vista/7 cannot verify crl when logging on with smart card

hello,

several times have encountered weird behavior @ customers when
logging on smart card (microsoft base smart card crypt provider,
gemalto .net v2) outside network.

their computer not have access private network - cdp nor aia locations nor of dcs.
but have logged on same smart card , account (so account should have been cached s/c logon).
the error when logging on smart card "cannot verify crl".
the crl may expired, cannot confirm.
their computer have network connection internet, not of cdp nor aia locations (on .local domain names domain has .local suffix).
their cdps , aias contain http:/...local , ldap
they can log on keyboard password (this proves account cached @ least password logon).
without network connection (not internet), logon successful using smart card.

according this, suspect, machine somehow thinks online (although not), should normal online logon instead of cached 1 , tries verify crl not accessible machine @ time.

so question - reason possible?
is possible machine reason tries validate crl if no dc accessible?
for example if domain name .local example , machine on public internet?
how prevent machine trying check crl when dcs not accessible?

thank much.

ondrej.

bonjour,

plusieurs fois j'ai rencontré un comportement bizarre à mes clients quand ils sont
ouvrir une session avec une carte à puce (microsoft base smart card crypte provider,
gemalto. net v2) de l'extérieur de leur réseau.

leur ordinateur n'ont pas accès à leur réseau privé - pour le cdp, ni aia lieux, ni aucun des pays en développement.
mais ils ont déjà connecté auparavant même avec la même carte à puce et de son compte (si le compte doit avoir été mis en cache pour s / c de connexion).
l'erreur lors de la connexion avec la carte à puce été "ne peut pas vérifier crl".
le lcr mai-être déjà dépassée, mais ce que je ne peux pas confirmer.
leur réseau informatique disposent d'une connexion à internet, mais pas tout de cdp, ni aia endroits (sur noms de domaine. locales comme leur nom de domaine fait. suffixe local).
leur ldc et aias contiennent http:/...local et ldap
ils peuvent se connecter avec succès à partir du clavier avec un mot de passe (ce qui prouve que le compte est réellement mis en cache au moins pour l'ouverture de session mot de passe).
sans connexion réseau (pas même à l'internet), la connexion est réussie en utilisant la carte à puce.

selon ce document, je le soupçonne, que la machine semble penser qu'il est en ligne (même si elle l'est pas), qu'il devrait faire en ligne d'ouverture de session normale au lieu de la mise en cache un seul et tente de vérifier lcr qui n'est vraiment pas accessible à partir de cette machine à cette époque .

donc la question est - est la raison possible?
est-il possible que la machine pour une raison quelconque essaie de valider lcr, même si aucun contrôleur de domaine est-il accessible?
par exemple si le nom de domaine est. local par exemple et la machine n'est que sur l'internet public?
comment faire pour éviter que la machine tente de vérifier la lcr lors de leur dec ne sont pas accessibles?

merci beaucoup.

ondrej.

Windows Server  >  Security