Netzlaufwerke über VPN mit Domänenanmeldung

[kingof 10]

Hallo,

 

ich habe folgendes Problem: Wir haben ein VPN, was soweit auch funktioniert. Die User müssen entweder eine Clientsoftware starten oderbei manchen es gibt einen eigenen Router, damit die VPN-Verbindung aufgebaut wird. Zugriff auf die AS400 und den Domino-Server ist möglich.

 

Problem ist der Zugriff auf die Netzlaufwerke. Die Clients melden sich unterwegs an ihrem jeweiligen Laptop offline an der Domäne an.Die VPN-Verbindung wird erst nach der Anmeldung mit einer Clientsoftware aufgebaut. Die Auhtentifizierung läuft also über den lokalen Cache und nicht über den DC. Hiermit funktioniert der Zugriff auf die Netzlaufwerke nach der Anmeldung nicht.

 

Wenn sich die User lokal am Laptop mit gleichem Usernamen und Kennwort wie in der Domäne anmelden und sich dann mit dem VPN verbinden, klappt der Zugriff auf die Netzlaufwerke.

 

So wie es aussieht, ist es ein Problem der Authentifizierung. Gibt es die Möglichkeit, dass der Client irgendwie mitgeteilt bekommt, dass er sich nach der Anmeldung am VPN nochmal am PDC authentifiziert? Wenn ich die Netzlaufwerke nach Anmeldung am VPN über ein Script verbinde und ihm Benutzername und Kennwort mitgebe, d.h. net use x: \\server\test /User..., dann funktioniert es. Allerdings ist das keine saubere Lösung, da zum einen Username und Kennwort im Klartext in der Batch stehen, und zum andern bei Änderung des Kennworts auch das Script angepasst werden muss.

 

Kennt jemand eine Möglichkeit, diese Situation so zu lösen, dass die User trotz offline-Anmeldung an der Domäne auf die Netzlaufwerke zugreifen können?

[grizzly999 11]

Entweder die option im Anmeldefenster "Über DFÜ-netzwerk anmelden" benutzen, ich bin mir aber nicht sicher, ob das mit Eurem Dritthersteller-VPN-Client funktioniert.

Oder: mit CMAk arbeiten, da kann man Skripts in beinahe allen Phasen des Tunnelaufbaus einsetzen.

 

grizzly999

[kingof 10]

Anmelden am DFü-Netzwerk wäre schön, klappt aber hier leider nicht. Was ist denn CMAK?

[Hr_Rossi 10]

hi

 

cmak --> auf deutsch "Verbindungs Manager Verwaltungskit"

 

hier was zu lesen:

http://www.microsoft.com/technet/prodtechnol/windowsserver2003/de/library/ServerHelp/af3c0cb6-4916-435c-8057-fede35818122.mspx

 

lg

rossi

[Josh16 10]

Hast du uns vorenthalten welche Clientsoftware das ist, oder hab ichs nur überlesen?

[kingof 10]

Sorry, dass ich mich so spät melde, es handelt sich um Aventail Client-Software.

[kingof 10]

Ich möchte das Thema noch mal „aufwärmen“, da das Problem weiterhin besteht und wir noch keine adäquate Lösung gefunden haben. Die von Euch beschriebenen Tools funktionieren meiner Ansicht nach nur mit einer in Windows eingerichteten Verbindung. Das ist hier ja nicht der Fall, da wir die Client-Software von Aventail einsetzen namens „Aventail Connect“.

