Fortigate AD Connect

Sehr geehrtes Forum,

seit längerem beschäftige ich mich nu mit dem Thema Fortigate Firewall mit der Anbindung an AD und SPAM - Filter!

Ich beschreibe mal das, was ist:

Die Fortigate Firewall ist am AD angemeldet und die Gruppen werden über SingleSignOn (wie nennt man das gezogen), es gib 3 Gruppen vollzugriff, beschränkt und deny!
In der Firewall gibt es Regeln für die Entsprechenden Gruppen, da wir 2 DSL Leitungen haben!
Und es gibt eine Default Regel, die greift, wenn keine Authentifizierung passiert!

Jetzt kommt es häufiger dazu, dass die User nicht richtig Authentifiziert werden und somit in das Default gehen und nicht mehr surfen können!

Ich habe schon die Anleitungen durchgewälzt und sehe keinen Unterscheid zwischen Single-Sign-On und direkt AD!
Hat hier einer Erfahrung was besser ist und kann sich das erklären?