Bitta VPN, ikkita Windows akkaunti: nega ikkinchi seans buziladi
Marshrutlar va resolverlar butun mashina miqyosida, shuning uchun bitta akkaunt tunnelisi boshqalarning yo‘lini o‘zgartiradi. Keyin «Foydalanuvchini almashtirish» bandini qaysi siyosat yoki kirish moduli olib tashlaganini toping.
Ikki kishi tizimga kirgan, ulardan biri korporativ tunnelga ulanadi va boshqa akkaunt brauzeri bir daqiqa oldin yaxshi ochilgan sahifalarni yuklashni to‘xtatadi. Xuddi shu mashinada kirish ekranidan «Foydalanuvchini almashtirish» bandi ham yo‘qolgan, shuning uchun ikkinchi odam o‘z seansiga qayta olmaydi. Buni ikkinchi seansdan tashqariga qarab kuzatish tushunishning eng tez yo‘li, chunki birinchi foydalanuvchi ulanishida yashirin narsa yo‘q va qaysi obyektlar umumiy ekanini ko‘rgach, ikkinchi foydalanuvchi muammosida sir qolmaydi.
Buzilgan seansdan boshlang
Birinchi emas, ikkinchi akkauntning ish stoliga o‘ting. U yerda terminal ochib, ikkinchi seans ulangan paytda marshrutlash jadvali va resolverlar ro‘yxatini ko‘ring. Ko‘rayotganingizning hammasi mashinaga tegishli, boshqa foydalanuvchiga emas, va bu birinchi belgi.
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4ConnectivityAgar standart marshrut endi tunnel interfeysiga ishora qilsa, ikkinchi foydalanuvchi trafigi ham unga ergashadi. Agar resolverlar ro‘yxatiga xususiy server qo‘shilgan bo‘lsa, ularning so‘rovlari endi tunnel uzilgach yetib bo‘lmaydigan joyga ketadi. Bularning hech biri klientdagi xato emas; bu bitta umumiy tarmoq stekining oqibati.
Uchinchi buyruq shikoyatlarning ikkinchi turini tushuntiradi. Adapter mashinani umumiy tarmoq toifasidan xususiy toifaga o‘tkazganda, profilga bog‘langan brandmauer qoidalari barcha akkauntlar uchun bir vaqtda o‘zgaradi, shuning uchun ertalab ruxsat berilgan ilovalar tushdan keyin hech kim qoidaga tegmasa ham bloklanishi mumkin.
Ulanish har bir foydalanuvchiniki, tarmoq unday emas
Windows ulanish obyektini uni yaratgan foydalanuvchi profilida saqlaydi. U yaratadigan virtual adapter, o‘rnatadigan marshrutlar va ro‘yxatga oladigan DNS serverlari butun mashina miqyosida. Shu bo‘linish sarlavhadagi ikkala belgining manbai.
Bu, shuningdek, birinchi foydalanuvchini tizimdan chiqarish odatda ikkinchisini tuzatishini tushuntiradi. Ulanishni olib tashlash adapterni va marshrutlarni ham olib ketadi, mashina miqyosidagi holat esa birov ulanishdan oldingi holatga qaytadi. Bu foydali diagnostika: agar chiqish boshqa akkauntni tuzatsa, siz buzilgan profilni emas, umumiy holatni ko‘ryapsiz.
Qila olmaydigan ishingiz ikkinchi seansga boshqa marshrutlash jadvalini berishdir. Jadval bitta va har qanday ikki seans uni baham ko‘radi. Bu muayyan klientning cheklovi emas, operatsion tizimning xossasi. Bu, shuningdek, boshqacha deb hisoblaydigan har qanday loyiha doim muvaffaqiyatsiz bo‘lishini bildiradi va bu nosozliklar bir-biriga bog‘liq bo‘lmagan ilova xatolaridek ko‘rinadi.
«Foydalanuvchini almashtirish» bandini nima olib tashlaganini shu tartibda toping
Tez foydalanuvchi almashtirish butunlay boshqa sababdan yo‘qoldi va tuzatish marshrutlashga hech qanday aloqasi yo‘q. To‘rt nomzodni tartib bilan ko‘rib chiqing, chunki birinchi ikkitasi soniyalarda qaytariladi, keyingilari esa qimmatga tushadi.