 

Um es noch mal kurz ins Gedächtnis zu rufen: Zugriff von unterwegs auf die Netzlaufwerke funktioniert nicht. User meldet sich als domäne\user am Laptop an, während die Domäne natürlich nicht verfügbar ist und somit die zwischengespeicherten Anmeldedaten verwendet werden. Nach der Anmeldung startet er Aventail Connect und ist mit dem Firmennetzwerk verbunden. Zugriff auf „nicht-Windows-authentifizierte“ Programme funktioniert, d.h. z.B. Lotus und As400-Sitzungen. Die Server, auf die zugegriffen werden soll, sind in der Hosts-Datei hinterlegt. Wenn nun aber auf ein Netzlaufwerk mit dem user domäne\user zugegriffen werden soll, weist er auf ein Berechtigungsproblem hin, obwohl der User die Berechtigungen hat. Dieses Netzlaufwerk ist zuvor in der Firma mit einem Anmeldeskript und der Option persistent:yes verbunden worden. Trenne ich nun diese Netzwerkverbindung und versuche, sie mit einem net use Befehl unter dem aktuellen usernamen wieder herzustellen, meckert er an, dass eine Verbindung unter anderem Namen bereits besteht. Erst, wenn ich das Laufwerk unter Verwendung eines anderen Domänen-Accounts verbinde, funktioniert es. Das ist aber natürlich nicht Sinn der Sache.

 

Es muss irgendwo bei der Anmeldung /Authentifizierung haken. Ich habe auch einmal versucht, dem Laptop als DNS-Server den internen Firmen-DNS-Server des Domänencontrollers mitzugeben, das funktioniert dann aber nur dann, wenn der Laptop vor der Anmeldung bereits per Router mit der Firma verbunden ist. Mit der Client-VPN-Lösung nach der Anmeldung gibt es aber auch hier Probleme.

 

Vielleicht hat ja noch jemand eine Idee, an welcher Schraube ich noch drehen könnte…

[Pipeline 11]

MoiN!

 

Noch mal n ganze doofe Frage.

Hast du dir die VPN Software genau angekuckt?

Wir nutzen den Cisco VPN CLient und bei dem gibt es eine Funktion, die dafür sorgt, dass sich der VPN Client als Dienst schion vor der Anmeldung startet und die Verbindung aufbaut.

 

So ist dann natürlich eine Domänenanmeldung möglich.

 

Grüße,

Pipeline

[XP-Fan 215]

Hallo,

 

wenn dein VPN client keine Anmeldung an der Domäne zulässt, sehe ich eigentlich nur die Möglichkeit, per net use die Laufwerke zu mappen.

dazu ist es notwenig alle vorhandenen Laufwerke zu trennen.

 

Net use /delete

 

Dann eine erneute Verbindung unter Verwendung des Benutzers mit Domäne.

Net use x: \\Server\Freigabe /user:domäne\benutzer passwort /persistent:no

 

Es gibt hier auch Tools welche den Ablauf "verbergen, sodaß der Benutzer nicht den Ablauf sieht.

Anderer Lösungsweg wäre eine Convertierung in eine .exe Datei, um Änderungen auszuschließen.

 

Dem Benutzer kann nun eine Verknüfung auf dem Desktop zur Verfügung gestellt werden oder in der VPN Verbindung definiert werden, sofern diese das zulässt.

[kingof 10]

Zu Pipeline: Wir hatten schon mit der Herstellerfirma des VPN-Clients gesprochen, leider ist ein Start vor der Anmeldung nicht möglich.

 

Zu XP-Fan: Das haben wir so auch schon probiert. Ich denke, dass das "persistant:yes" in unseren Skripten zu Problemen führt. D.h. er versucht auch bei der "Offline"-Anmeldung die Laufwerke zu verbinden, was natürlich nicht funktioniert; es kann ja erst gehen, nachdem der Client gestartet ist. Deshalb nehme ich mal diesen Parameter raus und versuche es dann mit folgendem weg:

 

net use x: \\server\freigabe * /user:domäne\%username% /persistent:no

 

Das Sternchen bewirkt, dass der User sein Kennwort eingeben muss, somit muss das Kennwort nicht im Klartext in die Batchdatei reingeschrieben werden.

[kingof 10]

Also ich habe das gestern mal wie beschrieben ausprobiert und es scheint so zu funktionieren.