GPO per collegamenti

[mmiat]

salve a tutti
ho un problema interessante.... ho un NAS, il cui nome è FILES, che diventa inaccessibile quando collegati in VPN alla rete aziendale a meno di chiamarlo con l'fqdn, ovvero FILES.dominio.local
Ora, nei preferiti di esplora risorse ho inserito un collegamento a FILES, ma quando configuro le GPO posso inserire solo l'hostname (mi fa' scegliere da un elenco di cartelle/percorsi, non posso inserirlo a mano....), il che ovviamente è un problema dato l'inghippo di cui sopra.
Se invece salvo o modifico il link manualmente riesco a inserire il nome completo, ma ovviamente vorrei una policy per non dovermi passare 20 e più client....
Perciò, vorrei salvare il link con il nome completo, ma dalla console delle GPO non riesco. Ho provato ad editare il file xml, e nella console visualizzo poi il nome completo, ma poi il link punta sempre al semplice hostname.
Qualcuno ha qualche indicazione in merito? Spero di essere stato chiaro
grazie

[Dane]

stai usando le preferenze a livello di utente?
Sei sicuro di non sbagliare percorso/permessi/chenesoio?

Hai provato a fare un workaround: crei un link mettendolo da qualche parte, poi via gpo lo copi dove deve stare.


Infine.... se sono in vpn.... sono configurati correttamente i suffissi dns?

[mmiat]

Originariamente inviato da Dane

stai usando le preferenze a livello di utente?
Sei sicuro di non sbagliare percorso/permessi/chenesoio?

Hai provato a fare un workaround: crei un link mettendolo da qualche parte, poi via gpo lo copi dove deve stare.

Infine.... se sono in vpn.... sono configurati correttamente i suffissi dns?

no no il link lo crea e funziona, solo non come voglio io
sì dns ok, infatti apro la share di rete, però poi mi dice che non ho i permessi per accedervi

per il workaround: quando mi apre la finestra per scegliere la risorsa mi chiede di selezionare una cartella, non accedo a livello di file

[Dane]

ma il nas è in dominio?

Per aprire gpmc usi altre credenziali?

[mmiat]

Originariamente inviato da Dane

ma il nas è in dominio?

Per aprire gpmc usi altre credenziali?

sì e dipende, ho provato sia dal mio profilo (non amministratore, lanciando gpmc come altro utente) che direttamente dall'utente amministratore, ma non è cambiato niente

[Kaya]

Originariamente inviato da mmiat

salve a tutti
ho un problema interessante.... ho un NAS, il cui nome è FILES, che diventa inaccessibile quando collegati in VPN alla rete aziendale a meno di chiamarlo con l'fqdn, ovvero FILES.dominio.local
Ora, nei preferiti di esplora risorse ho inserito un collegamento a FILES, ma quando configuro le GPO posso inserire solo l'hostname (mi fa' scegliere da un elenco di cartelle/percorsi, non posso inserirlo a mano....), il che ovviamente è un problema dato l'inghippo di cui sopra.
Se invece salvo o modifico il link manualmente riesco a inserire il nome completo, ma ovviamente vorrei una policy per non dovermi passare 20 e più client....
Perciò, vorrei salvare il link con il nome completo, ma dalla console delle GPO non riesco. Ho provato ad editare il file xml, e nella console visualizzo poi il nome completo, ma poi il link punta sempre al semplice hostname.
Qualcuno ha qualche indicazione in merito? Spero di essere stato chiaro
grazie

A naso: è un problema di client esterni al dominio poichè dentro il dominio c'è un opzione che dice di aggiungere sempre il suffisso del dominio a tutte le richieste.
Hai provato a vedere se puoi forzare tramite VPN a puntare al VOSTRO DNS (e non altri)?
Come workaround ulteriore, usare l'indirizzo ip anzichè il FQDN?

Alternativa ancora: uno script tipo crealink.bat che viene richiamato tramite la gpo, ed esegue un comando del tipo "copy \\server\collegamento.ink c:\uses\%USERNAME%\Desktop" o qualcosa di analogo.

[mmiat]

Originariamente inviato da Kaya

A naso: è un problema di client esterni al dominio poichè dentro il dominio c'è un opzione che dice di aggiungere sempre il suffisso del dominio a tutte le richieste.
Hai provato a vedere se puoi forzare tramite VPN a puntare al VOSTRO DNS (e non altri)?
Come workaround ulteriore, usare l'indirizzo ip anzichè il FQDN?

Alternativa ancora: uno script tipo crealink.bat che viene richiamato tramite la gpo, ed esegue un comando del tipo "copy \\server\collegamento.ink c:\uses\%USERNAME%\Desktop" o qualcosa di analogo.

i client in vpn puntano al dns interno. mi pare che con l'ip NON funzionasse, ma non ne sono sicuro, dovrei rifare la prova

mi sa che l'alternativa è l'unica cosa fattibile...

