Win2k3 SBS - Problem bei Domänenanmeldung

Roman · 22.05.2006

Hallo

Ich habe ein großes Problem in unserer Win2003SBS-Domäne.
Erstmal kurz zum Aufbau:

1 Router (Gateway)
1 Server (AD/DNS/DHCP/Exchange/SQL)
5-12 Win2000/XP Clients (laufen nie alle gleichzeitig)

Eigentlich hat alles lange Zeit wunderbar funktioniert, bis auf einem einzigen Rechner (WinXP Pro) ein Problem auftrat:

Nachdem man seine Benutzerdaten zur Anmeldung an der Domäne eingegeben und diese bestätigt hat, dauert es etwa 10-20 Minuten, bis letztendlich der Desktop zu sehen ist. Es ist allerdings nicht das servergespeicherte, sondern ein lokales temporäres Profil geöffnet und ein arbeiten ist absolut unmöglich (langsam, Systemsteuerung hängt sich beim Starten auf usw.). Der DHCP funktioniert aber, d.h. richtige IP/DNS-Server/Gateway werden zugewiesen und Zugriff aufs Internet ist auch möglich.

Also hab ich den Client mal aus der AD geworfen, mich an dem Client lokal angemeldet und wollte ihn in eine Workgroup und anschliessend wieder in die Domäne setzen. Beides hat extrem lange gedauert (~5-7min), wurde aber ausgeführt. Beim nächsten Booten dann wieder die gleichen Probleme wie oben geschrieben...

Inzwischen hatte ich ersteinmal aufgegeben und am Server einige GPOs umkonfiguriert (die damit nichts zu tun hatten), sowie den Server neu gestartet.
Anschliessend bin ich nochmal an den Problemclient und siehe da, er funktionierte auf einmal problemlos - und das auch noch nach mehrmaligem testen.
Ich verlasse also das Büro, freue mich teils, dass das Problem weg ist, ärgere mich andererseits, dass ich nicht weiß, an was es gelegen hat.
Einen Tag später soll der PC morgens genutzt werden. Die Mitarbeiterin will sich anmelden - und es ist wieder genau das alte Problem - ewiges Warten, dann Anmeldung mit lokalem Profil.

Leider kann ich momentan mit keinem EventLog dienen, ich hoffe irgendjemand kann mir trotzdem helfen, ich bin hier schon ziemlich am verzweifeln, habe ich doch keine Ahnung an was es liegen könnte

RavensMetaller · 23.05.2006

Roman schrieb:
Leider kann ich momentan mit keinem EventLog dienen, ich hoffe irgendjemand kann mir trotzdem helfen, ich bin hier schon ziemlich am verzweifeln, habe ich doch keine Ahnung an was es liegen könnte

Hallo,

dabei wäre das Eventlog seeeeeehr nützlich. Wenn die anderen Clients wirklich funktionieren, dann kann es IMHO eigentlich nur noch ein lokales Problem sein. Interesant wären auch das Debug-Logs (zu finden unter: C:\WINDOWS\Debug - speziell das Netlogon.log)

Gruß
Sven

Roman · 23.05.2006

Im Server-Eventlog steht keine (!) Warnung/kein Error welcher im Zusammenhang mit dem Problem steht.

Beim Client gibt's schon interessanteres:

Anwendungslog

Ereignistyp: Fehler
Ereignisquelle: Userenv
Ereigniskategorie: Keine
Ereigniskennung: 1053
Datum: 22.05.2006
Zeit: 09:18:19
Benutzer: NT-AUTORITÄT\SYSTEM
Computer: WS01
Beschreibung:
Der Benutzer oder der Computername kann nicht ermittelt werden. (Ein interner Fehler ist aufgetreten. ). Die Verarbeitung der Gruppenrichtlinie wurde abgebrochen.

