[NT4 domein] voorkom dat gebruikers meermaals aanloggen

[Verwijderd]

We hebben een probleem om te voorkomen dat onze gebruikers twee maal kunnen inloggen op ons NT4 domein. De clients zelf zijn 2000 of XP. Een aantal gebruikers hebben roaming profiles dus vaste workstations zetten in server manager heeft geen zin.
Ik heb drie mogelijke oplossingen gevonden:

1 software pakket, maar dit is verschrikkelijk duur, en zeker om alleen deze functionaliteit te hebben. Aankoop zal dan ook alleen overwogen worden indien er naar de migratie naar windows 2003 hier nog geen betere oplossing voor is.

1 oplossing van microsoft zelf, maar dat betreft een oplossing die een eigen SQL server nodig heeft, en dat vind ik dan ook weer overdreven om alleen dit te voorkomen.

1 script-gebaseerde oplossing die momenteel in productie staat, maar met enkele bijkomende probleempjes. Wat is de oplossing? Een hidden share in de gebruiker zijn home folder, met als maximum connection limit 1 user. In het loginscript wordt deze gemapped, en als deze een failure geeft wordt de user terug afgelogd. Werkt dit? Ja, gedurende een bepaalde tijd. Er is namelijk de 15 min idle time value. Eens deze voorbij is kan de gebruiker weer wel aanloggen.
Is er hier dan geen oplossing voor? Jawel, de autodisconnect waarde zetten in de registry of via net server command. Nieuwe waarde: -1, dus geen idle disconnects meer. Probleem opgelost zou je zeggen? Inderdaad. Zolang de user bezig is geen enkel probleem. Hij sluit daarna zijn pc af, en de share is terug vrij en hij kan zonder problemen op een andere machine verderwerken... behalve als hij een logoff doet ipv een shutdown. Omwille van een of andere reden blijft de share dan in use, tot er een shutdown plaats vind.
Kent er iemand hier de reden of een oplossing voor? Of eventueel een andere manier om dit te bereiken? Ik heb ook al zitten testen met psloggedon van sysinternal maar op een groot netwerk is dit te traag, en de info via nbtstat afleiden is nooit 100% correct en dus niet betrouwbaar.

Iemand nog enige ideeën?
Btw: Ik vind het nergens maar kan iemand mij bevestigen of ontkennen of dit in 2003 met policy’s wel of niet mogelijk is? Maximum concurrent sessions ofzo?

[joca]

Er staat me iets van bij dat je bij de user profile instellingen op je NT4 server zelf kan blokkeren dat ze meer als 1 keer kunnen inloggen..

[Mr. Happy]

Volgens mij is dat in NT niet zelf te regelen, maar MS heeft een tooltje ontwikkeld wat in een database bijhoudt of een gebruiker zich al aangemeld heeft.

ff gezocht op MS:
http://support.microsoft....aspx?scid=kb;en-us;237282

nog een uitgebreidere beschrijving:
http://www.windowsnetwork...tingConcurrentLogons.html

[ Voor 47% gewijzigd door Mr. Happy op 14-07-2005 09:17 ]

[Verwijderd]

Dat is inderdaad het tooltje dat ik ook gevonden had in stap 2, was alleen even de naam kwijt. Maar om daar alleen een sql-server voor op te zetten vind ik nogal overdreven. Daarmee dat ik deze oplossing liever niet wil gebruiken indien mogelijk

[mabarto]

Simpelste (met kans op fouten):

loginscript:
1. controleer of bestandje <a> aanwezig is op de server
2a. zo niet: maak bestandje <a> aan
2b. zo ja: melden dat ie al ingelogd is
3a. verder met script
3b. maak bestandje <b> aan
4b. logoff

logoffscript
1. controleer of bestandje <b> aanwezig is.
2a. indien bestandje <b> bestaat, verwijder deze
2b. indien bestandje <b> niet bestaat, verwijder bestandje <a>


mooiere oplossing:
zelfde als boven alleen laat je een script draaien op de server die middels net session kijkt of een gebruiker ingelogd is en maakt dat bestandje <a> aan. Dan moet je nog bijhouden in een bestandje om te controleren als die gebruiker uitgelogd is/systeem uitvalt, om dan het bestandje <a> weer te verwijderen. Dan hoef je niet met een logoffscript te rommelen.

[ Voor 7% gewijzigd door mabarto op 14-07-2005 10:38 ]

[Question Mark]

Verwijderd schreef op donderdag 14 juli 2005 @ 10:18:
Dat is inderdaad het tooltje dat ik ook gevonden had in stap 2, was alleen even de naam kwijt. Maar om daar alleen een sql-server voor op te zetten vind ik nogal overdreven. Daarmee dat ik deze oplossing liever niet wil gebruiken indien mogelijk

Vraag me ook af wat er gebeurd als de SQL-server om wat voor reden niet te bereiken valt. Je hebt kans dat iedereen normaal aan kan loggen, maar moet er niet aan denken dat niemand meer aan kan loggen.

[Verwijderd]

Logoff script hebben wij niet. Bestaat dit trouwens onder NT4 wel?

