Một VPN, hai tài khoản Windows: vì sao phiên kia hỏng
Tuyến và trình phân giải ở phạm vi toàn máy, nên đường hầm của một tài khoản chuyển hướng các tài khoản khác. Sau đó tìm xem chính sách hay mô-đun đăng nhập nào đã gỡ mục Chuyển người dùng.
Hai người đã đăng nhập, một người kết nối đường hầm công ty, và trình duyệt của tài khoản kia ngừng tải những trang vừa mở tốt một phút trước. Trên cùng máy đó, mục Chuyển người dùng cũng biến mất khỏi màn hình đăng nhập, nên người thứ hai không thể quay lại phiên của chính mình. Lần theo việc này từ phiên thứ hai ra ngoài là cách nhanh nhất để hiểu, vì không có gì trong kết nối của người dùng thứ nhất bị ẩn, và không có gì trong vấn đề của người dùng thứ hai còn bí ẩn khi bạn thấy những đối tượng nào được chia sẻ.
Bắt đầu từ phiên đã hỏng
Đi đến màn hình nền của tài khoản thứ hai, không phải tài khoản thứ nhất. Mở terminal ở đó và xem bảng định tuyến cùng danh sách trình phân giải khi phiên kia đang kết nối. Mọi thứ bạn thấy đều thuộc về máy, không thuộc về người dùng kia, và đó là manh mối đầu tiên.
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Select-Object -First 12 DestinationPrefix,NextHop,InterfaceAlias
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,ServerAddresses
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,IPv4ConnectivityNếu tuyến mặc định giờ trỏ vào giao diện đường hầm, lưu lượng của người dùng thứ hai cũng đi theo. Nếu danh sách trình phân giải có thêm một máy chủ riêng, các truy vấn của họ giờ đi đến nơi họ không thể tới khi đường hầm rớt. Không điều nào trong hai điều đó là lỗi trong ứng dụng khách; chúng là hệ quả của một ngăn xếp mạng dùng chung duy nhất.
Lệnh thứ ba giải thích loại phàn nàn thứ hai. Khi bộ điều hợp chuyển máy từ loại mạng công cộng sang riêng tư, các quy tắc tường lửa gắn với một hồ sơ thay đổi cho mọi tài khoản cùng lúc, nên những ứng dụng được cho phép buổi sáng có thể bị chặn buổi chiều mà không ai chạm vào quy tắc nào.
Kết nối là theo người dùng, mạng thì không
Windows giữ đối tượng kết nối trong hồ sơ của người dùng đã tạo ra nó. Bộ điều hợp ảo mà nó sinh ra, các tuyến nó cài đặt và các máy chủ DNS nó đăng ký đều ở phạm vi toàn máy. Sự tách biệt đó chính là nguồn gốc của cả hai triệu chứng trong tiêu đề.
Điều đó cũng giải thích vì sao đăng xuất người dùng thứ nhất thường sửa được người thứ hai. Gỡ kết nối sẽ gỡ cả bộ điều hợp và các tuyến, và trạng thái toàn máy trở về như trước khi có ai quay số. Đó là một chẩn đoán hữu ích: nếu đăng xuất sửa được tài khoản kia, bạn đang nhìn trạng thái chia sẻ chứ không phải một hồ sơ hỏng.
Điều bạn không thể làm là cho phiên thứ hai một bảng định tuyến khác. Chỉ có một bảng, và hai phiên bất kỳ đều dùng chung bảng đó. Đó là thuộc tính của hệ điều hành, không phải giới hạn của một ứng dụng khách cụ thể. Nó cũng có nghĩa là mọi thiết kế giả định ngược lại sẽ tiếp tục thất bại, và những thất bại đó sẽ trông như lỗi ứng dụng không liên quan.
Tìm ra thứ đã gỡ mục Chuyển người dùng, theo thứ tự này
Chuyển người dùng nhanh biến mất vì một lý do hoàn toàn khác, và cách khắc phục không liên quan gì đến định tuyến. Đi qua bốn ứng viên theo thứ tự, vì hai cái đầu có thể hoàn tác trong vài giây còn những cái sau có giá.