Ereignistyp: Fehler
Ereignisquelle: UserInit
Ereigniskategorie: Keine
Ereigniskennung: 1000
Datum: 22.05.2006
Zeit: 09:27:22
Benutzer: Nicht zutreffend
Computer: WS01
Beschreibung:
Folgendes Skript konnte nicht ausgeführt werden: \\dom-dh.local\sysvol\dom-dh.local\scripts\LOGIN_SCRIPT.cmd. Das System hat eine mögliche Sicherheitsgefahr festgestellt. Stellen Sie sicher, dass Sie mit dem Server, der Sie authentifiziert hat, Verbindung aufnehmen können.

Ereignistyp: Fehler
Ereignisquelle: Userenv
Ereigniskategorie: Keine
Ereigniskennung: 1504
Datum: 22.05.2006
Zeit: 10:14:24
Benutzer: dom-dh\<username>
Computer: WS01
Beschreibung:
Das servergespeicherte Profil konnte nicht aktualisiert werden. Mögliche Fehlerursachen sind Netzwerkprobleme oder nicht ausreichende Sicherheitsrechte. Wenden Sie sich an den Netzwerkadministrator, wenn das Problem weiterhin besteht.

Details - Das System hat eine mögliche Sicherheitsgefahr festgestellt. Stellen Sie sicher, dass Sie mit dem Server, der Sie authentifiziert hat, Verbindung aufnehmen können.

Systemlog

Ereignistyp: Warnung
Ereignisquelle: LSASRV
Ereigniskategorie: SPNEGO (Vermittlung)
Ereigniskennung: 40960
Datum: 22.05.2006
Zeit: 09:07:15
Benutzer: Nicht zutreffend
Computer: WS01
Beschreibung:
Das Sicherheitssystem hat einen versuchten Herunterstufungsangriff für den Server LDAP/SERVER.dom-dh.local festgestellt. Der Fehlercode des Authentifizierungsprotokolls Kerberos war Es stehen momentan keine Anmeldeserver zur Verfügung, um die Anmeldeanforderung zu verarbeiten.
(0xc000005e).

Zitat:
Ereignistyp: Warnung
Ereignisquelle: LSASRV
Ereigniskategorie: SPNEGO (Vermittlung)
Ereigniskennung: 40961
Datum: 22.05.2006
Zeit: 09:07:15
Benutzer: Nicht zutreffend
Computer: WS01
Beschreibung:
Das Sicherheitssystem konnte keine sichere Verbindung mit dem Server LDAP/SERVER.dom-dh.local herstellen. Es war kein Authentifizierungsprotokoll verfügbar.

Ereignistyp: Warnung
Ereignisquelle: Kerberos
Ereigniskategorie: Keine
Ereigniskennung: 10
Datum: 22.05.2006
Zeit: 09:27:22
Benutzer: Nicht zutreffend
Computer: WS01
Beschreibung:
Das Kerberos-Subsystem kann die Tickets vom Domänencontroller mit dem UDP-Netzwerkprotokoll nicht abrufen. Häufige Ursache hierfür sind Netzwerkprobleme. Wenden Sie sich an den Systemadministrator.
Daten:
0000: 5e 00 00 c0 ^..À

Ereignistyp: Fehler
Ereignisquelle: Service Control Manager
Ereigniskategorie: Keine
Ereigniskennung: 7026
Datum: 22.05.2006
Zeit: 10:15:36
Benutzer: Nicht zutreffend
Computer: WS01
Beschreibung:
Das Laden folgender Boot- oder Systemstarttreiber ist fehlgeschlagen:
viaagp1

An die Debug-Logs komme ich im Moment leider nicht ran :-(

RavensMetaller · 23.05.2006

Roman schrieb:
Ereignistyp: Warnung
Ereignisquelle: LSASRV
Ereigniskategorie: SPNEGO (Vermittlung)
Ereigniskennung: 40960
Datum: 22.05.2006
Zeit: 09:07:15
Benutzer: Nicht zutreffend
Computer: WS01
Beschreibung:
Das Sicherheitssystem hat einen versuchten Herunterstufungsangriff für den Server LDAP/SERVER.dom-dh.local festgestellt. Der Fehlercode des Authentifizierungsprotokolls Kerberos war Es stehen momentan keine Anmeldeserver zur Verfügung, um die Anmeldeanforderung zu verarbeiten.
(0xc000005e).

