Abmeldescripts dauern extrem lange bei VPN-Verbindung

[stefan.macke 10]

Hallo zusammen!

 

Erstmal vorweg: Alle gut festhalten heute nachmittag, damit mir keiner wegweht :D

 

Nun zu meinem Problem: Unsere Benutzer bekommen per Gruppenrichtlinie Abmeldeskripts zugewiesen, die unter "normalen" Bedingungen (Anmeldung am physikalischen Netz) auch reibungslos funktionieren und innerhalb weniger Sekunden durchlaufen.

 

Ist der Benutzer aber per VPN angemeldet (das läuft über eine Checkpoint VPN-Appliance) werden die Scripts nicht ausgeführt und nach ziemlich genau 10 Minuten (rein zufällig der Windows-Standardwert, wie lange auf Scripts gewartet werden soll!?) geht es dann mit dem Herunterfahren weiter.

 

Ich habe schon rumprobiert und zunächst die Wartezeit für Scripts herabgesetzt, in der Hoffnung, dass wenn die Scripts schon nicht ausgeführt werden wenigstens die Abmeldung schneller läuft. Mit einem Testscript, das länger braucht als die vergebene Zeit, und mit Anmeldung direkt am Netz funktionierte die Einstellung auch: Das Script wurde einfach nach Ablauf der vergebenen Zeit von Windows beendet und fertig.

 

Anders jedoch beim Anmelden via VPN: Das Script wird weder aufgerufen noch vorzeitig beendet. Eine Überprüfung des RSOP zeigt aber, dass alle Richtlinien richtig greifen. Der Client steht einfach so 10 Minuten auf der Ausgabe "Abmeldescripts werden ausgeführt". Laut %SYSTEMROOT%\Debug\UserMode\userenv.log braucht der Prozess userinit.exe so lange.

 

Was kann man da tun? Die Scripts müssen ausgeführt werden (was im Moment per VPN ja gar nicht klappt) und dann auch noch schnell.

 

Vielleicht weiß ja jemand was dazu :)

 

Danke schonmal!

Stefan

[red0 10]

Hallo, kann es sein das die Netzwerk (VPN) verbindung vorher getrennt wird und er somit das gewünschte ziel nicht erreichen kann?

 

Wir haben das selbe Problem, und das war eben meine erste Vermutung. Ich habe mich allerdings noch nicht näher damit beschäftigt!

 

lg Patrick

[stefan.macke 10]

Mhh... das dachte ich mir auch schon. Aber ich habe einen Test gemacht, bei dem ich den VPN-Client dauerhaft angepingt habe. Der Client antwortet bis kurz vor der Meldung "Windows wird heruntergefahren", also hat er beim Ausführen der Scripts zumindest noch eine Netzwerkverbindung...

[stefan.macke 10]

Also ich glaube ich habe die Lösung für mein Problem gefunden...

 

Und zwar blockiert unsere Firewall die Pings, mit denen Windows versucht herauszufinden, ob eine langsame Netzwerkverbindung besteht. Wie man in der Microsoft Knowledge Base nachlesen kann, werden 2KB große ICMP-Pakete verwendet, die unsere Firewall laut deren Log als verdächtig einstuft und nicht durchlässt. Dadurch bricht die Erkennung langsamer Netzwerke ständig mit der folgenden Meldung in der userenv.log ab:

PingComputer: Second send failed with 11010

 

Werde mal versuchen, die Pakete an der Firewall durchzulassen und hoffe, dass ich so irgendwie weiterkomme...