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name HideFastUserSwitching
gpresult /h $env:TEMP\gp.html
Get-Service | Where-Object { $_.DisplayName -match 'Logon|Access|Credential' } | Select-Object Status,Name,DisplayNameGiá trị sổ đăng ký là lời giải thích đơn giản nhất. Nếu nó tồn tại và đọc là 1, mục đó bị chính sách ẩn đi, và đường dẫn Chính sách Nhóm là Computer Configuration, Administrative Templates, System, Logon, cùng thiết lập được đặt tên để ẩn các điểm vào chuyển người dùng nhanh. Đặt nó thành Not Configured và làm mới bằng gpupdate /force.
Lệnh thứ hai cho bạn biết chính sách đó được phân phối từ một miền chứ không phải được ghi cục bộ. Nếu nó xuất hiện trong báo cáo với một GPO thắng thế, chỉnh giá trị cục bộ là bản sửa tạm thời sẽ quay lại ở lần làm mới tiếp theo, và cuộc trao đổi thuộc về người sở hữu chính sách.
Lệnh thứ ba bao quát cơ chế còn lại. Một nhà cung cấp thông tin xác thực hoặc truy cập mạng có cài mô-đun đăng nhập có thể chèn ép mục đó trong khi chạy, và một số ứng dụng khách còn đăng ký một thành phần khởi động trước đăng nhập và giữ yêu sách trên màn hình đăng nhập. Vô hiệu hóa dịch vụ đó khôi phục việc chuyển, nhưng cũng gỡ bỏ các chức năng trước đăng nhập hoặc posture mà mô-đun tồn tại để cung cấp.
| Cause | How to confirm | Cost of the fix |
|---|---|---|
| HideFastUserSwitching policy | Registry value present and set to 1 | None; remove the policy |
| Logon module service | Service running under a vendor name | Loses pre-logon and posture behaviour |
| GINA-era assumption | Only relevant on very old Windows | Nothing to fix; the mechanism is gone |
Thay đổi mà không tự khóa mình ra ngoài
Giữ một phiên quản trị mở trong khi làm việc, và đừng bao giờ thay đổi màn hình đăng nhập trên một máy mà bạn chỉ tiếp cận được qua chính màn hình đó. Đăng xuất các phiên khác trước, áp dụng thay đổi, làm mới, rồi kiểm tra bằng cách chuyển người dùng chứ không phải khởi động lại.
Ghi lại những chức năng posture bạn đã vô hiệu hóa. Một bản cập nhật ứng dụng khách có thể cài lại hoặc bật lại mô-đun đăng nhập, và triệu chứng quay lại mà không có nguyên nhân rõ ràng, thường là giữa một cửa sổ hỗ trợ khi không ai nhớ thay đổi trước đó.
Trên một thiết bị được quản lý, hãy giả định thiết lập được phân phối từ cấp trên. Kiểm tra báo cáo chính sách trước tiết kiệm một giờ chỉnh sửa cục bộ rồi sẽ quay lại. Nó cũng cho bạn biết nên hỏi ai khi câu trả lời là không. Một phiếu có nêu tên chính sách thắng thế được giải quyết nhanh gấp đôi phiếu chỉ mô tả một khóa sổ đăng ký mà ai đó đã đổi.
Kiểm tra cả hai tài khoản và chọn mô hình
Kiểm tra kết quả theo đúng thứ tự mà hai người dùng trải qua. Đăng nhập bằng tài khoản thứ hai khi tài khoản thứ nhất đã ngắt kết nối, xác nhận truy cập bình thường, sau đó kết nối đường hầm của tài khoản thứ nhất và xác nhận đường đi mong đợi của tài khoản thứ hai vẫn đúng như bạn dự định.
qwinsta
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Select-Object InterfaceAlias,NextHop,RouteMetric
Test-NetConnection -ComputerName intranet.example.internal -Port 443Nếu cả hai tài khoản thực sự cần những đường mạng khác nhau cùng lúc, câu trả lời trung thực là hai máy, hai máy ảo, hoặc một chính sách chỉ yêu cầu một đường. Đường hầm chia tách trên kết nối chung có thể thu hẹp những gì đi qua, nhưng nó không thể cho mỗi phiên một bảng riêng. Đến đó sớm rẻ hơn là phát hiện sau ba lần thử lách.
Đó là quyết định cần đưa ra một cách rõ ràng thay vì vá quanh. Một bảng định tuyến, một danh sách trình phân giải, một hồ sơ tường lửa: mọi thứ khác đều theo từ đó, và cách sửa tôn trọng điều này sẽ vẫn hoạt động vào tháng sau.