Чому вхід через VPN буксує: профіль, перенаправлення чи автономні файли

Ноутбук входить в офісі приблизно за сорок секунд, а вдома витрачає хвилини, і за цей час ніхто не змінював політику. Змінилося мережеве плече під трьома функціями, які виглядають схоже й поводяться по-різному. Переміщуваний профіль завантажує стан реєстру й папки профілю, перенаправлення папок указує папку оболонки на серверну публікацію, а автономні файли тримають кеш відповідних мережевих даних. Усі три можуть додати часу входу, і зазвичай відповідальна лише одна з них.

Три очікування з трьома різними власниками

Саме переміщуваний профіль змушує параметри користувача слідувати за людиною між задіяними комп'ютерами, і завантаження відбувається на початку сеансу. Гілка реєстру користувача й папки профілю копіюються або об'єднуються під час входу, а потім записуються назад під час виходу. Ця робота синхронна, тому повільне плече до спільного ресурсу профілів відчувається як повільний робочий стіл, а не як повільне копіювання файлів.

Перенаправлення папок — інший механізм. Воно переносить вибрані папки оболонки, звичайний приклад — Документи, у підтримуване мережеве розташування й залишає їх там. Профіль тоді може лишатися малим, бо даних у ньому немає, а витрати переходять на той момент, коли оболонка або застосунок торкається цієї папки.

Автономні файли додають локальний кеш і синхронізацію для відповідних мережевих файлів. Вони відповідають на інше питання: що відбувається, коли сервер недоступний, і можуть витрачати час на синхронізацію під час входу й виходу, коли кеш застарілий. Саме ставлення до цих трьох як до одного налаштування породжує політику, повільну в один бік і марну в інший.

Виміряйте, що саме чекає

Почніть із читання, де живе профіль і чи завантажується він із серверного шляху. Потім виміряйте час переліку каталогу на кожній публікації, якої торкається сеанс, бо публікація, що відповідає за мілісекунди в локальній мережі, може витрачати секунди через тунель і завантажений файловий сервер.

Ці два факти звужують проблему швидше за будь-який аудит політик, і для їх збору не потрібно змінювати конфігурацію. Запустіть їх на постраждалому ноутбуці, а не на сервері, що стоїть поруч із публікацією.

Get-CimInstance Win32_UserProfile | Select-Object LocalPath, Loaded, SID
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\*' | Select-Object ProfileImagePath
Measure-Command { Get-ChildItem '\\fs01.corp.internal\profiles\a.singh' | Out-Null }

Якщо шлях профілю локальний і лише одна перенаправлена папка вказує на сервер, завантаження профілю — не ваше очікування, хоч би що казав тікет підтримки. Якщо шлях профілю віддалений і перелік триває секунди, вхід чекає на цю публікацію, і виправлення стосується шляху або розміру профілю, а не самого робочого столу. Читайте числа в цьому порядку, і суперечка зазвичай на цьому завершується.

Підключення з'являється після початку очікування

Користувацький тунель, що запускається з робочого столу, з'являється значно пізніше завантаження профілю, тож він не може допомогти етапу, який був повільним. Windows помічає недоступний шлях, переходить на кешовані облікові дані й локальний профіль, і сеанс зрештою відкривається. Тому той самий ноутбук може витрачати хвилини на перший домашній вхід і секунди на другий, щойно з'являється кешований профіль. Очікування реальне, але потрібного йому підключення в той момент не існує.

Виправити це означає зсунути підключення раніше, а не налаштовувати профіль. Тунель комп'ютера або підключення до входу з автентифікацією комп'ютера встановлює шлях до того, як користувач увійде, і потребує власного життєвого циклу сертифіката й власних правил брандмауера. Кешовані облікові дані — друга половина задуму, і вони працюють лише для записів, які входили раніше.

Перевіряйте послідовність, а не компоненти. Вийдіть повністю, запустіть тунель так, як це зробив би віддалений користувач, і виміряйте вхід від запиту облікових даних до працездатного робочого столу.

Тримайте документи поза профілем

Спільний ресурс профілів — невідповідне місце для великих колекцій документів, і посібник Microsoft з розгортання переміщуваних профілів саме тому тримає сховище профілів і публікації перенаправлених папок окремо. Профіль, що несе папку Документи розміром у кілька гігабайтів, буде повільним під час кожного входу й виходу, а розмір тихо зростає, доки хтось його не виміряє.

Перенаправте папки, у яких зберігаються дані, а профілю залиште параметри. Виключіть кеші, які можна відбудувати, наприклад кеші браузерів і тимчасові дані застосунків, бо їх перенесення додає часу й нічого не змінює з того, що бачить користувач. Тримайте дані поштової скриньки та інші сховища застосунків у розташуванні, яке підтримує застосунок, а не на переміщуваному шляху.

Не робіть спільний ресурс профілів доступним автономно. Автономні файли належать до відповідних публікацій даних, а кешована гілка профілю, що синхронізується в обидва боки, — це звіт про пошкодження, який чекає свого часу.

Перевірте всі чотири сценарії, перш ніж вважати це виправленим

Швидкий вхід в офісі доводить дуже мало. Задум має витримати доступ з офісу, роботу з дому через тунель, роботу без підключення й повернення в офіс, бо саме в четвертому випадку з'являються конфлікти синхронізації. Виміряйте ті самі чотири на одному контрольованому записі й зі справжніми застосунками, і запишіть числа.

Зберіть журнал служби профілів і отриманий набір політик із постраждалого сеансу, а не зі своєї адміністративної робочої станції.

Get-WinEvent -LogName 'Microsoft-Windows-User Profile Service/Operational' -MaxEvents 30
gpresult /r /scope:user
Measure-Command { Get-ChildItem '\\fs01.corp.internal\users\a.singh\Documents' | Out-Null }

Порівняйте ці часи з офісною базою й розміром того, що передається. Вхід, який навіть із малим профілем і швидкою публікацією триває хвилину, не є проблемою профілю, і наступне місце для перевірки — обробка групової політики або сценарій входу, що чекає на мережу. Якщо розрив саме там, профіль ніколи не був проблемою. Підтвердьте, що несинхронізована робота збережена, перш ніж змінювати політику папок чи очищати кеш, адже синхронізація й відновлювана резервна копія — різні гарантії.