Tous les adaptateurs sont détectés comme des réseaux de domaine après la connexion à GlobalProtect lors de l'utilisation du tunneling fractionné basé sur le domaine
3448
Created On 08/26/22 13:32 PM - Last Modified 04/25/25 20:18 PM
Symptom
Lorsque le domaine Active Directory (AD) est configuré comme domaine d'inclusion dans la configuration Split Tunnel sur une passerelle GlobalProtect, toutes les interfaces sont détectées comme étant sur le réseau de domaine après la connexion à GlobalProtect. Cela se produit même lorsque les interfaces physiques n'ont pas accès au réseau de domaine.
Environment
- Passerelle GlobalProtect
- Le domaine Active Directory (AD) est configuré comme domaine inclus dans la configuration du tunnel fractionné
- Clients Windows
- Tous les appareils PAN-OS
Cause
Lorsque le tunneling fractionné basé sur le domaine est activé, GlobalProtect surveiller toutes les connexions au niveau du noyau et prend la décision de lier la connexion à l'adaptateur physique ou à l'adaptateur virtuel GlobalProtect.
Si le domaine Active Directory (AD) est configuré pour être un domaine inclus dans la configuration du tunnel fractionné, Globalprotect reliera toutes les connexions à ce domaine à l'IP de l'adaptateur virtuel GlobalProtect, quelle que soit l' interface qui les a initiées.
Lorsque GlobalProtect se connecte, Windows NLA revérifie l'emplacement de chaque adaptateur en raison du changement de réseau. Lorsqu'il effectue cette opération, une partie du processus consiste à tester l'accessibilité du contrôleur de domaine via le réseau sur chaque adaptateur.
Étant donné que le domaine Active Directory (AD) est inclus dans la configuration Split Tunneling, tous ces contrôles d’accessibilité initiés sur des adaptateurs distincts sont liés à l’ interface GlobalProtect où le contrôleur de domaine est réellement accessible.
Cela permet à tous les adaptateurs de réussir le contrôle de l'emplacement du domaine.
Resolution
Si le domaine Active Directory (AD) doit être inclus dans les paramètres du tunnel de fractionnement de domaine, il s'agit du comportement attendu de Microsoft NLA et il n'existe aucune solution alternative connue.