[Kaya]

Originariamente inviato da mmiat

i client in vpn puntano al dns interno. mi pare che con l'ip NON funzionasse, ma non ne sono sicuro, dovrei rifare la prova

mi sa che l'alternativa è l'unica cosa fattibile...

Altra possibilità è quella di lavorare lato script vpn, aggiungendo nel file hosts del client.. ma non so quanto sia possibile.

[Jarod62]

Non so che tipo di VPN utilizzate, ma sembrerebbe un classico problema di mancata risoluzione dei nomi NetBIOS. Questo problema si verifica sulle connessioni VPN di tipo "Routed o Layer 3" in quanto i pacchetti in Broadcast del protocollo di risoluzione dei nomi NetBIOS non possono attraversare il tunnel VPN.

Esistono almeno tre soluzioni al problema:

1. Configurare opportunamente il file LMHOSTS sui Client VPN, associando l'IP del NAS al suo nome NetBIOS;
2. Installare il servizio WINS sul Domain Controller e fare in modo che i Client ricevano l'IP del Server WINS o tramite DHCP oppure inserendo manualmente l'IP del Server WINS nelle proprietà TCP/IP della connessione VPN dei Client (scheda WINS nelle impostazioni avanzate TCP/IP);
3. Accertarsi che il record Host del NAS sia presente nella zona DNS del Domain Controller e aggiungere il suffisso DNS "dominio.local" nelle proprietà TCP/IP della connessione VPN dei Client (scheda DNS nelle impostazioni avanzate TCP/IP).

[mmiat]

Originariamente inviato da Jarod62

Non so che tipo di VPN utilizzate, ma sembrerebbe un classico problema di mancata risoluzione dei nomi NetBIOS.

mi era venuto il dubbio, ma se mi apre il NAS e poi non mi autentica potrebbe essere un problema di risoluzione? c'è modo di testare netbios come con nslookup testo il dns? grazie

[Dane]

Originariamente inviato da mmiat

mi era venuto il dubbio, ma se mi apre il NAS e poi non mi autentica potrebbe essere un problema di risoluzione? c'è modo di testare netbios come con nslookup testo il dns? grazie

Fermo restando che netbios è un protocollo che andrebbe sradicato da qualsiasi rete moderna:

nbtstat


Se al nas ci arriva e ti chiede le credenziali vuol dire che in qualche modo risolve.

Hai provato a vedere con wireshark che diavolo succede?



Ultima cosa (mi è venuta in mente adesso):
da un po' (un anno circa) se non ho capito male le gpo funzionano che vengono "prese" sempre a livello di "computer", ma poi le applica l'"utente".
Prova a mettere "domain computers" o "dominio\nomecomputer$" nelle acl del nas.... magari è quello.

[Jarod62]

Originariamente inviato da mmiat

ma se mi apre il NAS e poi non mi autentica potrebbe essere un problema di risoluzione?

Se al NAS ci arrivi ma non autentica, evidentemente non si tratta di un problema di risoluzione del nome.

Se il NAS è inserito in Active Directory, accertati che l'orario di sistema del DC, del NAS e del Client VPN sia identico.

Sul Client vai su Pannello di Controllo -> Account Utente -> Gestione Credenziali e re-inserisci la password corretta per l'utente che accede al NAS.

E ancora, prova ad inviare il comando "net use /delete" per rimuovere tutte le condivisioni di rete mappate sul Client. Eventualmente puoi ri-aggiungere la condivisione al Nas inviando quest'altro comando:

net use \\NomeNAS /user:DOMINIO\NomeUtente

Se ancora non funziona, prova ad aggiungere la seguente chiave di registro sul Client e riavviare il Computer:

Percorso: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
Nome Chiave: LmCompatibilityLevel
Valore Chiave: 1
Tipo: DWORD

Al momento non mi viene in mente altro...

[mmiat]

Originariamente inviato da Jarod62

Se al NAS ci arrivi ma non autentica, evidentemente non si tratta di un problema di risoluzione del nome.

Se il NAS è inserito in Active Directory, accertati che l'orario di sistema del DC, del NAS e del Client VPN sia identico.

Sul Client vai su Pannello di Controllo -> Account Utente -> Gestione Credenziali e re-inserisci la password corretta per l'utente che accede al NAS.

E ancora, prova ad inviare il comando "net use /delete" per rimuovere tutte le condivisioni di rete mappate sul Client. Eventualmente puoi ri-aggiungere la condivisione al Nas inviando quest'altro comando

però dalla stessa macchina, semplicemente scrivendo \\files.dominio.local accedo

[Jarod62]

Originariamente inviato da mmiat

però dalla stessa macchina, semplicemente scrivendo \\files.dominio.local accedo

Non importa, esegui quei passaggi che ho scritto prima e vedi come va.