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayNameReyestr qiymati eng oddiy tushuntirish. Agar u mavjud bo‘lib, 1 deb o‘qilsa, band siyosat orqali yashirilgan, guruh siyosati yo‘li esa Computer Configuration, Administrative Templates, System, Logon va tez foydalanuvchi almashtirish kirish nuqtalarini yashirish uchun nomlangan sozlamadir. Uni Not Configured holatiga qo‘ying va gpupdate /force bilan yangilang.
Ikkinchi buyruq bu siyosat mahalliy yozilganmi yoki domendan yetkazilayotganini aytadi. Agar u hisobotda g‘olib GPO bilan chiqsa, mahalliy qiymatni tahrirlash keyingi yangilanishda qaytadigan vaqtinchalik tuzatishdir va bu masalani siyosat egasi bilan gaplashish kerak.
Uchinchi buyruq boshqa mexanizmni qamrab oladi. Kirish modulini o‘rnatadigan hisob ma’lumotlari yoki tarmoqqa kirish provayderi ishlab turganda bandni bostirishi mumkin, ba’zi klientlar esa kirishdan oldin ishga tushadigan va kirish ekranida da’vo ushlab turadigan komponentni ham ro‘yxatga oladi. O‘sha xizmatni o‘chirish almashtirishni tiklaydi, ammo modul taqdim etish uchun mavjud bo‘lgan kirishdan oldingi yoki posture funksiyalarini ham olib tashlaydi.
| Cause | How to confirm | Cost of the fix |
|---|---|---|
| HideFastUserSwitching policy | Registry value present and set to 1 | None; remove the policy |
| Logon module service | Service running under a vendor name | Loses pre-logon and posture behaviour |
| GINA-era assumption | Only relevant on very old Windows | Nothing to fix; the mechanism is gone |
O‘zingizni tashqarida qulflab qo‘ymasdan o‘zgartiring
Ishlayotganda bitta administrator seansini ochiq tuting va faqat shu ekran orqali yetib boriladigan mashinada kirish ekrani sozlamasini hech qachon o‘zgartirmang. Avval boshqa seanslardan chiqing, o‘zgarishni qo‘llang, yangilang, so‘ngra qayta ishga tushirish o‘rniga foydalanuvchilarni almashtirib sinang.
Qaysi posture funksiyalarini o‘chirganingizni yozib qo‘ying. Klient yangilanishi kirish modulini qayta o‘rnatishi yoki qayta yoqishi mumkin va belgi aniq sababsiz qaytadi, odatda hech kim oldingi o‘zgarishni eslamaydigan qo‘llab-quvvatlash oynasi o‘rtasida.
Boshqariladigan qurilmada sozlama yuqoridan yetkaziladi deb hisoblang. Siyosat hisobotini avval tekshirish qaytadigan mahalliy tahrirlardan bir soatni tejaydi. Shuningdek, javob «yo‘q» bo‘lganda kimdan so‘rashni ham aytadi. G‘olib siyosatni nomlagan chipta, kimdir allaqachon o‘zgartirgan reyestr kalitini tasvirlagan chiptadan ikki barobar tez hal qilinadi.
Ikkala akkauntni tekshiring va modelni tanlang
Natijani ikki foydalanuvchi boshdan kechiradigan tartibda sinang. Birinchi akkaunt uzilgan holatda ikkinchi akkaunt bilan kiring, oddiy kirishni tasdiqlang, so‘ngra birinchi akkaunt tunnelini ulang va ikkinchi akkauntning kutilgan yo‘li hali ham siz mo‘ljallagan yo‘l ekanini tasdiqlang.
qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443Agar ikkala akkauntga bir vaqtda turli tarmoq yo‘llari haqiqatan kerak bo‘lsa, halol javob ikki mashina, ikki virtual mashina yoki faqat bitta yo‘l talab qilinadigan siyosatdir. Umumiy ulanishdagi bo‘lingan tunnel nima o‘tishini toraytirishi mumkin, ammo har bir seansga o‘z jadvalini bera olmaydi. Buni uch urinishdan keyin aniqlashdan ko‘ra erta tan olish arzon.
Bu atrofida yamoq qo‘yish emas, ochiq ravishda qabul qilinadigan qaror. Bitta marshrutlash jadvali, bitta resolverlar ro‘yxati, bitta brandmauer profili: qolgan hamma narsa shundan kelib chiqadi va buni hurmat qiladigan tuzatish keyingi oyda ham ishlaydi.