Anmeldung an der Domaine dauert lange

[Cooper83 10]

Wenn Du mal mit rechts auf Dein Laufwerk C: klickst - Eigenschaften - Freigabe und Sicherheit - Sicherheit - Hinzufügen

Kannst Du unter Pfade "Gesamtes Verzeichnis" und die Domäne sehen ?

 

 

Hmm ja, das geht, da kann ich die Domäne sehen. Hat nur verdammt lange gedauert, bis er die Domäne gefunden und angezeigt hat.

 

Und das gleiche ist, wenn ich versuche auf die Ressourcen zuzugreifen. Dauert sehr lange..

 

Habe jetzt auch den Treiber aktualisiert. Immernoch das gleiche Problem..

[IThome 10]

Läuft auf Deinem System eine Softwarefirewall ?

[Cooper83 10]

Läuft auf Deinem System eine Softwarefirewall ?

 

Nein..

[IThome 10]

Du müsstest mehrere Fehler in der Ereignisanzeige haben ... Bist Du jetzt gerade in dem Subnetz des Servers ? Wenn ja, bitte noch einmal IPCONFIG /All. Ich würde auch gerne mal IPCONFIG /ALL des DCs sehen , dessen Adresse Du als bevorzugten DNS-Servers eingegeben hast ...

[lefg 276]

Habe jetzt auch den Treiber aktualisiert.

 

Handelt es sich um einen XP?

 

WinsockXpFix heisst das Stichwort für Google.

 

Hat schon jemand nach dem Ergebnis von ping serverip gefragt?

[blub 115]

schau mal hier

http://www.mcseboard.de/showpost.php?p=425215&postcount=4

 

mit dem userenvlog kannst du oft erkennen, was solange bei der Anmeldung braucht: Profilladen, Policyverarbeitung etc.

 

cu

blub

[shaker 10]

Hallo zusammen,

 

ich bin ein Kollege von Cooper83 / Daniel. Habe mit raufgeschaut und wir haben eine Lösung gefunden. (nach zahlreichen grauen Haaren mehr)

 

Vielen Dank an Euch alle für Eure tatkräftige Unterstützung. Ihr seid echt super ! :)

 

Da wir bei anderen Problem schon oft gute Hilfen hier im Board gefunden haben, tragen wir mal alle Fehler, Symptome und Lösungsschritte zusammen. Vielleicht nützt es ja irgendwann jemand anderem.

 

Symptome:

Login mit Domain-User dauert ca 20 Minuten. Login auf lokaler Maschine ist schnell.

Netzwerkumgebung zeigt alle Rechner, aber ein Zugriff auf einen Rechner der Domain bringt ein Loginfenster (ebenfalls erst nach ner Ewigkeit). Der Login schlägt dann aber fehl.

 

(Login Daten sind korrekt, Konto nicht gesperrt)

 

Client ist Win XP SP2, alle Updates.

Server ist Win 2k3.

 

Diagnose:

DNS und Reverse Lookup sind OK. (DNS-Einstellung des Clients zeigt auf den DNS vom DC.)

Vergabe der IP-Adressen bei den Clients läuft mit DHCP (DHCP ist auch auf einem Windows-Server)

 

Namensauflösung

ping dc-name.domain.local geht prima

ping clientname.domain.local ist auch prima

 

Bei nslookup meldet sich der DNS vom DC.

- Eingabe von 'clientname' ergibt korrekte IP

- Eingabe von 'dc-name' ergibt korrekte IP

 

Soweit so gut, Blick ins Event-Log:

 

Im Eventlog tauchen folgende Fehler auf:

 

LSASRV 40960

Das Sicherheitssystem hat einen versuchten Herunterstufungsangriff für den Server cifs/<Computername> festgestellt. Der Fehlercode des Authentifizierungsprotokolls Kerberos war "Es stehen momentan keine Anmeldeserver zur Verfügung, um die Anmeldeanforderung zu verarbeiten. (0xc000005e)". Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.'>http://go.microsoft.com/fwlink/events.asp.'>http://go.microsoft.com/fwlink/events.asp.

 

 

LSASRV 40961

Das Sicherheitssystem konnte keine sichere Verbindung mit dem Server cifs/<Computername> herstellen. Es war kein Authentifizierungsprotokoll verfügbar. Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.

 

Kerberos 10

 

Das Kerberos-Subsystem kann die Tickets vom Domänencontrollermit dem UDP-Netzwerkprotokoll nicht abrufen. Häufige Ursache hierfür sind Netzwerkprobleme. Wenden Sie sich an denSystemadministrator

 

USERENV 1053

 

Der Domänencontrollername für das Computernetzwerk konnte nicht ermittelt werden. (Die angegebene Domäne ist nicht vorhanden oder es konnte keine Verbindung hergestellt werden. ). Die Verarbeitung der Gruppenrichtlinie wurde abgebrochen. Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.

 

 

Also Support Tools (Windows CD) installiert und netdiag an der Kommandozeile ausgeführt:

 

Unter anderem sieht man:

 

Kerberos test. . . . . . . . . . . : Failed

[FATAL] Kerberos does not have a ticket for host/thehost.DOMAIN.NAME

 

(den Rest laß ich weg)

 

Da Suchen nach Event ID 40960 nix Helfendes bringt, haben wir uns auf Kerberos und die Ereignis ID 10 konzentriert:

http://www.eventid.net/display.asp?eventid=10&eventno=5657&source=Kerberos&phase=1

 

bringt die Lösung mit dem Link auf:

 

http://support.microsoft.com/kb/244474/en-us

How to force Kerberos to use TCP instead of UDP

 

 

Der Client kann anscheinend den KDC nicht per UDP erreichen. Stellt man wie im KB-Artikel beschrieben die MaxPacketSize auf 1, versucht er es per TCP.

