ایک VPN، دو Windows اکاؤنٹس: دوسرا سیشن کیوں خراب ہوتا ہے
روٹس اور ریزالور مشین بھر کے ہوتے ہیں، اسی لیے ایک اکاؤنٹ کا ٹنل باقیوں کا راستہ بدل دیتا ہے۔ پھر معلوم کریں کہ 'صارف تبدیل کریں' کا اندراج کس پالیسی یا سائن اِن ماڈیول نے ہٹایا۔
دو لوگ سائن اِن ہیں، ایک کارپوریٹ ٹنل سے جڑتا ہے، اور دوسرے اکاؤنٹ کا براؤزر ایک منٹ پہلے تک ٹھیک چلنے والے صفحات لوڈ کرنا بند کر دیتا ہے۔ اسی مشین پر سائن اِن اسکرین سے 'صارف تبدیل کریں' کا اندراج بھی غائب ہو گیا ہے، اس لیے دوسرا شخص اپنے سیشن میں واپس نہیں آ سکتا۔ اسے دوسرے سیشن سے باہر کی طرف دیکھنا اسے سمجھنے کا تیز ترین طریقہ ہے، کیونکہ پہلے صارف کے کنکشن میں کچھ بھی پوشیدہ نہیں ہے، اور یہ دیکھنے پر کہ کون سی اشیاء مشترک ہیں دوسرے صارف کے مسئلے میں کوئی راز نہیں رہتا۔
اُس سیشن سے شروع کریں جو خراب ہوا
پہلے نہیں، دوسرے اکاؤنٹ کے ڈیسک ٹاپ پر جائیں۔ وہاں ٹرمینل کھولیں اور دوسرا سیشن جڑا ہونے کے دوران روٹنگ ٹیبل اور ریزالور کی فہرست دیکھیں۔ آپ جو کچھ دیکھتے ہیں وہ مشین کا ہے، دوسرے صارف کا نہیں، اور یہی پہلا سراغ ہے۔
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4Connectivityاگر ڈیفالٹ روٹ اب ٹنل انٹرفیس کی طرف اشارہ کرتا ہے تو دوسرے صارف کی ٹریفک بھی اسی کے پیچھے جاتی ہے۔ اگر ریزالور فہرست میں کوئی نجی سرور آ گیا ہے تو ان کی تلاشیں اب ایسی جگہ جاتی ہیں جہاں ٹنل گرنے کے بعد وہ نہیں پہنچ سکیں گے۔ ان میں سے کوئی بھی کلائنٹ میں خرابی نہیں ہے؛ یہ ایک مشترکہ نیٹ ورک اسٹیک کے نتائج ہیں۔
تیسرا حکم شکایات کی دوسری قسم کی وضاحت کرتا ہے۔ جب اڈاپٹر مشین کو عوامی سے نجی نیٹ ورک کے زمرے میں بدلتا ہے تو پروفائل سے منسلک فائر وال کے قواعد تمام اکاؤنٹس کے لیے ایک ساتھ بدل جاتے ہیں، اس لیے صبح کی اجازت شدہ ایپلیکیشنز دوپہر کو کسی کے قاعدے کو چھوئے بغیر بلاک ہو سکتی ہیں۔
کنکشن ہر صارف کا ہے، نیٹ ورک نہیں
Windows کنکشن آبجیکٹ کو اُس صارف کے پروفائل میں رکھتا ہے جس نے اسے بنایا۔ یہ جو ورچوئل اڈاپٹر بناتا ہے، جو روٹس نصب کرتا ہے اور جو DNS سرورز رجسٹر کرتا ہے وہ پوری مشین کے دائرے میں ہیں۔ یہی تقسیم سرخی کے دونوں نشانات کی اصل ہے۔
یہ یہ بھی بتاتا ہے کہ پہلے صارف کا سائن آؤٹ عام طور پر دوسرے کا مسئلہ کیوں ٹھیک کرتا ہے۔ کنکشن ہٹانے سے اڈاپٹر اور روٹس بھی ہٹ جاتے ہیں، اور مشین بھر کی حالت واپس ویسی ہو جاتی ہے جیسی کسی کے جڑنے سے پہلے تھی۔ یہ مفید تشخیص ہے: اگر سائن آؤٹ دوسرے اکاؤنٹ کو ٹھیک کر دے تو آپ خراب پروفائل نہیں بلکہ مشترکہ حالت دیکھ رہے ہیں۔
آپ جو نہیں کر سکتے وہ دوسرے سیشن کو الگ روٹنگ ٹیبل دینا ہے۔ ٹیبل ایک ہی ہے، اور کوئی بھی دو سیشن اسے مشترکہ استعمال کرتے ہیں۔ یہ آپریٹنگ سسٹم کی خصوصیت ہے، کسی خاص کلائنٹ کی حد نہیں۔ اس کا مطلب یہ بھی ہے کہ اِس کے برعکس فرض کرنے والا کوئی بھی ڈیزائن مسلسل ناکام ہوگا، اور وہ ناکامیاں غیر متعلقہ ایپلیکیشن کیڑوں جیسی نظر آئیں گی۔
'صارف تبدیل کریں' کا اندراج کس نے ہٹایا، اس ترتیب سے تلاش کریں
تیز صارف تبدیلی بالکل الگ وجہ سے غائب ہوئی ہے، اور اس کا حل روٹنگ سے کوئی تعلق نہیں رکھتا۔ چار امیدواروں کو ترتیب سے دیکھیں، کیونکہ پہلے دو سیکنڈوں میں واپس آ سکتے ہیں، جبکہ بعد والوں کی قیمت ہے۔
