VPN、ルータ越えでADのGPOを適応する方法

VPN、またはセグメントを分けたLANでADを構築している場合、VPNやルーターを越えた先にあるクライアントにグループポリシーが届かないという現象がある。

クライアント側のアプリケーションＬｏｇに

---------------------------------------------------------------

イベントＩＤ：1054

コンピュータネットワークのためのドメインコントローラ名を取得できません。

(指定されたドメインがないか、またはアクセスできません。)

グループポリシーの処理は中止されました。

---------------------------------------------------------------

というログがLogIn時からだいたい5分毎に記録される。

原因はWindowsのデフォルトでのICPMのバッファがでかすぎる事。

クライアントがDCからGPOを取得する場合次のようなステップを踏む。

1.GPOを適応する際には、クライアントはまず0バイトでpingをDCに飛ばす。

2.DCがReplｙする

3.ドメインコントローラに対して、2048バイトpingを打つ(MFフラグ付）

ここでDCからReplyがあればGPOを複製して適応となるんだけど、この2048バイトのpingが曲者。

WindowsのデフォルトではICMPは2048という最大長で発信される。

これはTCP/IPのMAX値なので、ベタに同一セグメント内にDCがある場合は、pingはDCは届きDCからReplyが来てなんの問題も無くGPOが適応させる。

しかしVPN等でルーターを超える場合、ほとんどのルーターは2048バイトというICMPを通過させれない。

ましてやインターネットを介してIP-sec等でVPNを構築している場合、インターネットの最大バッファは1500、VPNなら暗号化を掛けているので1300～1400程度がMAXのはず。

そりゃ2048なんてでかいバッファのICMPが通るわけがない。

で、DCからのReplyが無いって事で上記エラーを記録することになる。

解決策はレジストリでICMPの最大値を区切ってやること。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

に新規DWORDを作り名前を「PingBufferSize」にする。

値を10進で500以上で自分のネットワーク環境に合わせた値（ルーターの許可最大値なりVPNの最大値）を入れるだけ。

うちは1024で統一した。

テストをする場合はVPNまたはルーター越しの端末にレジストリーを設定し

gpupdateコマンドを実行する。

あとはポリシーの確認をするだけ。

もしGPOが適応されないならPingBufferSizeの値を調整してリトライ

この値はあくまでICMPの最大値なので数値の大小でネットワークの速度に影響が無いので、最小値500を最初から設定しておくもの有りかもしれない。

テストがうまくいったら設定変更をbatファイルにして配布して終了。

ただし配布をGPOで行っても意味が無いので注意

おまけ[batの中身]

(

@echo Windows Registry Editor Version 5.00

@echo [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

@echo "PingBufferSize"=dword:00000400

) > startup.reg

@regedit /s .\startup.reg

@del startup.reg