none
Clients über VPN an AD anbinden RRS feed

 > 

  • Frage

  • Question
    Anmelden
    0
    Anmelden
    Hallo zusammen,

    zuerst zur Lage: Es geht um 3 Standorte, am Standort A befindet sich der Windows Server 2003 mit funktionierender AD. Clients am selben Standort konnten der Domäne ohne Probleme hinzugefügt werden. Zusätzlich gibt es noch Standort B und C die jeweils mit Standort A über VPN verbunden sind. Die VPN-Verbindung wird leider exkusiv durch die T-Com verwaltet. Clients an den Standorten B und C konnten zwar in die Domäne eingebunden werden übernehemen jedoch die Gruppenrichtlinien nicht. An jedem Standort ein Server ist im Augenblick keine Option, da jeweils nur 1 bzw 2 Clients vorhanden sind.

    Welche Punkte sind den zu beachten um dies Über die VPN zu bewerkstelligen?

    Grüße
    Daniel
    Donnerstag, 20. August 2009 20:15
    |

Alle Antworten

  • Question
    Anmelden
    0
    Anmelden

    Moin Daniel,

    oftmals sind es folgende Punkte:

    - Die Gruppenrichtlinie "trifft" das AD Objekt nicht
    - Keine korrekte DNS Auflösung im Standort
    - Die Slow Link Detection ist zu hoch eingestellt
    - Firewall verhindert ICMP-Pakete
    - Firewall blockt zu große ICMP-Pakete (Slow Link Detection)

    Möglichkeiten:

    - DNS prüfen
    - RSOP mit den AD Objekten durchführen und auswerten
    - Slow Link (zumindest temporär) ausschalten
    - Paketfiltereinstellungen überprüfen
    - Ein gpupdate /force macht sich ab und an nicht schlecht

    http://www.gruppenrichtlinien.de/index.html?/Grundlagen/Slow_Link_Detection.htm

    Gruß,

    Michael

    http://www.lernschmiede.de
    Donnerstag, 20. August 2009 20:56
    |
  • Question
    Anmelden
    0
    Anmelden
    wie verhält sich die Windows Firewall zum Thema "zu große ICMP-Pakete"?
    Donnerstag, 20. August 2009 21:10
    |
  • Question
    Anmelden
    0
    Anmelden

    Kannst ja mal mit

    ping -l 2048 [ziel]
    antesten, ob es klappt. (Sollte es.)

    Gruß,

    Michael
    http://www.lernschmiede.de
    Donnerstag, 20. August 2009 21:58
    |
  • Question
    Anmelden
    0
    Anmelden

    also im augenblick kann ich nur die 3 Router in den Standorten anpingen (vom Server aus) da die Stationen aus sind:

    Standort C:

    Ping wird ausgefhrt fr 192.168.3.1 mit 2048 Bytes Daten:
    Antwort von 192.168.3.1: Bytes=2048 Zeit=177ms TTL=59
    Antwort von 192.168.3.1: Bytes=2048 Zeit=175ms TTL=59
    Antwort von 192.168.3.1: Bytes=2048 Zeit=175ms TTL=59
    Antwort von 192.168.3.1: Bytes=2048 Zeit=175ms TTL=59
    Ping-Statistik fr 192.168.3.1:
        Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0 (0% Verlust),
    Ca. Zeitangaben in Millisek.:
        Minimum = 175ms, Maximum = 177ms, Mittelwert = 175ms

    Standort B:

    Ping wird ausgefhrt fr 192.168.2.1 mit 2048 Bytes Daten:
    Antwort von 192.168.2.1: Bytes=2048 Zeit=196ms TTL=59
    Antwort von 192.168.2.1: Bytes=2048 Zeit=196ms TTL=59
    Antwort von 192.168.2.1: Bytes=2048 Zeit=196ms TTL=59
    Antwort von 192.168.2.1: Bytes=2048 Zeit=195ms TTL=59
    Ping-Statistik fr 192.168.2.1:
        Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0 (0% Verlust),
    Ca. Zeitangaben in Millisek.:
        Minimum = 195ms, Maximum = 196ms, Mittelwert = 195ms

    Standort A:

    Ping wird ausgefhrt fr 192.168.1.1 mit 2048 Bytes Daten:
    Antwort von 192.168.1.1: Bytes=2048 Zeit=1ms TTL=60
    Antwort von 192.168.1.1: Bytes=2048 Zeit=1ms TTL=60
    Antwort von 192.168.1.1: Bytes=2048 Zeit=1ms TTL=60
    Antwort von 192.168.1.1: Bytes=2048 Zeit=1ms TTL=60
    Ping-Statistik fr 192.168.1.1:
        Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0 (0% Verlust),
    Ca. Zeitangaben in Millisek.:
        Minimum = 1ms, Maximum = 1ms, Mittelwert = 1ms

    also könnte man Slow Link schon ausschließen oder?