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayNameریجسٹری کی قدر سب سے سادہ وضاحت ہے۔ اگر وہ موجود ہو اور 1 پڑھے تو اندراج پالیسی سے چھپا ہوا ہے، اور گروپ پالیسی کا راستہ Computer Configuration, Administrative Templates, System, Logon اور تیز صارف تبدیلی کے داخلی مقامات چھپانے کے لیے نامزد سیٹنگ ہے۔ اسے Not Configured پر رکھیں اور gpupdate /force سے تازہ کریں۔
دوسرا حکم بتاتا ہے کہ وہ پالیسی ڈومین سے آ رہی ہے یا مقامی طور پر لکھی گئی ہے۔ اگر وہ رپورٹ میں جیتنے والے GPO کے ساتھ دکھائی دے تو مقامی قدر میں ترمیم ایک عارضی حل ہے جو اگلی تازہ کاری پر واپس چلا جائے گا، اور یہ بات پالیسی کے مالک سے کرنی چاہیے۔
تیسرا حکم دوسرے طریقہ کار کا احاطہ کرتا ہے۔ سائن اِن ماڈیول نصب کرنے والا اسناد یا نیٹ ورک رسائی فراہم کنندہ چلتے وقت اندراج کو دبا سکتا ہے، اور بعض کلائنٹ سائن اِن اسکرین پر دعویٰ رکھنے والا سائن اِن سے پہلے شروع ہونے والا جزو بھی رجسٹر کرتے ہیں۔ اس سروس کو بند کرنے سے تبدیلی بحال ہو جاتی ہے، مگر ماڈیول کے سائن اِن سے پہلے یا posture کے وہ افعال بھی ہٹ جاتے ہیں جن کے لیے وہ موجود ہے۔
| Cause | How to confirm | Cost of the fix |
|---|---|---|
| HideFastUserSwitching policy | Registry value present and set to 1 | None; remove the policy |
| Logon module service | Service running under a vendor name | Loses pre-logon and posture behaviour |
| GINA-era assumption | Only relevant on very old Windows | Nothing to fix; the mechanism is gone |
خود کو باہر بند کیے بغیر اسے تبدیل کریں
کام کرتے وقت ایک انتظامی سیشن کھلا رکھیں، اور ایسی مشین پر سائن اِن اسکرین کی تبدیلی کبھی نہ کریں جہاں آپ صرف اسی اسکرین سے پہنچتے ہیں۔ پہلے دیگر سیشنز سے سائن آؤٹ کریں، تبدیلی لاگو کریں، تازہ کریں، اور پھر دوبارہ شروع کرنے کے بجائے صارف تبدیل کر کے جانچیں۔
آپ نے کون سے posture افعال بند کیے، لکھ لیں۔ کلائنٹ کی تازہ کاری سائن اِن ماڈیول دوبارہ نصب یا دوبارہ فعال کر سکتی ہے، اور نشان واضح وجہ کے بغیر واپس آتا ہے، عام طور پر سپورٹ ونڈو کے بیچ میں جب کسی کو پہلی تبدیلی یاد نہیں ہوتی۔
زیرِ انتظام ڈیوائس پر فرض کریں کہ سیٹنگ اوپر سے آتی ہے۔ پہلے پالیسی رپورٹ دیکھنے سے واپس جانے والی مقامی ترامیم کا ایک گھنٹہ بچتا ہے۔ یہ یہ بھی بتاتا ہے کہ جواب نہ ہو تو کس سے پوچھیں۔ جیتنے والی پالیسی کا نام لینے والا ٹکٹ، کسی کے پہلے ہی بدلے ہوئے ریجسٹری کلید کو بیان کرنے والے ٹکٹ سے دوگنا تیزی سے حل ہوتا ہے۔
دونوں اکاؤنٹس جانچیں اور ماڈل منتخب کریں
نتیجے کی جانچ اُسی ترتیب سے کریں جس میں دونوں صارفین اسے تجربہ کرتے ہیں۔ پہلا اکاؤنٹ منقطع ہونے کے دوران دوسرے اکاؤنٹ سے سائن اِن کریں، عام رسائی کی تصدیق کریں، پھر پہلے اکاؤنٹ کا ٹنل جوڑیں اور تصدیق کریں کہ دوسرے اکاؤنٹ کا متوقع راستہ اب بھی وہی ہے جو آپ نے چاہا تھا۔
qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443اگر دونوں اکاؤنٹس کو ایک ہی وقت میں مختلف نیٹ ورک راستے واقعی درکار ہوں تو سچا جواب دو مشینیں، دو ورچوئل مشینیں یا ایسی پالیسی ہے جس میں صرف ایک راستہ درکار ہو۔ مشترکہ کنکشن پر تقسیم شدہ ٹنل گزرنے والی چیزوں کو کم کر سکتا ہے، مگر ہر سیشن کو اپنا ٹیبل نہیں دے سکتا۔ تین کوششوں کے بعد دریافت کرنے سے بہتر ہے کہ جلد مان لیا جائے۔
یہ وہ فیصلہ ہے جو گرد و نواح میں پیوند لگانے کے بجائے واضح طور پر لینا چاہیے۔ ایک روٹنگ ٹیبل، ایک ریزالور فہرست، ایک فائر وال پروفائل: باقی سب اسی سے نکلتا ہے، اور اس کا احترام کرنے والا حل اگلے مہینے بھی کام کرے گا۔