Hi,

der Rechner ist nicht richtig in der Domäne. Zumindest kann er keinen Securechannel aufbauen.
Bitte den Rechner aus der Domäne entfernen UND (wichtig) das Computerkonto löschen. Danach wieder in die Domäne aufnehmen.

Gruß
Sven

Roman · 23.05.2006

Das hab ich auch schon versucht :-( Also das Computerkonto in der AD gelöscht und den Client aus der Domäne genommen und dann wieder reingesetzt.

Roman · 24.05.2006

So, ich hab nochmal einiges probiert, leider nach wie vor ohne Erfolg.

Ich hab den Computer aus der Domäne genommen (in eine Workgroup gesteckt).
Dann das Computerkonto in der AD gelöscht und neu erstellt.
Dann hab ich's mal über den browser-basierten ConnectComputer-Wizard probiert.
Nachdem ich da alles ausgewählt hatte, startet der PC neu, meledet sich autmomatisch an,
konfiguriert den IE und ein paar andere Programme, meldet sich automatisch wieder ab und startet neu.
Dann könnte ich mich anmelden - hab aber wieder das gleiche Problem wie vorher :-(

nslookup bzw.pings vom Client zum Server funktionieren übrigens.

Das Netlogon.log ist komplett leer :-\
Nur im Netsetup.log ist was drin (Achtung, lang):