En bij de tweede oplossing ben je terug bij hetzelfde probleem: net session met idle timeouts

[mabarto]

Verwijderd schreef op donderdag 14 juli 2005 @ 11:01:
Logoff script hebben wij niet. Bestaat dit trouwens onder NT4 wel?

En bij de tweede oplossing ben je terug bij hetzelfde probleem: net session met idle timeouts

1ste goeie ;-)

Bij de tweede bedoel ik op de domain controller he, niet voor sessies naar shares. Ik neem aan dat windows daar verschil in maakt. Anders vervang je hem door te pingen naar de werkstations icm net session. (ja het kost veel tijd om te maken ;-) )

[Verwijderd]

Question Mark schreef op donderdag 14 juli 2005 @ 10:58:
[...]
Vraag me ook af wat er gebeurd als de SQL-server om wat voor reden niet te bereiken valt. Je hebt kans dat iedereen normaal aan kan loggen, maar moet er niet aan denken dat niemand meer aan kan loggen.

Inderdaad Vind ik ook net te riskant, alhoewel je de check natuurlijk perfect kan opvangen en eerst kijken of de sql server online is, en indien niet, de logoff overslaan.

mabarto schreef op donderdag 14 juli 2005 @ 11:15:
[...]
Bij de tweede bedoel ik op de domain controller he, niet voor sessies naar shares. Ik neem aan dat windows daar verschil in maakt. Anders vervang je hem door te pingen naar de werkstations icm net session. (ja het kost veel tijd om te maken ;-) )

En met meerdere domain controllers?
Btw: dan val je weer terug op het risico dat de data niet 100% correct is: vb na afloggen geeft hij nog steeds een actieve user een bepaalde tijd etc...
Oftewel begrijp ik je redenering niet goed voor het laatste gedeelte.

[teigetjuh]

Als de gebruikers hun profiel/home als losse share hebben (dus niet bv profile$, maar pietjepuks-profiel$) kun je het aantal connecties met de server manager limiteren op 1 (of meer indien gewenst. Middels een policy kun je oude profielen van werkstations verwijderen en een profiel van een server verplicht stellen. Dit is een oplossing die prima, zonder extra producten op een NT4 domein werkt. Echter het stelt dus wel enkele eisen aan de inrichting, zoals je hierboven kan zien

[Brahiewahiewa]

Verwijderd schreef op donderdag 14 juli 2005 @ 08:59:
... verschrikkelijk duur...

Wat is eigenlijk de schade als gebruikers meerdere keren kunnen inloggen? Wat kost dat in business termen?
Je kunt wel veel geld of veel tijd besteden om dit "probleem" te voorkomen, maar wat levert het op?

[Verwijderd]

teigetjuh schreef op donderdag 14 juli 2005 @ 11:39:
Als de gebruikers hun profiel/home als losse share hebben (dus niet bv profile$, maar pietjepuks-profiel$) kun je het aantal connecties met de server manager limiteren op 1 (of meer indien gewenst. Middels een policy kun je oude profielen van werkstations verwijderen en een profiel van een server verplicht stellen. Dit is een oplossing die prima, zonder extra producten op een NT4 domein werkt. Echter het stelt dus wel enkele eisen aan de inrichting, zoals je hierboven kan zien

Het zijn spijtig genoeg niet allemaal roaming profiles, en zoals je weet is dit voor iedereen op NT4 instellen nogal netwerk-intensief. Zeker aangezien 80% om 9 uur tegelijk zit aan te loggen. Maar misschien inderdaad het bekijken waard, thx

Brahiewahiewa schreef op donderdag 14 juli 2005 @ 12:40:
[...]
Wat is eigenlijk de schade als gebruikers meerdere keren kunnen inloggen? Wat kost dat in business termen?
Je kunt wel veel geld of veel tijd besteden om dit "probleem" te voorkomen, maar wat levert het op?

Voor ons? Niks, nada, nothing.... Volgens de conventies wel. Aangezien er een zware interne audit zit aan te komen moeten wij dus dit oftewel voorkomen, oftewel opvolgen. En ik heb nu net geen zin om zelfs scriptgewijs elke dag overviews te zitten genereren.
Daarmee ook deze topic. Als het te veel geld en tijd zou kosten laten we het zeker vallen.

Btw: kan dit nu wel of niet in een 2003-domein? Kwestie om er tijdens de migratie al rekening mee te houden.

[alt-92]

Verwijderd schreef op donderdag 14 juli 2005 @ 13:50:

Btw: kan dit nu wel of niet in een 2003-domein? Kwestie om er tijdens de migratie al rekening mee te houden.

Nog steeds niet.

maar goed, als ze dat inbouwen krijgen we toch weer het standaard monopolisten-argument weer te horen omdat dan 3rd party leveranciers niks meer zouden verdienen...

[mabarto]

BackSlash32 schreef op donderdag 14 juli 2005 @ 14:03:
[...]

Nog steeds niet.

maar goed, als ze dat inbouwen krijgen we toch weer het standaard monopolisten-argument weer te horen omdat dan 3rd party leveranciers niks meer zouden verdienen...

