Activer Directory och VPN (olika konton)

Jag är en gröngöling på det här med Active Directory. Jag försöker fila på VPN och jag vill att det funkar utan att Windows Servern hanterar den, men det verkar finnas någon slags standardinställning i Windows 10 som gör att AD-konto = VPN-konto. Så vill jag inte ha det.

Följande setup

CISCO Router som hanterar VPN och DHCP
Windows Server 2019 AD
Windows Server 2019 Allt annat (RDS, File Share o SQL mm)

Har experimenterat med en medarbetares dator och fört över denna till ett domän. Alla inställningar fungerar som förväntat i kontoret. Nu under Coronatider är det dock inte längre standard att man arbetar på plats.

Så jag har stött på några problem:

1. Jag har skapat VPN-konton i Routern. Dessa matchar inte Active Directory och egentligen är jag inte intresserad av att de ska göra det heller för jag har inget intresse av att göra det bökigt att logga in på datorerna med komplicerade lösenord.

När AD-användare på datorn loggar in på VPN tror den automatiskt att det är en användare i domänet. Detta skapar problem för så fort VPN-anslutningen slutförs så överskrivs alla användarnamn och lösenord till efter VPN. Det gäller Windows File Share också. Så medarbetaren behöver logga in igen med sin datorinloggning för att komma in på File Share.

2. En till konsekvens av detta verkar dyka upp är att Group Policy kan inte längre uppdateras efter ADn. Jag misstänker att det har att göra med att den försöker hämta policyn utefter VPN-inloggningen?

Tacksam för hjälp!

Problemet är att jag inte vill köra AD-kontot. Lösenordet är för enkelt och medarbetarna har det så av bekvämlighetsskäl. Jag vill ha kontona helt separata.

Går det inte att uppnå så att VPN-kopplingen enbart ska vara fokuserat på VPN istället för att den även ändrar AD-kontoinställningar på datorn?

Provade det där utan lycka. Cisco är nog det sämsta företaget i världen på att göra manualer. Står ingenting vad som krävs exakt för att få det där att lira.

Jag misstänker att man behöver öppna portar i brandväggen på Windows Servern? Finns det bra exempel LDAP inställningar? Förstod mig inte på LDAP Base DN för vad som var ett måste.

http://i21.photobucket.com/albums/b276/lilmaniac2/ldap%20conf...

Jag blir förvånad. Så Windows 10 kan verkligen inte tillåta en annan inloggning än AD om man är inloggad som AD för VPN utan att den får för sig att det ska ha med domänet och ADn att göra?

Min lösning är då följande:

Varje användare får ha två konton till sig i AD. En för utanför kontoret med uberkomplext password. En användare tänkt för kontoret och för själva användaren i datorn. Båda konton har tillgång till exakt samma sak. Då kan medarbetaren logga in på datorn med det lätta lösenordet och när VPN aktiveras blir det den andra användaren. Det borde fungera?

Just nu experimenterar jag med denna dator och den är i domänen.

Jag kör på vanliga Windows 10 klienten för VPN.

Jag har ställt in så att det är rätt DNS-adress i datorn. Namn osäker på hur jag ska hitta det alternativet? Är det någonstans som man behöver fylla i fulla domännamnet? När datorn kopplas upp mot VPN så ser jag domännamnet när Windows visar kopplingen i Inställningar.

Jag ser ingen annan utväg. Poängen är alltså att jag vill kunna uppnå följande:

Lätt lösenord på själva datorn, svårt lösenord för VPN. Jag vill ha någon form av säkerhet. Tänker inte riskera att man ska få kunna logga in med lätta lösenord på självaste VPN-anslutningen.

Det går inte med ett konto om Windows 10 ska tvinga VPN-kontot som AD-konto (ej existerar). Då ser jag bara två konton som lösningen. Har bara svårt att köpa det faktum att Windows 10 är så dåligt konfad att den måste behandla uppgifterna för VPN som densamma för Active Directory och att det inte finns någonstans som detta går att stänga av på...

Problemet med den videon är att jag kör VPN i Routern. Inte i Windows Server. Hade gärna kört cert etc. Men problemet är att Windows 10 VPN-klient har väldigt många begränsningar i inställningar som gör att jag inte lyckats matcha den med routerns VPN-inställningar.

Jag får väl överväga att alla medarbetare får logga in med komplexa lösenord på sina datorer. (Kommer inte bli den populära på kontoret)

PPTP kör vi. Bara så jag är med. Menar du att jag behöver ställa in DNS-inställningar i brandväggen för servern eller för klienten? För enheten som hanterar VPN är routern som inte hanterar AD. Visserligen har routern en brandvägg! Eller behöver man ändå göra något med brandväggen i Windows Server för att logga in som AD via routern menar du kanske?

Nej, lösenordet var förinstallerat i datorns VPN-inställningar.

PIN kan vara en bra lösning på problematiken!

Stora anledningen till det komplexa lösenordet. Används för dess hastighet. Har kört OpenVPN och fick ut 3 ggr saktare resultat i jämförelse med PPTP. När jag gjort researchen är PPTP än idag det snabbaste VPN-alternativet. Har försökt att få igång IPSEC tidigare men Windows 10 klienten har inställningar för IPSEC som inte routern kan tillfredsställa.

Väl medveten om PPTPs brister, men när du har medarbetare som har ADSL än idag i sina hem så har jag svårt att se arbetsmiljön vara smidig i deras vardag. De klagar även över PPTP...

