2K8R2 - Offlinedateien sind permanent Offline auch über VPN

[svenider]

Guten Abend,

ja, der Titel ist etwas verwirrend!

Hier das Setup:

pFsense als Firewall/Router
2008R2 als DC/AD/ADCS/DNS/DHCP

VPN (Site-To-End PPTP) läuft einwandfrei. Die Clients gehen über die Windows 7 Boardmittel rein. Kein externer Dialer oder ähnliches!

Die Clients sind Domänenmitglieder und haben 2 Netzlaufwerke welche Sie per Script (persistent:yes!) bekommen. Diese wurde als "Offline Verfügbar" markiert. Also ganz normale Umgebung. Durch das persistent:yes bleiben die Netzlaufwerke auch bei einem Login außerhalb des Standortes gemountet. Der CSC-Cache läuft soweit einwandfrei.

Wenn der Client jetzt die VPN-Verbindung aufbaut, sollten die Laufwerke als Online markiert werden, damit diese auch synchronisiert werden können. Dies passiert aber nicht.

Es hat heute aber mal ganz kurz geklappt! Also mit dem Grundlegenden Setup sollte alles in Ordnung sein.

Im Moment ist es aber so, dass das Synchronisationscenter nur "Nicht Verbunden" meldet. Den Fileserver kann ich regulär anpingen. Ich kann auch per UNC drauf.

In der pFsense gibt es nur eine any-any-Regel. Also wird hier nichts geblockt.

Hat hier jemand Ideen??

Danke....


Grüße

[svenider]

UPDATE:

Die Ursache ist nun bekannt. Die VPN-Anmeldedaten werden auch beim Zugriff auf SHARES abgeglichen.

Konkretes Beispiel:

Benutzer-Name (AD): Karl Huber
PPTP-User (pFsense): Huber

Wenn ich nun mit "Huber" die VPN-Verbindung starte, dann habe ich keinen Zugriff auf die Freigaben, auf die "Karl Huber" normalerweiße Zugriff hat.

Leider kann ich "Karl Huber" nicht als PPTP-User in der pFsense anlegen, da diese "Username contains invalid charakter" meldet. Klar; das Leerzeichen.

Nun die Überlegungen dieses Problem zu umgehen:

1. Gibt es eine Möglichkeit, dass Windows trotz des PPTP-Usernames den angemeldeten User verwendet?

2. Gibt es eine Möglichkeit die Einschränkung in der pFsense zu umgehen?

3. Soll ich einfach parallel die PPTP-User auch in der AD mit den gleichen Berechtigungen anlegen?

4. Irgendwas, an was ich nicht gedacht habe?

Die Windowsbenutzernamen sollten nicht geändert werden!

Grüße

[iDiddi]

4. Irgendwas, an was ich nicht gedacht habe?

Ich denke schon. Du könntest versuchen, die Netzlaufwerke mit anderem Benutzernamen zuzuweisen. Also mit Karl Huber.

[svenider]

Moin,

Ich denke schon. Du könntest versuchen, die Netzlaufwerke mit anderem Benutzernamen zuzuweisen. Also mit Karl Huber.

Häh? Karl Huber, also der volle Name, ist ja der AD-Name, welcher Zugriff auf die Shares hat. Du meinst ich soll den PPTP-User (Huber) zu den Shares hinzufügen? Wenn du das meinst; dass war ja mein 3ter-Vorschlag....

Hatte aber hierbei Bedenken, dass da irgendwas nicht rund läuft. Da ja rein theoretisch, der User Huber den CSC-Cache von Karl Huber aktualisiert. Ist der CSC dafür ausgelegt?

Grüße

[iDiddi]

Nein. Wenn die Laufwerkszuweisung manuell oder per Skript erolgt, kannst Du bei der Zuweisung doch einen Benutzer mit PW zuordnen. Dort dann den AD-Benutzer fest hinterlegen, damit er eben nicht den VPN-Benutzer nimmt. Sollte doch eigentlich klappen.

[olc]

Hi,

schau einmal hier hinein, das sollte helfen: "Access Denied" error message when you try to access remote resources


Viele Grüße
olc

[svenider]

olc Hi, schau einmal hier hinein, das sollte helfen: "Access Denied" error message when you try to access remote resources Viele Grüße olc

Das klang äußerst vielversprechend. Leider aber ohne Erfolg. Habe die "rasphone" Config unter User\Username\App\LocalLow\Microsoft\Networt\PBK.... angepasst (UseRASCreditentials=0).

Er nimmt aber immer noch die PPTP-Daten für die Authentifizierung. Wenn ich z.B. direkt per UNC auf eine Server-IP gehe, dann bringt er halt das Anmelung fehlgeschlagen Fenster mit dem Usernamen vom PPTP-Login.

Ich kann mich dann zwar schon mit den richtigen AD-Userdaten einloggen, aber das ist ja mehr als umständlich.

[iDiddi]

Noch ein Versuch, obwohl Du mich ja scheinbar ignorierst

Gehe mal unter Benutzerkonten-Einstellungen auf "Eigene Anmeldeinformationen verwalten". Such Dir die gespeicherte Verbindung zum Freigabe-Server heraus und bearbeite diese so, dass der Domänenbenutzer dort drin steht.

Falls das auch nicht klappt, dann bitte schreiben.

[svenider]

Noch ein Versuch, obwohl Du mich ja scheinbar ignorierst Gehe mal unter Benutzerkonten-Einstellungen auf "Eigene Anmeldeinformationen verwalten". Such Dir die gespeicherte Verbindung zum Freigabe-Server heraus und bearbeite diese so, dass der Domänenbenutzer dort drin steht. Falls das auch nicht klappt, dann bitte schreiben.

Wow, habe deinen Post #5 vollkommen übersehen

Das geht bestimmt (werde ich auch nachher im Büro gleich mal testen)

ABER: Die müssen Ihr PW alle 30-Tage ändern (Vorschrift). Dann müssten die ja jedesmal diese Daten erneuern.....

Es muss doch eine Möglichkeit geben, dass Windows nicht die PPTP-Daten sondern die eigentlichen AD-Daten nimmt?!

[icePatrick]

Probier mal dein Login Script wie folgt anzupassen:
net use T: \\server\freigabe /user:"%username%" /persistent:yes

Wobei du server und freigabe durch deine Werte ersetzt. Dann sollte es passen, das Passwort kennt Windows ja bereits, somit sollte keine weitere Abfrage stattfinden. Hochkommas bei %username% nicht vergessen, da ihr Leerzeichen in den Benutzernamen habt. Gabs mit diesen Leerzeichen bisher noch keine Probleme?