Overigens Terminal Services biedt dit standaard.


I have found a pretty good utility called NTNAME written by Nick Brown.
Reference to it can be found on http://www.jsiinc.com/reghack.htm.


Basically the user specifies 'NTNAME username' in the login script and it
issues an errorlevel 1 if that username is already registered with NetBios.
One trap - I could only gt it to work if I dropped to using only one
protocol - TCPIP. It doesn't respond correctly to NetBeui.

[ Voor 42% gewijzigd door mabarto op 14-07-2005 14:37 ]

[Verwijderd]

mabarto schreef op donderdag 14 juli 2005 @ 14:11:
[...]
Basically the user specifies 'NTNAME username' in the login script and it
issues an errorlevel 1 if that username is already registered with NetBios.
One trap - I could only gt it to work if I dropped to using only one
protocol - TCPIP. It doesn't respond correctly to NetBeui.

Mja, TS kan dit indeed maar alles door terminals gaan vervangen zal spijtig genoeg niet lukken


En dat tootlje heb ik ook gezien, maar dat is er wederom weer een die werkt op basis van de output van nbtstat, en dus niet 100% betrouwbaar is....

[Brahiewahiewa]

mabarto schreef op donderdag 14 juli 2005 @ 14:11:
[...]errorlevel 1 if that username is already registered with NetBios...

Dûh, vanaf Windows 2003 SP1 gaat dat niet meer werken, omdat de NetBIOS registratie van de aangelogde user(s) is uitgeschakeld.

[mabarto]

Verwijderd schreef op donderdag 14 juli 2005 @ 15:52:
[...]


Mja, TS kan dit indeed maar alles door terminals gaan vervangen zal spijtig genoeg niet lukken


En dat tootlje heb ik ook gezien, maar dat is er wederom weer een die werkt op basis van de output van nbtstat, en dus niet 100% betrouwbaar is....

Bij win2k(3) kun je aan WMI gaan denken.

Deze al bekeken:
http://www.jsifaq.com/SUBN/tip6700/rh6791.htm
http://www.jsifaq.com/subf/tip2800/rh2890.htm

[ Voor 13% gewijzigd door mabarto op 14-07-2005 16:25 ]

[Verwijderd]

Yep, pslogged on staat al in de startpost, en werk wel, maar vreselijk traag. En die andere is voor de verandering weer op de output van nbtstat gebaseerd.

[sverzijl]

Verwijderd schreef op donderdag 14 juli 2005 @ 13:50:

Voor ons? Niks, nada, nothing.... Volgens de conventies wel. Aangezien er een zware interne audit zit aan te komen moeten wij dus dit oftewel voorkomen, oftewel opvolgen.

En deze interne audit gaat niet vallen over het feit dat er voor NT4 geen security hotfixes meer door MS worden uitgebracht sinds jan 2005 ?

[Brahiewahiewa]

sverzijl schreef op donderdag 14 juli 2005 @ 17:06:
[...]En deze interne audit gaat niet vallen over het feit dat er voor NT4 geen security hotfixes meer door MS worden uitgebracht sinds jan 2005 ?

Ze zullen toch wel extended support hebben aangeschaft?

[elevator]

Verwijderd schreef op donderdag 14 juli 2005 @ 08:59:
Omwille van een of andere reden blijft de share dan in use, tot er een shutdown plaats vind.

Dit klinkt als iets als een virusscanner ofzo die de share in use houd

[nightowl]

Misschien moet je eens kijken naar Userlock?

Volgens mij is dit wat je zoekt. Is niet eens zo duur. Ongeveer EUR 375 voor 100 werkstations. Werkt ook onder NT en bij migratie naar w2k3 kun je het meenemen.

[ Voor 42% gewijzigd door nightowl op 14-07-2005 21:44 ]

[Verwijderd]

sverzijl schreef op donderdag 14 juli 2005 @ 17:06:
[...]

En deze interne audit gaat niet vallen over het feit dat er voor NT4 geen security hotfixes meer door MS worden uitgebracht sinds jan 2005 ?

Brahiewahiewa schreef op donderdag 14 juli 2005 @ 17:30:
[...]
Ze zullen toch wel extended support hebben aangeschaft?

Inderdaad, tot 2009 zelfs.

elevator schreef op donderdag 14 juli 2005 @ 21:29:
[...]
Dit klinkt als iets als een virusscanner ofzo die de share in use houd

Ik kan geen process vinden, blijft gewoon idle staan, en uiteraard geen autodisconnect omdat we die op -1 hebben gezet

nightowl schreef op donderdag 14 juli 2005 @ 21:40:
Misschien moet je eens kijken naar Userlock?

Volgens mij is dit wat je zoekt. Is niet eens zo duur. Ongeveer EUR 375 voor 100 werkstations. Werkt ook onder NT en bij migratie naar w2k3 kun je het meenemen.

Die zijn wij inderdaad ook al tegengekomen. Ik vermoed dat dit inderdaad totnutoe de beste oplossing is. En aangzezien ik nu ook weet dat 2003 hier ook geen standaard mogelijkheid voor bied zullen we deze eens bekijken
Thx