Aussendienstmitarbeiter-Laptop, Computerkonto-Kennwort usw.

[hellbirn 10]

Hallo!

 

Ich soll einen Laptop konfigurieren, der zwar in unserer 2003-AD-Domäne Mitglied ist, aber nur sehr selten direkt am LAN eine "normale" Anmeldung macht. Der User ist meistens unterwegs und loggt sich dann mit dem gecachten Profil am Laptop an. Danach startet er ein VPN (Netgear ProSafe VPN) und verbindet sich zum Router vor dem LAN. Darüber kann er dann seine Mails lesen und Laufwerke nutzen.

 

Jetzt denke ich aber, dass durch die längere Abwesenheit Probleme auftauchen, die wir bisher nicht hatten. Z.B. läuft doch das Kennwort des Computerkontos irgendwann mal ab, oder? Wird das über die spät aufgebaute VPN-Verbindung erneuert? Was ist mit dem gecachten User-Profil?

 

Könntet Ihr mir bitte einen Tipp geben, wie man so einen "Roadwarrior"-Laptop am besten konfiguriert?

 

Vielen Dank,

 

HB

[soilworker 10]

bin noch n bissl neu auf dem gebiet, aber ich würd sagen ne eigene ou und ne policy

[kwakS 10]

Ich würde ein AD Notebook nicht ins ADS reinhängen. Ich würde lieber einen lokalen User anlegen. Und über diesen User kann er sich dann auf die Server (über IPsec o.ä.) einwählen.

 

So würde ich das machen, denn du umgehst damit ein paar Probleme...

[IThome 10]

Wie wählen sich die Notebooks ein ? Ist dieser Prosafe Client ein umgelabelter Softremote-Client ?

[hellbirn 10]

Hallo,

 

der Netgear VPN-CLient ist ein umgelabelter SafeNet Client. Aber kann der Laptop über eine nach dem (gecachten) Login des Users sein Computerkontokennwort über VPN erneuern? Oder muss das schon beim Hochfahren geschehen? Das ginge ja dann nicht, weil der Tunnel noch nicht steht...

[IThome 10]

Der Tunnel kann schon zur Anmeldung zur Verfügung gestellt werden. Es muss eine DFÜ-Wählverbindung zur Verfügung stehen (alle Benutzer) und im Softremote-Client darf der Haken "Only connect manually" nicht gesetzt sein. Dann wird der Haken "Anmelden über DFÜ-Netzwerk" gesetzt und die Verbindung gewählt (das alles setzt eine funktionierende DNS-Auflösung ins Firmennetz voraus). Allerdings bin ich mir nicht sicher, wann genau (also wenn der Zeitpunkt für eine Änderung gekommen, wann genau der Rechner es probiert) das Kennwort für das Computerkonto geändert wird ... Es besteht aber auch die Möglichkeit via GPO zu konfigurieren, dass Computerkonten ihre Kennwörter nicht ändern müssen ...

http://www.microsoft.com/technet/prodtechnol/windowsserver2003/de/library/ServerHelp/8af78a8c-6e66-4420-9ee7-d82dd1c9e0c6.mspx?mfr=true

[hellbirn 10]

Ja, das stimmt, der Tunnel kann auch als DFÜ-Verbindung im XP-Sinn eingerichtet werden. Aber ist damit auch das Problem mit dem Sync des Computerkontokennworts gelöst? Ich denke, der REchner versucht das schon beim Booten und vielleicht nicht erst beim Login...

[IThome 10]

Das ist eben das Problem, ich weiss leider auch nicht, zu welchem Zeitpunkt das Computerkontenkennwort geändert wird. Sonst jemand hier ? :)

[carlito 10]

Ich würde lokal auf dem Laptop das Ändern des Computerkontenkennworts deaktivieren:

 

gpedit.msc -> Computerkonfiguration -> Windows-Einstellungen -> Sicherheitseinstellungen -> Lokale Richtlinien -> Sicherheitsoptionen -> Domänenmitglied: Ändern von Computerkontenkennwörtern deaktivieren.

 

Standardmäßig wird dieses Kennwort alle 30 Tage geändert.

[carnivore 10]

die passwordhistory ist bei computerpasswörtern 2. Also max 2*30=60 Tage kann sich ein Rechner wieder problemlos im AD anmelden

 

gruss

carnivore