05/21 16:59:30 -----------------------------------------------------------------
05/21 16:59:30 NetpValidateName: checking to see if->TEST' is valid as type 2 name
05/21 16:59:33 NetpCheckNetBiosNameNotInUse for->TEST' [ Workgroup as MACHINE] returned 0x0
05/21 16:59:33 NetpValidateName: name->TEST' is valid for type 2
05/21 16:59:41 -----------------------------------------------------------------
05/21 16:59:41 NetpUnJoinDomain: unjoin from->dom-dh' using->dom-dh.local\Administrator' creds, options: 0x4
05/21 16:59:41 OS Version: 5.1
05/21 16:59:41 Build number: 2600
05/21 16:59:41 ServicePack: Service Pack 2
05/21 16:59:41 NetpUnJoinDomain: status of getting computer name: 0x0
05/21 16:59:41 NetpApplyJoinState: actions: 0x2b805a
05/21 16:59:41 NetpDsGetDcName: trying to find DC in domain->dom-dh', flags: 0x1020
05/21 16:59:42 NetpDsGetDcName: found DC->\\SERVER' in the specified domain
05/21 17:00:42 NetpApplyJoinState: status of connecting to dc->\\SERVER': 0x0
05/21 17:00:43 NetpApplyJoinState: status of stopping and setting start type of Netlogon to 16: 0x0
05/21 17:00:43 NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:00:43 NetpLsaOpenSecret: status: 0x0
05/21 17:00:43 NetpLsaOpenSecret: status: 0x0
05/21 17:00:44 NetpManageMachineAccountWithSid: status of disabling account->WS01$' on->\\SERVER': 0x0
05/21 17:00:44 NetpApplyJoinState: status of disabling account: 0x0
05/21 17:00:44 NetpSetLsaPrimaryDomain: for->dom-dh' status: 0x0
05/21 17:00:44 NetpApplyJoinState: status of setting LSA pri. domain: 0x0
05/21 17:00:44 NetpApplyJoinState: status of clearing ComputerNamePhysicalDnsDomain: 0x0
05/21 17:00:44 NetpApplyJoinState: status of removing from local groups: 0x0
05/21 17:00:44 NetpUpdateW32timeConfig: 0x0
05/21 17:00:44 NetpApplyJoinState: NON FATAL: status of removing DNS registrations: 0x0
05/21 17:00:45 NetpApplyJoinState: status of disconnecting from->\\SERVER': 0x0
05/21 17:00:45 NetpUnJoinDomain: status: 0x0
05/21 17:00:45 -----------------------------------------------------------------
05/21 17:00:45 NetpDoDomainJoin
05/21 17:00:45 NetpMachineValidToJoin:->WS01'
05/21 17:00:45 NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:00:45 NetpMachineValidToJoin: status: 0x0
05/21 17:00:45 NetpJoinWorkgroup: joining computer->WS01' to workgroup->TEST'
05/21 17:00:45 NetpValidateName: checking to see if->TEST' is valid as type 2 name
05/21 17:00:48 NetpCheckNetBiosNameNotInUse for->TEST' [ Workgroup as MACHINE] returned 0x0
05/21 17:00:48 NetpValidateName: name->TEST' is valid for type 2
05/21 17:00:48 NetpSetLsaPrimaryDomain: for->TEST' status: 0x0
05/21 17:00:48 NetpJoinWorkgroup: status: 0x0
05/21 17:00:48 NetpDoDomainJoin: status: 0x0
05/21 17:03:45 -----------------------------------------------------------------
05/21 17:03:45 NetpValidateName: checking to see if->dom-dh.local' is valid as type 3 name
05/21 17:03:45 NetpCheckDomainNameIsValid [ Exists ] for->dom-dh.local' returned 0x0
05/21 17:03:45 NetpValidateName: name->dom-dh.local' is valid for type 3
05/21 17:03:57 -----------------------------------------------------------------
05/21 17:03:57 NetpDoDomainJoin
05/21 17:03:57 NetpMachineValidToJoin:->WS01'
05/21 17:03:57 NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:03:57 NetpMachineValidToJoin: status: 0x0
05/21 17:03:57 NetpJoinDomain
05/21 17:03:57 Machine: WS01
05/21 17:03:57 Domain: dom-dh.local
05/21 17:03:57 MachineAccountOU: (NULL)
05/21 17:03:57 Account: dom-dh.local\Administrator
05/21 17:03:57 Options: 0x25
05/21 17:03:57 OS Version: 5.1
05/21 17:03:57 Build number: 2600
05/21 17:03:57 ServicePack: Service Pack 2
05/21 17:03:57 NetpValidateName: checking to see if->dom-dh.local' is valid as type 3 name
05/21 17:03:57 NetpCheckDomainNameIsValid [ Exists ] for->dom-dh.local' returned 0x0