    Donnerstag, 20. August 2009 22:11
    |
  • Question
    Anmelden
    0
    Anmelden

    Würde ich so nicht unterschreiben wollen. Die Clients pingen ja den DC an, um die Netzwerkgeschwindigkeit zu ermitteln. Ist es denen zu langsam, fallen halt ein paar GPOs aus. Ich würde trotzdem nochmal alles in Ruhe Schritt für Schritt (am System) ausschließen. Das wird heute vermutlich nicht mehr gelingen ;)

    Gruß,

    Michael

    http://www.lernschmiede.de
    Donnerstag, 20. August 2009 22:34
    |
  • Question
    Anmelden
    0
    Anmelden

    Holla,

    also ich habe nun einmal Testweise folgende änderung in den Gruppenrichtlinien vorgenommen:

    Gruppenrichtlinien zur Erkennung von langsamen Verbindungen: Aktiviert
    Verbindungsgeschwindigkeit (kBit/s): 0 

    Ordnerumleitungs-Richtlinienverarbeitung Aktiviert
    Verarbeitung über eine langsame Verbindung zulassen Aktiviert
    Gruppenrichtlinienobjekte auch ohne Änderungen bearbeiten Aktiviert 

    daraufhin haben die Clients die Orderumleitung angenommen, jedoch werden zb Logonscripte nicht übernommen oder auch die Softwareverteilung die nicht funktioniert -> was ich jedoch durch die Gruppenrichtlinien zur Erkennung von langsamen Verbindungen mit einem Wert von 0 also deakteviert.
     

     

     

    Freitag, 21. August 2009 11:02
    |
  • Question
    Anmelden
    0
    Anmelden
    guten morgen,

    gibt es sonst jemanden der eine idee hat?
    Montag, 24. August 2009 07:28
    |
  • Question
    Anmelden
    0
    Anmelden
    Hi Daniel,

    check mal den folgenden Artikel: http://technet.microsoft.com/en-us/library/cc781809%28WS.10%29.aspx
    Zitat:

    Common script errors include:

    • Incorrect script path.
    • Script time-out.
    • Access to script is restricted by means of ACLs (typically for startup/shutdown scripts that run as computer, not user).

    If a logon script fails, it typically does not affect the other scripts. However, startup scripts are often run synchronously, and a failure of one of these scripts can affect scripts intended to run later.

    To investigate, check the Application Event Log for entries with UserInit as the source.


    Vielleicht liegt hier das Problem.

    Viele Grüße
    Fabian
    http://blogs.technet.com/deds
    Donnerstag, 27. August 2009 20:27
    |
    Beantworter
  • Question
    Anmelden
    0
    Anmelden
    Hey Fabian,

    Danke für die Antwort, nur leider Bezieht sich das Problem nicht nur auf die Scripte sondern auch auf die Ordnerumleitung und die Softwareverteilung. Also alle dei merkmale die für Slow Link Detection sprechen würden, wenn diese denn laufen würde wenn man die Slow Link Detection abschalten würde... :( mir gehen leider mitlaweile auch die Ideen aus :(
    Donnerstag, 27. August 2009 21:09
    |
  • Question
    Anmelden
    0
    Anmelden
    Hallo Daniel,

    was sagt denn das RSOP für den entsprechenden Client/Benutzer? Gibt es Hinweise aus dem Ereignisprotokoll, welches zielführend wäre? Die Probleme sind noch etwas unspezifisch. Kann der Client das Startskript manuell ausführen, wenn Du aus dem Standort direkt in den beinhaltenden Ordner gehst? Wird die Ordnerumleitung gar nicht umgesetzt, d.h. wurde der Umleitungsordner in der Freigabe gar nicht erstellt?  Läuft das gpupdate /force korrekt durch oder kommt irgendeine Fehlermeldung? Wird die Software an die Rechner oder an die Benutzer verteilt? Wird die Software zugewiesen oder veröffentlicht? Welchen Durchsatz hat die Leitung und wie groß ist die Software, die verteilt werden soll? Office 2007 auf 64 KBit dürfte eine Weile dauern. Kann die Software installiert werden, wenn sie der Client direkt aus dem Share aufruft? Wird eine einzelne Richtlinie eingesetzt oder sind es mehrere, die nicht funktionieren? Trifft die Richtlinie auch ganz sicher das entsprechende Benutzer- oder Computerobjekt? (RSOP...)

