802.1x Domein Logonscript

[kokkel]

Ik ben bezig met een 802.1x opzet, alleen loop ik tegen problemen aan. Ik heb de http://www.microsoft.com/...07605eff0608&displaylang= handleiding gevolgd, het 802.1x netwerk authenticatie werkt zonder problemen.
Het probleem zit hem echter in het uitvoeren van logon scripts wanneer ik met het Domein verbind, ik heb een logon script gemaakt met een simpele drive mapping er in. Wanneer ik zonder 802.1x inlog werkt het script zonder problemen, maar wanneer ik met een 802.1x verbinding inlog wordt het script niet gerund.

Ben aan het zoeken geweest, het zit in het feit dat de client machine door start voordat hij van vlan is omgezet. Heb op de netwerk kaart van de client, veel instellingen geprobeerd. Maar het wil niet lukken om het logon script te runnen tijdens het opstarten. Ik weet ook niet zeker of de client wel inlogt op het domein, of dat het gecashed gegevens zijn.

Het inloggen op het netwerk via 802.1x werkt zonder problemen. Alleen aanmelden op het domein gebeurt niet. Niet alleen het login script wordt niet uit gevoerd, maar ook de policy's worden niet mee genomen.

Informatie
Client = Windows 7
Server = Server 2008 R2
Domein lvl = 2008 R2
Forest lvl = 2008 R2
Packet = NPS (NAC) geconfigureerd met een standaard policy om bepaalde gebruikers om te zetten
Logon script = logon.bat en gekoppeld via AD users in het profile

Config
Switch Cisco 3560 PoE-8

code:

Switch# configure terminal
Switch(config)# aaa new-model
Switch(config)# aaa authentication dot1x default group radius
Switch(config)# aaa authorization network default group radius
Switch(config)# dot1x system-auth-control
Switch(config)# radius-server host 172.16.1.123 key "ictivity"

Switch(config)# interface fastethernet 0/2
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 999
Switch(config-if)# authentication port-control auto
Switch(config-if)# authentication control-direction in
Switch(config-if)# authentication periodic
Switch(config-if)# dot1x pae authenticator

Switch(config-if)# switchport nonegotiate
Switch(config-if)# spanning-tree portfast
Switch(config-if)# spanning-tree bpduguard enable

Als de gebruiker goed geauthenticeert is wordt de poort omgezet naar VLAN 25.

Logon.bat

code:

@echo off
Echo 'Mappingen worden verwijdert'
NET USE * /DELETE /YES

Echo 'Mappingen worden gemaakt'
net use r: \\172.16.1.123\Delen
Pause

Wanneer ik 802.1x er tussenuit haal, dan werkt het aanmelden zoals het hoort.

[ Voor 5% gewijzigd door kokkel op 06-01-2010 11:02 ]

[kokkel]

Het process op de switch duurt ongeveer 5 sec, heb het volgende aangegeven op de pc "enable single sign on for this network" met de optie "perform immediatly bevore user logon" en "Maximum delay (seconds) 30s"

Er wordt nog steeds ingelogd met cashed credentials.

Heb gesnift, hierbij is gebleken dat er 10 access requests verzonden worden, waar op de laatste gereageerd wordt

[ Voor 17% gewijzigd door kokkel op 06-01-2010 14:21 ]

[ik222]

Kun je niet in je script zelf een wat langer delay instellen? Want wat er dus blijkbaar aan de hand is is dat je client je DC uberhaupt niet kan vinden...

Zomaar een gedachte van mij; Is je DNS server bereikbaar vanaf het VLAN waar de client in wordt gezet? Dat moet namelijk wel om een domein goed te laten functioneren.

[ Voor 15% gewijzigd door ik222 op 06-01-2010 22:49 ]

[Duinkonijn]

kokkel schreef op dinsdag 05 januari 2010 @ 16:02:
Ik weet ook niet zeker of de client wel inlogt op het domein, of dat het gecashed gegevens zijn.

je kan het laatste uitsluiten doormiddel met een nieuw account aan te melden die de machine zeker niet kent

[kokkel]

Duinkonijn schreef op woensdag 06 januari 2010 @ 22:52:
[...]

je kan het laatste uitsluiten doormiddel met een nieuw account aan te melden die de machine zeker niet kent

Gedaan, en deze krijgt een nieuw lokaal profiel, dus het gaat niet goed het aanmelden op het domein.

[Verwijderd]

Zorg ervoor dat de computer zichzelf authenticeerd met 802.1X voordat je de gebruiker aanmeld.

In je IAS policy moet je domain copmuters meenemen (zie Figure HHH) op
http://articles.techrepublic.com.com/5100-10878_11-6148579.html