Unendlich lange Loginzeiten

[DarK_RaideR 10]

Hallo,

 

ich hab ein sehr seltsames Phenomän und zwar besteht folgender Aufbau :

 

- VPN Router mit Tunneln zu 2 Standorten an Ort X und Y

- 3x Windows XP Pro Workstations mit drei verschiedenen Benutzernamen

- Eine Domänen Struktur, die via VPN Tunnel die Benutzer auf den Servern in X und Y

bestätigt und die Rechte verteilt und als Exchange Server dienen fuer Outlook

- Die 3 Rechner laufen bestens und auch sehr schnell und ohne jegliche Probleme

 

Man kann also uneingeschränkt arbeiten und hat keinerlei Probleme, ABER, nun

sollte ein neuer leistungsfähigerer Rechner fuer einen der drei Benutzer eingerichtet

werden. Ich habe bereits testweise mich bei diesem Rechner mit den anderen beiden

Benutzern eingeloggt um zu pruefen ob alles geht, dies war der Fall, die Shares waren

da (via Logon Script auf dem Server), Exchangeverbindungen gingen und die Login

zeiten waren recht fix.

 

Nun habe ich mich mit dem betreffenden Benutzernamen eingeloggt und der erste

Login ging auch sehr zuegig von statten, jedoch nach einem Neustart dauerte der

erneute Login knapp 30 Minuten, die Phasen der Anmeldung dauerten alle sehr lange,

also gemeint ist die Phase nach Eingabe des Passworts und Bestätigung, die Phase wo

man das Loginfenster weggeht und auch die Phasen wo Benutzereinstellungen

uebernommen werden und Netzwerkverbindungen hergestellt werden. Ist der Benutzer

dann einmal auf dem Desktop funktioniert auch alles tadellos, nur ist diese lange Loginzeit

hatl logischerweise inakzeptabel.

 

Folgende Fehler werden zu den Loginzeiten im Ereignisprotokoll aufgefuehrt :

 

Quelle : LSASRV

ID : 40960

Kategorie : SPNEGO (Vermittlung)

Text : Das Sicherheitssystem hat einen versuchten Herunterstufungsangriff fuer den

Server "exchangeRFR/{Servername X}.{Domänenname}.com" festgestellt. Der Fehlercode

des Authentifizierungsprotokolls Kerberos war "Es stehen momentan keine Anmeldeserver

zur Verfuegung, um die Anmeldeanforderung zu verarbeiten. (0xc000005e)

 

Quelle : LSASRV

ID : 40961

Kategorie : SPNEGO (Vermittlung)

Text : Das Sicherheitssystem konnte keine sichere Verbindung mit dem Server

"exchangeRFR/{Servername X}.{Domänenname}.com" herstellen. Es war kein

Authentifizierungsprotokoll verfuegbar.

 

Quelle : LSASRV

ID : 40960

Kategorie : SPNEGO (Vermittlung)

Text : Das Sicherheitssystem hat einen versuchten Herunterstufungsangriff fuer den

Server "ProtectedStorage/{Servername Y}.{Domänenname}.com" festgestellt. Der

Fehlercode des Authentifizierungsprotokolls Kerberos war "Es stehen momentan keine

Anmeldeserver zur Verfuegung, um die Anmeldeanforderung zu verarbeiten. (0xc000005e)

 

Quelle : LSASRV

ID : 40961

Kategorie : SPNEGO (Vermittlung)

Text : Das Sicherheitssystem konnte keine sichere Verbindung mit dem Server

"ProtectedStorage/{Servername Y}.{Domänenname}.com" herstellen. Es war kein

Authentifizierungsprotokoll verfuegbar.

 

Diese Ereignisse treten nicht auf dem alten PC des Benutzers auf und auch nicht mit den

anderen beiden Benutzernamen an diesem Rechner. Ich habe soweit mir bekannt alle

Rechte lokal an den Rechnern (alter und neuer von dem Benutzer) abgeglichen und

konnte keinerlei Unterschiede mehr erkennen.

 

Ich hoffe das sich da irgendwer auskennt, denn die Option den Rechner immer

hochgefahren zu lassen um das Problem nicht jeden morgen zu haben ist nicht

professionell und auch nicht wirklich akzeptabel :p

 

mfg

 

Marco Gotthardt

[olc 18]

Hallo,

 

mal ein Schuß ins Blaue: Diese Kerberos Fehler treten unter anderem häufig auf, wenn die MTU bei VPN Verbindungen problematisch ist bzw. die Netzwerkonnektivität nicht so recht hinhaut.

Im folgenden Artikel wird erklärt, wie man Kerberos Anfragen auf TCP binden kann - das hilft in solchen Fällen (Stichwort UDP Fragmentation): How to force Kerberos to use TCP instead of UDP in Windows Server 2003, in Windows XP, and in Windows 2000

 

Das würde zwar nicht erklären, warum nicht alle Benutzer betroffen sind, aber einen Versuch ist es vielleicht wert.

 

Grundsätzliche Kerberos Troubleshooting Informationen findest Du in folgendem Dokument: Troubleshooting Kerberos Errors

 

Ansonsten mal Netzwerkkartentreiber der neuen Kiste aktualisieren.

 

P.S.: Wie gesagt --> Angaben ohne Gewähr. ;)

 

Gruß olc