05/21 17:03:57 NetpValidateName: name->dom-dh.local' is valid for type 3
05/21 17:03:57 NetpDsGetDcName: trying to find DC in domain->dom-dh.local', flags: 0x1020
05/21 17:04:00 NetpDsGetDcName: failed to find a DC having account->WS01$': 0x525
05/21 17:04:00 NetpDsGetDcName: found DC->\\SERVER.dom-dh.local' in the specified domain
05/21 17:04:07 [00000390] NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:04:07 [00000390] NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:04:07 [00000390] NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:04:07 [00000390] NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:04:07 [00000390] NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:04:09 [00000390] NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:05:01 NetpJoinDomain: status of connecting to dc->\\SERVER.dom-dh.local': 0x0
05/21 17:05:01 NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:05:01 NetpGetDnsHostName: Read NV Hostname: ws01
05/21 17:05:01 NetpGetDnsHostName: PrimaryDnsSuffix defaulted to DNS domain name: dom-dh.local
05/21 17:05:01 NetpLsaOpenSecret: status: 0xc0000034
05/21 17:05:01 NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:05:01 NetpLsaOpenSecret: status: 0xc0000034
05/21 17:05:01 SamLookupNamesInDomain on WS01$ failed with 0xc0000073
05/21 17:05:01 NetpJoinDomain: status of setting machine password: 0x534
05/21 17:05:01 NetpJoinDomain: initiaing a rollback due to earlier errors
05/21 17:05:01 NetpLsaOpenSecret: status: 0x0
05/21 17:05:01 NetpJoinDomain: rollback: status of deleting secret: 0x0
05/21 17:05:01 NetpJoinDomain: status of disconnecting from->\\SERVER.dom-dh.local': 0x0
05/21 17:05:01 NetpDoDomainJoin: status: 0x534
05/21 17:05:01 -----------------------------------------------------------------
05/21 17:05:01 NetpDoDomainJoin
05/21 17:05:01 NetpMachineValidToJoin:->WS01'
05/21 17:05:01 NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:05:01 NetpMachineValidToJoin: status: 0x0
05/21 17:05:01 NetpJoinDomain
05/21 17:05:01 Machine: WS01
05/21 17:05:01 Domain: dom-dh.local
05/21 17:05:01 MachineAccountOU: (NULL)
05/21 17:05:01 Account: dom-dh.local\Administrator
05/21 17:05:01 Options: 0x27
05/21 17:05:01 OS Version: 5.1
05/21 17:05:01 Build number: 2600
05/21 17:05:01 ServicePack: Service Pack 2
05/21 17:05:01 NetpValidateName: checking to see if->dom-dh.local' is valid as type 3 name
05/21 17:05:01 NetpCheckDomainNameIsValid [ Exists ] for->dom-dh.local' returned 0x0
05/21 17:05:01 NetpValidateName: name->dom-dh.local' is valid for type 3
05/21 17:05:01 NetpDsGetDcName: trying to find DC in domain->dom-dh.local', flags: 0x1020
05/21 17:05:04 NetpDsGetDcName: failed to find a DC having account->WS01$': 0x525
05/21 17:05:04 NetpDsGetDcName: found DC->\\SERVER.dom-dh.local' in the specified domain
05/21 17:06:04 NetpJoinDomain: status of connecting to dc->\\SERVER.dom-dh.local': 0x0
05/21 17:06:05 NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:06:05 NetpGetDnsHostName: Read NV Hostname: ws01
05/21 17:06:05 NetpGetDnsHostName: PrimaryDnsSuffix defaulted to DNS domain name: dom-dh.local
05/21 17:06:05 NetpLsaOpenSecret: status: 0xc0000034
05/21 17:06:05 NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:06:05 NetpLsaOpenSecret: status: 0xc0000034
05/21 17:06:06 NetpJoinDomain: status of creating account: 0x0
05/21 17:09:07 NetpGetComputerObjectDn: Cracking DNS domain name dom-dh.local/ into Netbios on \\SERVER.dom-dh.local
05/21 17:09:07 NetpGetComputerObjectDn: Crack results: name = dom-dh\
05/21 17:09:07 NetpGetComputerObjectDn: Cracking account name dom-dh\WS01$ on \\SERVER.dom-dh.local
05/21 17:09:07 NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=WS01,CN=Computers,DC=dom-dh,DC=local
