IThome

Er muss auf dem Client das Benutzerrecht "Ändern der Systemzeit" besitzen. Dieses Benutzerrecht kannst Du via Gruppenrichtlinie, die den Anmeldecomputer des Benutzers konfiguriert, einstellen. Das Verstellen der Systemzeit ist aber eine sehr haarige Sache, da Du die Verbindung zur Domäne verlieren wirst, da Zeitdifferenzen >30 Minuten nicht toleriert werden ...

Würde ich nicht machen, wüsste auch gar nicht wie :D. Ich würde ihm ein Outlook im Cachemodus zur Verfügung stellen, welches via RPC over HTTP mit dem Exchange verbunden ist ... Oder eben generell OWA ...

Deswegen sage ich ja, sniffe den Vorgang. Eigentlich sollte der Client durch das Arpen seines ursprünglichen Gateways (was ja im fremden Netzwerk nicht existiert) feststellen, dass er sich in einem anderen Netzwerk befindet und in den DHCP_DISCOVER State wechseln (nicht DHCP_REQUEST) ...

Lass doch einen Testuser zum Vergleich seinen Ordner mal selbst erstellen, also nicht vorkonfigurieren. Deine Berechtigungen im Parentfolder entsprechen nicht den empfohlenen Berechtigungen ... http://technet.microsoft.com/en-us/library/cc757013(WS.10).aspx

Hast Du das Prüfen des Besitztums auch abgeschaltet ?

Ist ein DHCP Helper auf einem Cisco nicht gleichbedeutend mit einem DHCP-Relay Agent ? Die Leases seitens des DHCP-Servers bleiben bestehen, sofern sie noch gültig sind. Ein Clientcaching wird damit nichts zu tun haben. Du solltest den Vorgang mal sniffen ...

Wichtig ist nicht nur, dass er alles machen darf, sondern auch, dass der Benutzer der Besitzer der Ordner ist. Wenn Du den Parentfolder gemäss den Sicherheitsempfehlungen erzeugst, dann musst Du auch auf die Gültigkeitsbereiche der Berechtigungen achten. Die Unterordner brauchst Du nicht erzeugen, da der Client das beim ersten Anmelden (mit den richtigen Berechtigungen und als Besitzer) macht. Beim ersten Abmelden wird dann der Serverordner mit Profildaten gefüllt. Wenn Du möchtest, dass auch der Administrator Zugriff auf die Profildaten bekommt, musst Du eine Gruppenrichtlinieneinstellung einrichten, die gilt, BEVOR der Benutzer sich das erste Mal anmeldet (und seinen Profilordner erstellt). Das Prüfen des Besitztums der serverbasierten Profilordner kann man ebenfalls via Gruppenrichtlinie abstellen. Beide Einstellungen sind in der Computerkonfiguration! zu finden und werden auf die Rechner angewendet, auf denen sich die Benutzer anmelden ...

Die muss er nicht wissen, der Client schickt die Pakete zu seinem Gateway, also zum VPN-Server. Der wiederum muss den Weg nach "draussen" kennen ...

Äh, wus ? Du willst eine Mail an einen internen Mitarbeiter nicht über den Exchange, sondern direkt zum Provider schicken ? :confused:. Soll das heissen, dass er ein Exchange-Postfach hat, er die Mails aber zu Hause zum Beispiel auch abrufen soll, er aber dort keine Verbindung zum Exchange-Server hat ?

Das ist natürlich nicht normal, weil nicht funktionell. In der Regel wird ein DHCP-Relay Agent konfiguriert, welcher die DHCP-Anfragen an den eigentlichen DHCP-Server weiterleitet. Anhand des Wertes im GIADDR-Feld der Anfrage wird vom DHCP-Server eine Adresse des entsprechenden Bereiches ausgewählt ... Understanding relay agents: Dynamic Host Configuration Protocol (DHCP) Aber wir können ja nicht wissen, was Du wie konfiguriert hast ...

Möglicherweise kannst Du mit Benutzerklassen arbeiten ... Using option classes: Dynamic Host Configuration Protocol (DHCP)

Auch GPUPDATE durchgeführt ?

Du brauchst eigentlich nur den Haken "Standardgateway für das Remotenetzwerk verwenden" gesetzt lassen. Dafür muss der VPN-Client allerdings auch Zugriff auf die Remote-DNS-Server haben. Man setzt kein Gateway im VPN-Client, man erzeugt (oder lässt erzeugen) eine Route auf dem Client ...

Schau mal hier ... Event ID 40960 Source LSASRV Dort wird von Deinem Problem berichtet und es dadurch behoben, dass Kerberos von UDP auf TCP umgestellt wurde ...

RoyalTS ist ein nettes Tool ...

Meldet sich ein Client denn überhaupt irgendwann mal an (wie lange auch immer das dauern mag) ? Was sagt denn die Ereignisanzeige eines Clients ?

Das Tool nennt sich User Profile Hive Cleanup Service, ist bei 2008 aber schon onboard ... Poste doch noch mal ohne Schreibfehler (oder irgendwelche anderen Fehler), was Du jetzt wo eingestellt hast ...

Sind Ordnerumleitungen definiert ? Wie ist die Erkennung von langsamen Verbindungen eingestellt (werden überhaupt grosse ICMP-Pakete durchgelassen) ? How to use Portqry to troubleshoot Active Directory connectivity issues Konfigurieren einer Firewall für Domänen und Vertrauensstellungen

Wenn der Richtlinienergebnissatz aussagt, dass getrennt wird, dann kommt das aus einer Richtlinieneinstellung. RSOP.MSC sagt auch aus, aus welcher Richtlinie solch eine Einstellung kommt ...

Naja, aus irgendeiner Richtlinie (möglicherweise die lokale Richtlinie) muss diese Einstellung ja kommen ...

... und die Einstellungen für das Userprofil im Active Directory sind ausserdem falsch. Sollen die Profile nur für die Terminaldienste genutzt werden, dann sollte man die (richtigen) Profilangaben auch in "Remotedesktopdienste-Profil" einstellen ...

Führe mal RSOP.MSC aus, aus welcher Richtlinie kommt die Einstellung ?

Konfiguriere die empfohlenen Berechtigungen für Roaming Profiles ... Security Recommendations for Roaming User Profiles Shared Folders: Group Policy Ask the Directory Services Team : Automatic creation of user folders for home, roaming profile and redirected folders. Werden die Ordner erzeugt, wenn sich der User das erste Mal am Terminalserver anmeldet ? Ist dem User dieser Basisordner als Remotedesktopdienste-Basisordner zugewiesen ? http://technet.microsoft.com/en-us/library/cc782305(WS.10).aspx

Oh, da habe ich wohl etwas missverstanden. Ich dachte der Admin kann, aber kann er ja gar nicht. Entweder testweise mal den Besitz einer Datei übernehmen und Berechtigung neu vergeben. Manchmal bewirkt ein CHKDSK /F auch wahre Wunder ...

Die 192.168.178.32 ist das Gateway zum entfernten Netzwerk (wenn der Rechner auch routet) ...