Slowlink Detection bei Computer und Userpolicy sowie VPN

[xrated2 15]

Hallo

 

Ich bin grad dabei dies einzubauen: https://www.gruppenrichtlinien.de/artikel/ssd-zu-schnell-synchroner-startvorgang-nicht-moeglich/

 

Jetzt gibts hier aber noch extrem viele VPN User und da gibts ja die Slowlink Detection die default an ist. Ich habe gelesen das über VPN alles als Slowlink erkannt wird weil große Pings nicht durchgehen.

Slowlink ist ja nicht so schlecht, denn ich möchte keine Softwarepakete von WPP über VPN verteilen. Zumindest nicht bei Leuten die regelmäßig im Büro sind.

 

Mir ist aber aufgefallen das man Slowlink für User und Computer getrennt einstellen kann. Gehe ich da recht in der Annahme wenn ich Slowlink für Benutzerpolicies ausschalte, dass dann alle Benutzerpolicies auch immer ausgeführt werden? Ich dachte da vor allem an die Laufwerkszuordnungen via GPO. Skripts gibts derzeit gar keine.

Und wie sieht es dann bei den Computerpolicies aus mit aktivem Slowlink, werden dann so Policies wie Restricted Groups oder die Steuerung von lokalen Gruppen überhaupt ausgeführt?

 

Dann gibt es noch eine Policy "Asynchrone Verarbeitung der Gruppenrichtlinie bei langsamen Netzwerkverbindungen". Gilt diese nur für Computer oder auch Benutzer? In der Beschreibung steht u.a. das Laufwerkszuordnungen nicht richtig funktionieren wenn es aktiv ist, aber Computer oder Userbezogene Laufwerke?

 

Und inwieweit hat das Abhängigkeiten/Auswirkungen zu den Settings aus dem Link oben?

 

Edith meint noch, wenn sich der User erst nach dem Windows Logon mit VPN anmeldet oder gar nicht, ist dann überhaupt keine GPO aktiv? Dann wird sich ja über cached credentials angemeldet.

 

Gruß

Thomas

bearbeitet 10. März 2019 von xrated2

[xrated2 15]

Also ich habe jetzt viel nachgelesen u.a.

https://blogs.technet.microsoft.com/grouppolicy/2013/05/23/group-policy-and-logon-impact/

https://blogs.technet.microsoft.com/musings_of_a_technical_tam/2012/02/27/gpos-and-slow-link-detection/

 

Und ich glaube in dem Fall kann ich auf die ganzen Einstellungen wohl verzichten da wegen dem VPN gar keine synchrone Anmeldung möglich ist.

 

A particular CSE requires synchronous foreground processing. There are four CSEs provided 
by Microsoft that currently require synchronous foreground processing: Software Installation, 
Folder Redirection, Microsoft Disk Quota and GP Preferences Drive Mapping. If any of these are 
enabled within one or more GPOs, they will trigger the next foreground processing cycle to run 
synchronously when they are changed.

 

Daraus verstehe ich das die spätestens bei der 2. Anmeldung synchron abgearbeitet werden. Aber das geht dank VPN wohl eh nicht weil der DC nie vor der Anmeldung erreichbar ist und die über Background processing nicht funktionieren d.h. da braucht man ja nicht mal slowlink einstellen um Software installation zu verhindern, welches mittlerweile mit NLA statt nur ping funktioniert.

[NilsK 2.930]

Moin,

 

mir ist jetzt noch nicht klar, was überhaupt das Problem ist, das du lösen möchtest.

 

Gruß, Nils

 

[xrated2 15]

Moin

Problem gibt es noch gar keins aber ich möchte die vermeiden durch entsprechende Planung und Durchführung 

[NilsK 2.930]

Moin,

 

gut, aber welches Problem willst du denn vermeiden? Nur wenn du das weißt, kannst du beurteilen, ob ein Lösungsansatz taugt oder nicht.

 

Gruß, Nils

 

[xrated2 15]

Das Problem ist u.a. das die Belegschaft extrem wechselhaft ist, mal sind alle im Büro, mal arbeiten fast alle über VPN. Die Leitung hat nur 12/1MBit/s. Es ist OpenVPN im Einsatz und da erfolgt die Einwahl erst nach dem anmelden, also werden alle Policies im Background verarbeitet so das eine Softwareverteilung über VPN nicht funktioniert. Oder betrifft das nur die Verteilung über GPO, nicht die über WSUS WPP ? Dann lag ich oben total daneben.

 

Ich will nur vermeiden das die VPN Leitung durch Softwareinstallationen geplättet wird und das aber auch jeder trotzdem die Installationen im Büro kommt. Die MS Updates sind zwar WSUS gesteuert aber die holen sich die Clients gemeinsam übers Internet (also nicht vom WSUS Server) weil sich die WSUS Clients nicht nach Ort steuern lassen und sonst auch wieder das Internet zu stark ausbremsen würden wenn sehr viele über VPN von zu Hause arbeiten.

Lässt sich das in dem Fall überhaupt nicht steuern? Ich bräuchte sowas wie das bei Slowlink nichts vom WSUS Server sondern von MS direkt bezogen wird. Aber der Client holt sich die Updates ja selbst, da bleibt dann nur das Interval möglichst groß zu lassen.

[NorbertFe 2.027]

vor 17 Minuten schrieb xrated2:

Oder betrifft das nur die Verteilung über GPO, nicht die über WSUS WPP ? Dann lag ich oben total daneben.

Na brauchst ne Antwort? ;) ja das betrifft nur die Verteilung per gpo. WSUS lädt das auch so runter.

[xrated2 15]

Gibt es eigentlich wirklich keine Möglichkeit WSUS beizubringen das die Updates nur an einem bestimmten Standort runtergeladen werden?

[Sunny61 806]

Du kannst im IIS bestimmte IP-Bereiche aussperren, falls es das ist was du meinst.

[xrated2 15]

Das ist die Idee 

bearbeitet 20. Mai 2019 von xrated2