    Du schreibst trotz den Hinweisen leider wenig dazu, was Du bereits gemacht hast und wie die Ergebnisse aussahen. Dieser Umstand macht es umso schwieriger, wenigstens nach dem Ausschlußprinzip vorzugehen - welches eine Möglichkeit wäre, da i.A. scheinbar kein Mitforist eine konkrete Ursache im Auge hat - oder zumindest nicht einstellen will.

    Gruß,

    Michael
    http://www.lernschmiede.de
    Donnerstag, 27. August 2009 21:32
    |
  • Question
    Anmelden
    0
    Anmelden

    Holla,

    also zum Thema RSoP:

    habe das ganze mal aus: Standort A (Standort des Servers) und Standort B (über VPN mit A verbunden) gemacht:

    RSoP
    Standort A: verhielt sich erwartungsgemäß. Alle Gruppenrichtlinene wurden angewendet.

    Standort B: Laut RSoP gibt es hier keine Logon- bzw Logoffscripte. Zusätzlich gab er folgende 2 Fehlermeldungen:
    1: Mittwoch, 26. August 2009 10:08:43 - Folder Redirection hat die Richtlinienverarbeitung nicht abgeschlossen. Die Einstellungen werden erst bei der nächsten Anmeldung durch den Benutzer wirksam. Die Gruppenrichtlinie versucht dann, die Einstellungen vorzunehmen.
    2: Mittwoch, 26. August 2009 10:08:49 - Softwareinstallation hat die Richtlinienverarbeitung nicht abgeschlossen. Die Einstellungen werden erst bei der nächsten Anmeldung durch den Benutzer wirksam. Die Gruppenrichtlinie versucht dann, die Einstellungen vorzunehmen.

    Für alle alle Authentifizierte Benutzer wurden folgende Richtlinien u.a. angelegt:

    Richtlinie für Ordnerumleitung und Grp.-Verzeichnis:
    Benutzerkonfiguration (Aktiviert)

    Windows-Einstellungen
    Skripts
    Anmelden
    Name Parameter
    standardgruppenverzeichnis_logon.bat 

    Abmelden
    Name Parameter
    standardgruppenverzeichnis_logoff.bat 

    Ordnerumleitung
    Anwendungsdaten
    Einstellung: Standard (Leitet alle Ordner auf den gleichen Pfad um)
    Pfad: \\server\home$\%USERNAME%\Anwendungsdaten
    Optionen
    Dem Benutzer exklusive Zugriffsrechte für Anwendungsdaten erteilen Aktiviert
    Den Inhalt von Anwendungsdaten an den neuen Ort verschieben Aktiviert
    Verhalten bei Entfernen der Richtlinie Inhalt belassen

    Desktop
    Einstellung: Standard (Leitet alle Ordner auf den gleichen Pfad um)
    Pfad: \\server\home$\%USERNAME%\Desktop
    Optionen
    Benutzer exklusive Zugriffsrechte für Desktop erteilen Aktiviert
    Den Inhalt von Desktop an neuen Ort verschieben Aktiviert
    Verhalten bei Entfernen der Richtlinie Inhalt belassen

    Eigene Dateien
    Einstellung: Standard (Leitet alle Ordner auf den gleichen Pfad um)
    Pfad: \\server\home$\%USERNAME%\Eigene Dateien
    Optionen
    Benutzer exklusive Zugriffsrechte für "Eigene Dateien" erteilen Aktiviert
    Den Inhalt von "Eigene Dateien" an neuen Ort verschieben Aktiviert
    Verhalten bei Entfernen der Richtlinie Inhalt belassen

    Richtlinie für OFFICE11 verteilung:
    Benutzerkonfiguration (Aktiviert)
    Softwareeinstellungen
    Veröffentlichte Anwendungen
    Microsoft Office Standard Edition 2003
    Produktinformationen
    Name Microsoft Office Standard Edition 2003
    Version 11.0
    Sprache Deutsch (Deutschland)
    Plattform Intel
    Aktuelle URL http://www.microsoft.com/germany/support

    Bereitstellungsinformation
    Allgemein Einstellung
    Bereitstellungsart Veröffentlicht
    Bereitstellungsquelle \\server\msi$\OFFICE11\STD11.MSI
    Benutzeroberflächenoptionen für die Installation Einfach
    Automatisch installieren, wenn die Dateierweiterung aktiviert wird Aktiviert
    Anwendung deinstallieren, wenn sie außerhalb des Verwaltungsbereichs liegt Deaktiviert
    Paket in der Systemsteuerung unter Software nicht anzeigen Deaktiviert

