Ad Gruppenmitgliedschaft wird beim vpn login nicht aktualisiert

[testperson 1.859]

Hi,

 

eine Option wäre noch die Registry Keys aus der Antwort hier zu testen: Network location awareness not detecting domain network from offsite location - Microsoft Q&A

Zitat

First, disable Domain Discovery negative cache by adding the NegativeCachePeriod registry key to following subkey:

 

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetLogon\Parameters
Name: NegativeCachePeriod
Type: REG_DWORD
Value Data: 0 (default value: 45 seconds; set to 0 to disable caching)

 

If issue doesn’t resolve, furtherly disable DNS negative cache by adding the MaxNegativeCacheTtl registry key to the following subkey:

 

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters
Name: MaxNegativeCacheTtl
Type: REG_DWORD
Value Data: 0 (default value: 5 seconds; set to 0 to disable caching)

 

Note: This registry key disables the Domain detection negative cache. NLA normally detect Domain multiple times at network setup (triggered by route change, IP address change etc). But if the first time detection failed with negative result (such as ERROR_NO_SUCH_DOMAIN), this negative result gets cached in netlogon, and will be reused in next time NLA domain discovery.

 

There is also another registry key we need add:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NlaSvc\Parameters

Add a DWORD parameter :AlwaysExpectDomainController

Set value to:1

 

Note: This registry key alters the behavior when NLA retries domain detection.

 

Ein weiterer Ansatz wäre, aus dem o.g. Link vorher einen "Always On VPN Device" Tunnel aufbauen lassen, sofern das mit der Fortigate machbar ist.

 

Gruß

Jan

[phatair 40]

vor 7 Minuten schrieb testperson:

eine Option wäre noch die Registry Keys aus der Antwort hier zu testen: Network location awareness not detecting domain network from offsite location - Microsoft Q&A

Zitat

Interessant - das gleiche Problem haben wir immer mal wieder auch. 

Den RegKey werde ich mal ausprobieren.

 

Danke Dir.

 

vor 7 Minuten schrieb testperson:

Ein weiterer Ansatz wäre, aus dem o.g. Link vorher einen "Always On VPN Device" Tunnel aufbauen lassen, sofern das mit der Fortigate machbar ist.

 

Das Thema werde ich mal unseren Fortigate Kollegen geben. Danke!

[cj_berlin 1.508]

vor 2 Stunden schrieb phatair:

Wir sprechen ja von dieser GPO, richtig?

Korrekt.

[daabm 1.429]

vor 8 Stunden schrieb testperson:

Hi,

 

eine Option wäre noch die Registry Keys aus der Antwort hier zu testen: Network location awareness not detecting domain network from offsite location - Microsoft Q&A

 

Ein weiterer Ansatz wäre, aus dem o.g. Link vorher einen "Always On VPN Device" Tunnel aufbauen lassen, sofern das mit der Fortigate machbar ist.

 

Gruß

Jan

 

Haben wir alles durch, hilft nicht. Die RootDSE braucht bis zu 30 Sekunden (ist leider ein wenig "random"). Auch WaitForNetwork hilft nicht - der Logon-Dialog, auf dem man die VPN-Verbindung dann herstellen kann, kommt erst nach Ablauf dieser Wait-Time.

AlwaysOn bzw. "automatisch beim Systemstart" könnte helfen, aber das ist bei uns nicht dauerhaft umsetzbar.

bearbeitet 2. Juli 2024 von daabm