För företag!

Om jag ska byta och låta Windows Server hantera VPN vilken av maskinerna ska hantera anslutningarna? Brukar man låta maskinen som hanterar Active Directory göra det?

Aa det ser ut exakt oavsett om man är med i domän eller inte. VPN fungerar när jag lägger in användare i själva routern, men routern själv vägrar försöka matcha inloggningarna med Active Directory servern. Har matat in dess lokala IP-adress i routerns inställningar enligt Ciscos instruktioner utan lycka. Den kollar enbart sina lokala databas för inloggningar.

Cisco RV325 är det. Cisco routers är väldigt svåra att konfa mot Windows 10s inbyggda VPN-klient. När jag försökte fixa IPSEC så hade inte denna router de inställningarna som krävdes för att matcha gruppinställningarna som Microsoft har ställt in i Windows 10. Det finns inga bra guider mot just Windows 10s inbyggda klient och de flesta Ciscoguider är baserade på VPN-klienter som kostar pengar.

https://serverfault.com/questions/813256/windows-10-built-in-...

Kollade denna länk och Cisco RV325 kunde inte matcha inställningarna helt enkelt.

Vet inte om det är värt att skapa en till server bara för VPN och då för en fet chansning att VPN kommer bli snabbare. ADSL ser jag som det stora spöket för just denna medarbetare. De flesta har ju inte ADSL idag.

Här i Sverige får jag ändå ut 1/3 av hastigheten via PPTP. Via OpenVPN 1/10. Alla andra VPN-alternativ har inte gått att testa för routern. Så hastigheten för PPTP fungerar åtminstone. Hoppas såklart man kan skapa ett VPN som är snabbare än PPTP och säkrare, men antar att krypterade anslutningar är den stora anledningen till att hastigheten blir så pass mycket lägre.

Mitt problem är att den just behandlar VPN-anslutningens användare som en domänanvändare. Jag vill egentligen inte ha det så utan att datorn/användaren ska fortsätta använda den inloggade användaren för access till nätverksmappar. Istället utnyttjar den VPN-anslutningens användare som om den existerar.

Jag försökte ställa in så att routern ska verifiera access via Active Directory, men det har inte fungerat och manualen säger ingenting om det är så att jag måste korrigera brandväggen i Windows Server eller inte. Ja, Cisco är katastrofusla på manualer. Har följt den manualen och ändå vill den inte kommunicera med AD för att verifiera VPN-access.

Kommer nog köra på lösningen med 2 konton per användare där ena står för VPN-kontot med det avancerade lösenordet. Alternativt köra ditt förslag med PIN och komplicera lösenordet som satan för användarna.

Ja, det verkar stämma med OpenVPN-imagen (Ubuntu verkar den köra). Jag kan överväga det, men det är bara jag på IT-avdelningen. Jag har tillräckligt med servrar att hantera (Cisco, Raspberry Pi, Hyper-V, 2 VMs). Man tröttnar på antalet saker att hantera. Dessutom blir det lättare med övergång om jag kan fortsätta med att låta routern hantera VPN.

Hur kör ni? Antar att ni har massa VMs/maskiner som hanterar olika saker? L2TP-VPN antar jag att ni kör? Hur mycket hastighet har du fått ut av det om du tänker andelsmässigt av den ursprungliga hastigheten?

Ok, tack för ditt inlägg.

Ingen fara med frågor.

Yes, alla mapprättigheter fungerar galant.

Menar du nu internt på plats på kontoret eller utanför kontoret (VPN)? Jag kommer in med rätta inloggningsuppgifter med servern på plats utan problem. Jag ska dubbelkolla FQDN och hostname imorgon utanför kontoret, men är rätt säker på att det fungerar för att nslookup producerar domännamn för DNS-servern vid VPN-anslutning. IP-adress fungerar definitivt. Faktiskt bra tips på tester. Av vana kör jag per standard IP utanför kontoret för vi körde inte Active Directory innan.

Sedan vad gäller domännamn så kör jag inte vårat riktiga domännamn till vår webbplats om det är den du menar. Jag kör bara ett påhittat domännamn som gäller kontoret.

Nu under tiden jag experimenterar la jag in en till AD-användare som matchar VPN-användaren i brandväggen. Genom att lägga in den AD-användaren så fungerar även gpupdate /force med VPN. Det är alltså lösningen med 2 användare som jag nämnde tidigare.

Finns inte ens någonting som varnar om det är LDAP-SSL som den försöker ansluta med.
LDAP

dc=Randonnamn,dc=local
AD

Finns en tråd för någon som fick det att fungera, men har förstått mig på hans lösning https://www.reddit.com/r/Cisco/comments/56bgtj/rv325_vpn_acti...

Äntligen. Precis det här som jag letat efter. Stort tack för hjälpen. Försökte uppdatera med gpupdate /force hemifrån via VPN utan lycka, men jag provade att köra inställningarna lokalt på datorn och det fungerade helt klart. Får prova i lokalen sen.

Jag har gett upp att få det fungera med brandväggen. Cisco får i framtiden steppa upp i manualerna. I framtiden kanske man har råd att byta ut maskinvaran.

Bara för att folket har enormt agg mot PPTP kan jag testa OpenVPN igen. Ett sätt att hantera den långsamma VPN-anslutningen kan väl vara att göra så att inte hela datorn måste använda sig av anslutningen utan bara för de lokala resurserna?