 

Nun klappt die Anmeldung superschnell und die Fehler sind weg.

 

Nur Gott weiss, warum Microsoft diese Info dermaßen gut versteckt... :-)

 

Gruss und nochmals Danke an alle,

Mario

[lefg 276]

Nun, es erscheint als das Wichtigste, das nervige Problem ist beseitigt.

 

Ich frage mich aber doch öfters, was ist die Ursache für das Problem, in welchem Zusammenhang steht es?

 

Passiert es nach einer Zeit der einwandfreien Funktion plötzlich ohne erkennbare Ursuche? Oder ging dem etwas voraus, Wartung, Umstellung, Spielerei? Hatte ein Unqualifizierter die Möglichkeit zum Installieren, kann Malware die Ursache sein?

[shaker 10]

Hallo lefg,

 

der Laptop wurde mit XP Home geliefert. Deshalb wurde er 'plattgemacht' (richtig mit alles weg :)) und von einer Open License Windows XP ohne SP durch Kunden Admin installiert.

 

Erst ging auch alles tadellos, dann hat der Admin alle notwendigen Programme installiert wie Office, VPN Client (Watchguard), iPass, AV usw.

(Eine Konfiguration, wie sie bei allen Laptops gemacht wird. - Standard)

Derweilen hat dann auch SUS alle Winupdates installiert.

 

Die Gesamt-Konfiguration an sich ist lauffähig, da alle Laptops identisch eingerichtet werden.

DAUs hatten den noch gar nicht in den Fingern und Malware schließe ich aus. Parallel zu diesem Gerät sind weitere Rechner identisch installiert worden und funktionieren.

 

Aufgefallen ist der Fehler erst, als der Admin das Userprofil einrichten wollte und sich als User angemeldet hat. (Vorher hat er sich immer als Admin angemeldet und wahrscheinlich dann mit cached credentials gearbeitet.)

 

Also für mich sieht es wie ein Fehler 'aus heiterem Himmel' aus, da fast identische Laptops laufen.

[Roidanton00 10]

also ich habe haargenau die gleichen fehlermedungen

bin dann auch dem Lösungsvorschlag nachgegangen wie beschrieben.

 

Nur das bei alleine der Vorgang beim neustart des Laptops computer wird gestartet ca. 10 min dauert. Dies aber erst nachdem ich mich erfolgreich in der domäne angemeldet habe.

auch wenn ich dann später mich locl anmelde dauert der vorgang Computer wird gestartet 10 min.

und die änderung mit regedit führte auch zu keinem messbarem erfolg.......

ist ein neues LG Notebook mit windows xp prof MUI Mehrsprachen fähig

hinzu kommt das mit nslookup keine domäne gefunden wird

habe die einstellungen anderer pc die im netz ohne probleme laufen überflogen und die mit dem neuen notebook verglichen.

stimmen überein

 

sobald der notebook einmal angemeldet ist und man sich nur neu anmeldet geht es schnell

aber wenn man ihn neu startet insge. 18 min

 

Ich habe auf dem server mal in den dns einträgen nachgesehen.

nslookup auf dem server ergibt 10.1.10.40 169.254.62.2

ist das richtig

[IThome 10]

Nein, das ist nicht richtig. Du solltest auf dem Server in der DNS-Konsole unter Schnittstellen die 10er-Adresse als einzige Adresse eintragen, auf der der DNS-Server lauscht. Die 169.254er Adresse ist eine APIPA-Adresse, die er zugewiesen bekommt, wenn eine Karte als DHCP-enabled konfiguriert ist, Autokonfiguration aktiviert ist und kein DHCP-Server gefunden werden kann. Du solltest auch die 10er Karte in der Bindungsreihenfolge an die erste Stelle setzen (Eigenschaften der Netzwerkverbindungen - Erweitert - Erweiterte Einstellungen). In der DHCP-Konsole kannst Du auch vorgeben, auf welchen Adressen der DHCP-Dienst erreichbar ist. Poste bitte mal IPCONFIG /ALL des Notebooks ...

[Roidanton00 10]

so wie ich das sehe ist der admin der vorher zuständig war (ist nicht mehr dort)

auch nicht unbedingt jemand gewesen der DIE Ahnung hatte.

 

ich habe das problem mit dem neuen notebook gelöst ohne am server was zu ändern, sagen wir mal aus dem bauch raus.

meine vermutung war das das neue LG Notebook, das vorisnst. war mit win xp prof MUI mehrsprachen software irgendwie keine "normale inst. besessen hatte, die jetzt das einbinden in die Domäne mehr oder weniger stört.

Notebook komplett platt gemacht, eine"normale xp prof cd genommen neu inst. mit dem originalen xp key vom notebook.

gleiche einstellungen vorgenommen wie zuvor neuer versuch der einbindung in die domäne, fazit: beim ersten versuch erfolgreich ohne diverse Fehlermeldungen.

 

obwohl die domäne wol einige Macken besitzt lag es dann wohl dennoch letztlich am notebook, oder??

 

PS:

da ich als externer die Firma betreue seit ca 3 mon. bin ich sehr vorsichtig irgendwas am server bzw. an den beiden server zu verändern, da es momentan mehr oder weniger läuft.