Izklop detekcije počasne povezave v domeni...

Pozdrav vsem...

imam problem, ki se z njim ubadam že nekaj časa.
V domeni imam nekaj delovnih postaj (XP Pro sp2), ki so
na SBS2003 povezane prek WAN vpn. Problem je da se GPO ne uveljavi,
ker zazna počasno povezavo, kljub temu, da je link hiter (4Mb).
Rešitev je, kolikor sem testiral da na delovnih postajah izklopim "SlowLinkDetection",
ki ima po defaultu prag zaznave 500kbps.

Sem pa v enem začaranem krogu, ker tega prek GPO ne morem izklopiti, ker se
GPO ne procesira. Izklopim lahko "na roke" v registru, vendar v HKEY_CURRENT_USER in HKEY_LOCAL_MACHINE. To pa zato ker se GPO uveljavi za uporabnikova nastavitve in računalnikove nastavitve. Problem je bolj pri uporabnikih, ker ima vsak svoj profil.

Ključ sem hotel dodati prek prijavne skripte, vendar ne dovoli vpisa, ker so uporabniki navadni userji. Imam pa precej uporabnikov.

Ima kdo še kakšno idejo...

Lp,
Erik

Ravno v temu je problem, ker se GPO iz strežnika ne uveljavi, tako da z GPO ne morem nič.
Če pa spremenim lokalni pravilnik, veljajo nastavitve za uporabniški del samo za trenutnega prijavljenega uporabnika ali "runas" uporabnika.

Sem tudi o tem že bral, vem da se nekaj lahko izvede ne glede zaradi počasne povezave.
GPO ne deluje po principu vse ali nič.

Kreiral sem GPO v katerem sem nastavil detekcijo na 0, se pravi izkopil.
Ta GPO sem dal v vrh domene na prvo mesto, kjer so GPO-ji.
Upal sem da se bo ta procesiral vendar se ni.

Ta problem rešuje že več mesecev nekaj kolegov, vendar nam ne uspe.
Sicer ne vem tudi zakaj se sproži zaznava počasne povezave, ker so linki res hitri.

Tole sem pred nekaj casa odgovoril nekomu na Slowug forumu (http://slowug.si/forums/t/1671.aspx):

Generalno je problem v fragmentaciji IP paketov. Problematiko lahko resujes na vec nacinov. Najbolj enostavno je, ce ti oprema to omogoca, da na VPN usmerjevalnikih omogocis prehod fragmentiranih IP paketov, ki so enkapsulirani v ESP paketih.

Druga opcija je, da na delovnih postajah na strani, kjer nimas domenskega krmilnika, zmanjsas MTU do te mere, da bodo zadeve lepo delovale. S 1300 bo verjetno vse lepo delovalo, lahko pa zadevo zoptimiziras do nule, ce imas cas (in prav je tako).

Tretja opcija, in najbolj zoprna, je, da na problematicnih delovnih postajah v registru nastavis parametre PingBufferSize, GroupPolicyMinTransferRate in pa MaxPacketSize. Predvsem se bos zajebaval z GroupPolicyMinTransferRate, ker mora biti to vpisano v HKCU. Kje vse je to, lepo poguglaj.

Ce imas opremo Cisco, ti verjetno kak Cisco strokovnjak lahko da kak boljsi nasvet.


Vsekakor najprej poskusi spremeniti parameter PingBufferSize na 500 decimalno. Po defaultu je 2048 in tako velikega ICMP paketa marsikater usmerjevalnik po defaultu ne spusti skozi. Mogoce bo to dovolj.

Lp,

Joze Volf
iLab d.o.o.

MTU na usmerjevalniku si zmanjsal kje? Na zunanjem vmesniku? To meni ni nikolu pomagalo. Na Cisco VPN usmerjevalnikih baje fantje zmanjsajo MTU na notranjem vmesniku. To meni na Wolverinu (stara linux VPN router distribucija) ni delovalo oz. je bilo se vec problemov. Na Monowallu lahko enostavno omogocim prehod fragmentiranih paketov in stvari delajo, na pfSensu nikakor ni slo. Povsod, kjer ni slo na nivoju usmerjevalnika, sem na delovnih postajah preprosto zmanjsal MTU do te mere, da gre. Generalnega pravila, ce imas razlicno opremo in razlicne tipe povezav, ni.

Za poskus vzemi eno delovno postajo na strani vpn tunela, kjer nimas domenskega krmilnika in njej poskusi zmanjsat MTU. To naredis v registru na lokaciji HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{21FF79DD-CAC2-40CF-86D7-FE0724C24EC0}. {21FF79DD-CAC2-40CF-86D7-FE0724C24EC0} je identifikator vmesnika in je prakticno na vsaki delovni postaji razlicen, pa se vec jih je. Pravega ni tezko identificirati, ker ima vpisan IPAddress in DefaultGateway. Tu dodas DWORD value z decimalno vrednostjo 1300 oz. ravno toliko, da gredo zadeve skozi.

Pomagas si lahko tudi s programckom DRTCP, mogoce pa na netu najdes se kasen drug nacin. Z netsh ukazom, mislim da, na XPjih ne mores nastavit MTU.

jozevolf: moji usmerjevalniki niso ravno ne vem kako zmogljivi - Linksys BEFVP41, tako da nima toliko nastavitev.

BlueRunner: v logih na delovnih postajah pride do napake ko hoče uveljavit GPO pravilnike

Event Type: Error
Event Source: Userenv
Event Category: None
Event ID: 1054
Date: 17.12.2008
Time: 18:41:03
User: NT AUTHORITY\SYSTEM
Computer: dp03
Description:
Windows cannot obtain the domain controller name for your computer network. (Prišlo je do nepričakovane omrežne napake. ). Group Policy processing aborted.

For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.a...

Pred časom mi je delalo vse, potem pa so se pojavile težave, ravno takrat ko smo zamenjali komunikacijski strežnik iz BSD na Ubuntu. Na BSD-ju so se VPN-ji podirali. Zdaj pa ta GPO neke probleme dela. Sicer kolega, ki je postavljal Ubuntu trdi, da ni nič takega narobe kar bi vplivalo na to.

Za VPN se uporablja OpenSwan.
Za pinganje še povem kako bo...