2k-Domäne, Storage Server 2003, Zugriffsverweigerungen, aber nur manchmal

[Jadow 10]

Hallo,

 

ich bin langsam am verzweifeln - folgende Situation:

 

ich habe hier eine Windows 2k-Domäne mit 2003er Schema (ein DC ist 2003) und einen Windows Storage Server 2003. Jetzt passiert es bei den Daten auf dem Storage Server häufig, dass man auf ein Verzeichnis erst nach wiederholtem Versuch (meinstens 2. oder 3. Mal) zugreifen kann. Vorher meldet der Rechner das "der Pfad nicht verfügbar" sei. Auf dem Storage werden zwei EventIDs (Details unten) gelogt: einmal "Security 537" und dann (da ich als Reaktion auf den ersten die Kerberos-Protokollierung aktiviert habe) "Kerberos 3". Es passiert seitdem auch häufiger, dass Dateien nicht mehr gespeichert werden können - Fehlermeldung lautet auch "xyz konnte nicht gespeichert werden".

 

Security 537:

 

Logon Failure:

Reason: An error occurred during logon

User Name:

Domain:

Logon Type: 3

Logon Process: Authz

Authentication Package: Kerberos

Workstation Name: SRV-NAME

Status code: 0xC000040A

Substatus code: 0x0

Caller User Name: SRV-NAME$

Caller Domain: DOMAIN

Caller Logon ID: (0x0,0x3E7)

Caller Process ID: 1008

Transited Services: -

Source Network Address: -

Source Port: -

 

Kerberos 3:

 

A Kerberos Error Message was received:

on logon session

Client Time:

Server Time: 11:14:30.0000 3/26/2007 Z

Error Code: 0xe KDC_ERR_ETYPE_NOTSUPP

Extended Error:

Client Realm:

Client Name:

Server Realm: DOMAIN.LOCAL

Server Name: krbtgt/DOMAIN.LOCAL

Target Name: host/SRV-NAME.DOMAIN.LOCAL@DOMAIN.LOCAL

Error Text:

File: 9

Line: ae0

Error Data is in record data.

 

Ich habe mittlerweile versucht mit dcdiag und netdiag einiges herauszubekommen, aber hier scheint alles ok zu sein - auch der DNS. Was kann ich da noch tun?

 

Die Probleme haben auch erst angefangen seit der Storage Server im Netz hängt (Standard-Installation, sprich in diesem Fall von Fujitsu-Siemens die Recovery DVD und SP2) und existieren auch nur auf diesem Server. Bei anderen funktioniert es.

 

Ich bin für jede noch so kleine Hilfe dankbar!!

 

Gruß

 

Jadow

[nightflight71 10]

Kerberos reagiert ziemlich empfindlich auf falsche Zeiteinstellungen der Systeme, die Zeitspanne für die Gültigkeit der Kerberos-Tickets kannst du in der Domain Policy einstellen, überprüfe mal die lokale Zeiten der betroffenen System, ggfs. mal eine Zeitsyncronisierung des Netzwerkes durchführen.

[Jadow 10]

Hallo,

 

erstmal danke für Deine Antwort.

 

Ich habe dies mit w32tm geprüft.

 

Folgende Ausgaben:

 

w32tm /monitor /computers: DC1

DC1[192.168.1.244]:

ICMP: 0ms delay.

NTP: +0.0142397s offset from local clock

RefID: unspecified / unsynchronized [0.0.0.0]

 

w32tm /monitor /domain: DOMAIN.LOCAL

DC1.DOMAIN.LOCAL *** PDC *** [192.168.1.244]:

ICMP: 0ms delay.

NTP: +0.0000000s offset from DC1.DOMAIN.LOCAL

RefID: unspecified / unsynchronized [0.0.0.0]

EX.DOMAIN.LOCAL [192.168.1.246]:

ICMP: 0ms delay.

NTP: +0.0290000s offset from DC1.DOMAIN.LOCAL

RefID: DC1.DOMAIN.LOCAL [192.168.1.244]

DC2.DOMAIN.LOCAL [192.168.2.244]:

ICMP: 13ms delay.

NTP: +0.0155646s offset from DC1.DOMAIN.LOCAL

RefID: DC1.DOMAIN.LOCAL [192.168.1.244]

 

Ist es problematisch, dass auf dem Storage-Server eine englische Version von Server 2003 läuft und auf den restlichen deutsche Versionen? Auf dem DC1 und EX 2k, auf dem DC2 (anderer Standort) 2k3...

 

In der Default Domain Policy steht der Standard-Wert, also 5 min, für die maximale Abweichung.

 

Gruß

 

Jadow