    Erweiterte Bereitstellungsoptionen Einstellung
    Sprache beim Bereitstellen dieses Pakets ignorieren Deaktiviert
    Diese 32-Bit-X86-Anwendung für Win64-Computer bereitstellen Aktiviert
    OLE-Klasse und Produktinformationen einbeziehen. Aktiviert

    Diagnoseinformationen Einstellung
    Produktcode {***-***-***-***-***}
    Bereitstellungsanzahl 0

    Sicherheit
    BerechtigungenTyp Name Berechtigung Geerbt
    Zulassen BG-KN\Domänen-Admins Vollzugriff Nein
    Zulassen NT-AUTORITÄT\SYSTEM Vollzugriff Nein
    Zulassen NT-AUTORITÄT\Authentifizierte Benutzer Lesen Nein
    Zulassen BG-KN\Domänen-Admins Lesen, Schreiben Ja
    Zulassen BG-KN\Organisations-Admins Lesen, Schreiben Ja
    Zulassen ERSTELLER-BESITZER Lesen, Schreiben Ja
    Zulassen NT-AUTORITÄT\SYSTEM Lesen, Schreiben Ja
    Zulassen NT-AUTORITÄT\Authentifizierte Benutzer Lesen Ja
    Zulassen NT-AUTORITÄT\DOMÄNENCONTROLLER DER ORGANISATION Lesen Ja
    Berechtigungen übergeordneter Objekte, sofern vererbbar, über alle untergeordneten Objekte verbreiten. Aktiviert

    Erweitert
    Updates Einstellung
    Vorhandene Pakete aktualisieren Deaktiviert
    Pakete, die von diesem Paket aktualisiert werden Gruppenrichtlinienobjekt
    Kein
     
    Pakete des aktuellen Gruppenrichtlinienobjekts, durch die dieses Paket aktualisiert wird Kein

    Kategorien
    Kein

    Transform
    Kein

    Startskript manuell ausführen:
    die Scripte lassen sich aus dem Standort B manuell aufrufen (\\***\SysVol\***\Policies\{C42C9817-93A4-4D64-94A8-60CBE2EDE279}\User\Scripts\Logon\standardgruppenverzeichnis_logon.bat)

    gpupdate /force
    läuft ohne Fehlermeldung durch

    Software an die Rechner oder an die Benutzer verteilt / zugewiesen oder veröffentlicht
    diese wird an die User veröffenlicht.

    Logs reiche ich gleich noch nach.

    Ich hoffe das Problem wird nun etwas klarer

    Freitag, 28. August 2009 09:26
    |
  • Question
    Anmelden
    0
    Anmelden
    Oha, der Mailer hatte mich gar nicht informiert! Bin mehr oder minder durch Zufall nochmal in den Thread gegangen. Vielen Dank für die ausführlichen Infos. Ich werde am WE auch auch nochmal meine Literatur zum Thema auspacken. Das Problem fängt mich langsam an zu interessieren. (... sicher wieder nur ein "Häckchen" oder dergleichen...)

    Beste Grüße,

    Michael
    http://www.lernschmiede.de
    Freitag, 28. August 2009 21:44
    |
  • Question
    Anmelden
    0
    Anmelden
    Hi Daniel,

    auch, wenn mehrere Komponenten betroffen sind heißt es nicht, daß die Ursache für die Probleme dieselbe ist. ;-)
    Daher habe ich den Troubleshooting Hinweis zu den Scripts ganz bewußt gepostet. :-)

    Ist die Option "Always wait for the network" aktiviert? Falls nicht, aktiviere diese einmal testweise auf den betroffenen Clients: http://support.microsoft.com/kb/304970/en-US

    Viele Grüße
    Fabian
    http://blogs.technet.com/deds
    Samstag, 29. August 2009 10:35
    |
    Beantworter
  • Question
    Anmelden
    0
    Anmelden
    Hallo Daniel

    gibt es Neuerungen zu deinen Problem? Haben dir die vorgeschlagenen Lösungsansätze weitergeholfen?

    Gruß
    Andrei
    Dienstag, 8. September 2009 10:05
    |
    Moderator
  • Question
    Anmelden
    0
    Anmelden
    Hi Andrei,

    Im Augenblick bin ich im Urlaub daher kann ich wenig neues zu dem Problem sagen außer: Die wichtigsten einstellungen wurden vorrübergehend an den 3 betreffenden Clients von Hand eingetragen - somit ersteinmal eine Alternative - bis ich wieder aus dem Urlaub im Büro bin.
    Dienstag, 8. September 2009 10:22
    |