40961 lsasrv > Clients können sich plötzlich nicht im AD anmelden

[dvbuddy 14]

Hallo ich hab da ein größeres Problem.

2003 R2 Domäne mit drei DC/DNS-Servern. DNS läuft gut und auch sonst sind die Logs recht sauber. DCDIAG und NETDIAG bestehen alle Tests. Auch mit den XP SP3 PC´s gibt es keine nenneswerten Probleme.

Einzig und allein mit den Futros (Thin Clients von Fujitsu) und dem Embedded XP gibt es immer wieder ein Problem(mal einer, mal mehr):

In unregelmäßigen Abständen zwischen in paar Tagen bis zu ein paar Wochen kann mann sich nicht mehr anmelden:

Es kann keine Verbindung mit der Domäne hergestellt werden, da der DC nicht verfügbar ist ... (egal welcher Benutzer oder welchen DC er gerade versucht)

Meldet mann sich am Client lokal an ist folgender Fehler: 40961 lsasrv (unterschiedliche Clients und verschiedene DC´s) im Ereignissprotokoll. w32time ist O.K. > Die Zeit ist synchron mit den DC´s .

 

Schon alles sinnvolle bei Event ID getestet. Keine Besserung!

 

Das einzige was hilft, ist ihn aus der Domäne herausnehmen und wieder zufügen. Das kann man vieleicht gelegentlich mal machen, allerdings ist die Häufigkeit einfach nicht akzeptabel!

 

Hat jemand eine Idee? Bin mit meinem (mittelmäßigen) Wissen am Ende...

[olc 18]

Hi,

 

bitte poste einmal den gesamten Event-Text.

 

Ansonsten ein Schuß ins Blaue:

 

Kann es sein, daß die Computerkonten der Clients zentral gelöscht werden?

Prüf einmal, ob zum Zeitpunkt des Fehlers das jeweilige Computerkonto in der AD zu finden ist.

 

Falls ja, prüfe mit einem "repadmin /showobjmeta <DC_NAME> "CN=computer,OU=deine_ou,DC=domain,DC=tld", wann das Computerkennwort zuletzt geändert wurde.

 

Werden die Clients regelmäßig über Images oder ähnliche Mechanismen "zurück gesichert"?

 

Viele Grüße

olc

[dvbuddy 14]

Hallo,

hier die Fehlermeldungen:

Clientseitig:

 

Ereignistyp: Warnung

Ereignisquelle: LSASRV

Ereigniskategorie: SPNEGO (Vermittlung)

Ereigniskennung: 40961

Datum: 04.01.2011

Zeit: 15:15:14

Benutzer: Nicht zutreffend

Computer: EPC0234

Beschreibung:

Das Sicherheitssystem konnte keine sichere Verbindung mit dem Server cifs/xxxxxxxx.DOMxxxxx.local herstellen. Es war kein Authentifizierungsprotokoll verfgbar.

 

 

 

 

 

Ereignistyp: Fehler

Ereignisquelle: NETLOGON

Ereigniskategorie: Keine

Ereigniskennung: 3210

Datum: 04.01.2011

Zeit: 15:58:02

Benutzer: Nicht zutreffend

Computer: EPC0234

Beschreibung:

Dieser Computer konnte sich nicht mit \\xxxxxxx.xxxxxx.local, einem Windows-Domnencontroller fr Domne DOMxxxx, authentifizieren. Aus diesem Grund wird dieser Computer mglicher- weise Anmeldeanforderungen ablehnen. Die Ursache hierfr ist mglicherweise ein anderer Computer im gleichen Netzwerk mit demselben Namen, oder das Kennwort fr dieses Computerkonto wird nicht erkannt. Wenn Sie diese Meldung nochmals erhalten, sollten Sie sich an den Systemadministrator wenden.

Daten:

0000: 22 00 00 c0 "..

 

 

Serverseitig:

 

Ereignistyp: Fehler

Ereignisquelle: NETLOGON

Ereigniskategorie: Keine

Ereigniskennung: 5722

Datum: 04.01.2011

Zeit: 16:01:21

Benutzer: Nicht zutreffend

Computer: xxxxxx

Beschreibung:

Die Einrichtung einer Sitzung von Computer "EPC0234" ist an der Authentifizierung gescheitert. Der/die Kontoname(n) in der Sicherheitsdatenbank lauten EPC0234$. Folgender Fehler ist aufgetreten:

Zugriff verweigert

 

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.

Daten:

0000: 22 00 00 c0 "..À

 

 

Den Befehl hat er nicht akzeptiert (Datei nicht gefunden) > Ich denke mal ich hab da ein Problem mit dem Syntax... werde ein paar Varianten testen.

 

Wegen dem (Kerberos?) Passwort hab ich schon eine Richtlinie geändert und die intervallmäßigen Änderungen abgeschaltet. Hat nichts gebracht. War es wahrscheinlich auch nicht , da der Standardintervall ja länger als ein Tag ist.

 

CU

[olc 18]

Hi,

 

wie oben schon gefragt: Prüf einmal, ob die Computerkonten überhaupt noch da sind oder ob vielleicht ein anderer Computer das Konto "übernommen" hat. Das kannst Du mit dem Repadmin Befehl herausfinden - sofern repadmin.exe auf dem System vorhanden ist. Am besten auf einem DC probieren.

 

Ansonsten prüfe wie angesprochen, ob Images eingesetzt werden, um die Clients entweder zu installieren oder aber "rückzusichern".

 

Viele Grüße

olc