à mon tour de plantouiller
 
bon j'ai fait qqchose d'extrèmement simple :  
 
un domaine, une seule forêt.
un DNS et ses redirecteurs.
un subnet local en 192.0.9.x
 
première étape : stratégie de sécurité du domaine : attribution de la stratégie 'client', j'active la stratégie IP pour tout le réseau, avec kerberos, pas de tunnel, et je laisse la stratégie dynamique, réponse par défaut.
2eme étape : attribution de la stratégie 'server' sur les contrôleurs de domaine, avec les même paramètres, kerberos également.
 
--->des pc n'ont plus accès au net, kerberos tray m'indique bien le serveur de clé, l'échange de clés... ipsecmon montre qu'il y a bien un échange authentifié entre les pc du réseau, et qu'ilo accepte les connexions unsecure venant d'internet.
 
alors je fous la passerelle en tunnel, et la effectivement plus rien ne marche. ça c'est normal.
 
donc ipsec marche, mais certains postes n'ont pas le net, et pourtant tous semblent recevoir exactement les mêmes stratégies!