NAP / NAC und Fileserver drive mapping

[Pipeline 12]

Moin,

 

wir evaluieren gerade ein NAC System.

Dabei ist aufgefallen, dass die Useranmeldung sehr lange dauert wenn ein Client nicht compliant ist (etwa weil der Defender nicht läuft).

Das ist auch soweit nicht ganz verwunderlich, da in diesem Zustand der Zugriff auf den Fileserver unterbunden ist, somit sind die Laufwerkszuordnungen in der GPO nicht möglich.

Wenn wir testweise den Rechnern in diesem Zustand Zugriff auf den FS geben ist die Anmeldung wieder schnell.

 

Habt ihr einen Vorschlag, was wir da tun können um die Anmeldeverzögerung zu reduzieren?

Kann man das drive mapping da irgendwie aussetzen?

 

[NilsK 3.046]

Moin,

 

hat der Hersteller dazu keine Empfehlungen? Normalerweise beantwortet man "Client besteht die Prüfung nicht" ja nicht damit, dass der Client im normalen Netz bleibt, oder?

 

Gruß, Nils

 

[Pipeline 12]

Ist Cisco, die interessieren sich dann ja nicht für Folgeprobleme, wenn ein Client nicht an den Fileserver kommt und der User gerne Laufwerke hätte...

Nachtrag: 
Ich habe in der GPO bei den GPP zu den Laufwerkszuordnungen jetzt "Elementverarbeitung in dieser Erweiterung bei Fehler stoppen" aktiviert, damit läuft die Anmeldung wieder ausreichend schnell

[NilsK 3.046]

Moin,

 

ah, OK, dann hast du ja einen Ansatz. Das konkrete Problem hatte ich tatsächlich etwas überlesen. 

 

Gruß, Nils

 

[daabm 1.431]

vor 9 Stunden schrieb Pipeline:

 

Habt ihr einen Vorschlag, was wir da tun können um die Anmeldeverzögerung zu reduzieren?

 

Macht Ihr die Drive Mappings per GPP? Dann hab ich was für Dich - aber nur, wenn Ihr nicht nur SMB blockt für noncompliant Clients, sondern auch ICMP: https://evilgpo.blogspot.com/2013/01/

[Pipeline 12]

Moin Martin,

 

klasse, danke ist komplett geblockt soweit ich weiß, bin ja nicht aus dem Netzwerkteam . Das werden wir mal ausprobieren.

Nur, bleiben die LW dann ja getrennt, wenn der Client später nach Updates wieder compliant ist und nicht neustartet, richtig?

Ist auch für Drucker in unserer Terminalserver Farm eine coole Idee.

[daabm 1.431]

Naja, seit Windows 8.1 verbinden die GPP die Laufwerke auch bei einem Background-Update. Und den wiederum kannst Du über NLA triggern - gibt Events dafür. Oder Du machst nen Startmenüeintrag "Netzlaufwerke aktualisieren", der dann nur gpupdate aufruft.