır, makine genelindeki durum kimse bağlanmadan önceki haline döner. Bu yararlı bir tanıdır: oturum kapatma diğer hesabı düzeltiyorsa bozuk bir profile değil, paylaşılan duruma bakıyorsunuz.

Yapamayacağınız şey ikinci oturuma farklı bir yönlendirme tablosu vermektir. Tablo birdir ve herhangi iki oturum onu paylaşır. Bu, belirli bir istemcinin sınırlaması değil işletim sisteminin bir özelliğidir. Ayrıca aksini varsayan her tasarımın başarısız olmaya devam edeceği ve bu başarısızlıkların ilgisiz uygulama hataları gibi görüneceği anlamına gelir.

Kullanıcı değiştir girdisini neyin kaldırdığını bu sırayla bulun

Hızlı kullanıcı değiştirme tamamen farklı bir nedenle kayboldu ve düzeltmenin yönlendirmeyle hiçbir ilgisi yok. Dört adayı sırayla ele alın, çünkü ilk ikisi saniyeler içinde geri alınabilir, sonrakilerin bir maliyeti vardır.

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayName

Kayıt defteri değeri en basit açıklamadır. Varsa ve 1 okuyorsa girdi ilke tarafından gizlenmiştir ve grup ilkesi yolu Computer Configuration, Administrative Templates, System, Logon ile hızlı kullanıcı değiştirme giriş noktalarını gizlemek için adlandırılmış ayardır. Bunu Not Configured olarak ayarlayın ve gpupdate /force ile yenileyin.

İkinci komut bu ilkenin yerel olarak yazılmak yerine bir etki alanından teslim edilip edilmediğini söyler. Raporda kazanan bir GPO ile görünüyorsa yerel değeri düzenlemek bir sonraki yenilemede geri dönecek geçici bir düzeltmedir ve bu görüşme ilkenin sahibiyle yapılmalıdır.

Üçüncü komut diğer mekanizmayı kapsar. Oturum açma modülü kuran bir kimlik bilgisi veya ağ erişimi sağlayıcısı çalışırken girdiyi bastırabilir ve bazı istemciler oturum açmadan önce başlayıp oturum açma ekranında bir talep tutan bir bileşen de kaydeder. Bu hizmeti devre dışı bırakmak değiştirmeyi geri getirir ama modülün sağlamak için var olduğu oturum öncesi veya posture işlevlerini de kaldırır.

Kendinizi kilitlemeden değiştirin

Çalışırken bir yönetici oturumu açık tutun ve yalnızca o ekran üzerinden ulaşabildiğiniz bir makinede oturum açma ekranı değişikliğini asla yapmayın. Önce diğer oturumları kapatın, değişikliği uygulayın, yenileyin ve ardından yeniden başlatmak yerine kullanıcı değiştirerek test edin.

Hangi posture işlevlerini devre dışı bıraktığınızı not edin. Bir istemci güncellemesi oturum açma modülünü yeniden kurabilir veya yeniden etkinleştirebilir ve belirti belirgin bir neden olmadan geri döner, genellikle kimsenin önceki değişikliği hatırlamadığı bir destek penceresinin ortasında.

Yönetilen bir cihazda ayarın yukarıdan teslim edildiğini varsayın. İlke raporunu önce kontrol etmek geri dönecek yerel düzenlemelerden bir saat tasarruf sağlar. Yanıt hayır olduğunda kime soracağınızı da söyler. Kazanan ilkeyi adlandıran bir bilet, birinin zaten değiştirdiği bir kayıt defteri anahtarını anlatan bir biletten iki kat hızlı çözülür.

İki hesabı doğrulayın ve modeli seçin

Sonucu iki kullanıcının deneyimlediği sırayla test edin. Birinci hesap bağlantısı kesilmişken ikinci hesapla oturum açın, normal erişimi doğrulayın, ardından birinci hesabın tünelini bağlayın ve ikinci hesabın beklenen yolunun hâlâ amaçladığınız yol olduğunu doğrulayın.

qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443

İki hesap gerçekten aynı anda farklı ağ yollarına ihtiyaç duyuyorsa dürüst yanıt iki makine, iki sanal makine veya yalnızca bir yolun gerektiği bir ilkedir. Paylaşılan bağlantıdaki bölünmüş tünel neyin geçtiğini daraltabilir ama her oturuma kendi tablosunu veremez. Buraya erken varmak, üç dolambaç denemesinden sonra keşfetmekten daha ucuzdur.

Bu, etrafını yamamak yerine açıkça verilmesi gereken karardır. Bir yönlendirme tablosu, bir çözümleyici listesi, bir güvenlik duvarı profili: geri kalan her şey bundan çıkar ve buna saygı duyan düzeltme gelecek ay da çalışır.