05/21 17:09:07 NetpModifyComputerObjectInDs: Initial attribute values:
05/21 17:09:07 DnsHostName = ws01.dom-dh.local
05/21 17:09:07 ServicePrincipalName = HOST/ws01.dom-dh.local HOST/WS01
05/21 17:09:07 NetpModifyComputerObjectInDs: Computer Object already exists in OU:
05/21 17:09:07 DnsHostName =
05/21 17:09:07 ServicePrincipalName =
05/21 17:09:07 NetpModifyComputerObjectInDs: Attribute values to set:
05/21 17:09:07 DnsHostName = ws01.dom-dh.local
05/21 17:09:07 ServicePrincipalName = HOST/ws01.dom-dh.local HOST/WS01
05/21 17:09:07 ldap_unbind status: 0x0
05/21 17:09:07 NetpJoinDomain: status of setting DnsHostName and SPN: 0x0
05/21 17:09:07 NetpGetLsaPrimaryDomain: status: 0x0
05/21 17:09:07 NetpSetLsaPrimaryDomain: for->dom-dh' status: 0x0
05/21 17:09:07 NetpJoinDomain: status of setting LSA pri. domain: 0x0
05/21 17:09:07 NetpJoinDomain: status of managing local groups: 0x0
05/21 17:09:07 NetpJoinDomain: status of setting netlogon cache: 0x0
05/21 17:09:08 NetpJoinDomain: status of setting ComputerNamePhysicalDnsDomain to->dom-dh.local': 0x0
05/21 17:09:08 NetpUpdateW32timeConfig: 0x0
05/21 17:09:08 NetpJoinDomain: status of disconnecting from->\\SERVER.dom-dh.local': 0x0
05/21 17:09:08 NetpDoDomainJoin: status: 0x0
05/23 20:33:19 -----------------------------------------------------------------
05/23 20:33:19 NetpValidateName: checking to see if->ABC' is valid as type 2 name
05/23 20:33:19 NetpCheckNetBiosNameNotInUse for->ABC' [ Workgroup as MACHINE] returned 0x0
05/23 20:33:19 NetpValidateName: name->ABC' is valid for type 2
05/23 20:33:27 -----------------------------------------------------------------
05/23 20:33:27 NetpUnJoinDomain: unjoin from->dom-dh' using->dom-dh.local\Administrator' creds, options: 0x4
05/23 20:33:27 OS Version: 5.1
05/23 20:33:27 Build number: 2600
05/23 20:33:27 ServicePack: Service Pack 2
05/23 20:33:27 NetpUnJoinDomain: status of getting computer name: 0x0
05/23 20:33:27 NetpApplyJoinState: actions: 0x2b805a
05/23 20:33:27 NetpDsGetDcName: trying to find DC in domain->dom-dh', flags: 0x1020
05/23 20:33:27 NetpDsGetDcName: found DC->\\SERVER' in the specified domain
05/23 20:34:27 NetpApplyJoinState: status of connecting to dc->\\SERVER': 0x0
05/23 20:34:28 NetpApplyJoinState: status of stopping and setting start type of Netlogon to 16: 0x0
05/23 20:34:28 NetpGetLsaPrimaryDomain: status: 0x0
05/23 20:34:28 NetpLsaOpenSecret: status: 0x0
05/23 20:34:28 NetpLsaOpenSecret: status: 0x0
05/23 20:34:29 NetpManageMachineAccountWithSid: status of disabling account->WS01$' on->\\SERVER': 0x0
05/23 20:34:29 NetpApplyJoinState: status of disabling account: 0x0
05/23 20:34:29 NetpSetLsaPrimaryDomain: for->dom-dh' status: 0x0
05/23 20:34:29 NetpApplyJoinState: status of setting LSA pri. domain: 0x0
05/23 20:34:29 NetpApplyJoinState: status of clearing ComputerNamePhysicalDnsDomain: 0x0
05/23 20:34:30 NetpApplyJoinState: status of removing from local groups: 0x0
05/23 20:34:30 NetpUpdateW32timeConfig: 0x0
05/23 20:34:30 NetpApplyJoinState: NON FATAL: status of removing DNS registrations: 0x0
05/23 20:34:30 NetpApplyJoinState: status of disconnecting from->\\SERVER': 0x0
05/23 20:34:30 NetpUnJoinDomain: status: 0x0
05/23 20:34:30 -----------------------------------------------------------------
05/23 20:34:30 NetpDoDomainJoin
05/23 20:34:30 NetpMachineValidToJoin:->WS01'
05/23 20:34:30 NetpGetLsaPrimaryDomain: status: 0x0
05/23 20:34:30 NetpMachineValidToJoin: status: 0x0
05/23 20:34:30 NetpJoinWorkgroup: joining computer->WS01' to workgroup->ABC'
05/23 20:34:30 NetpValidateName: checking to see if->ABC' is valid as type 2 name
05/23 20:34:30 NetpCheckNetBiosNameNotInUse for->ABC' [ Workgroup as MACHINE] returned 0x0
05/23 20:34:30 NetpValidateName: name->ABC' is valid for type 2
05/23 20:34:30 NetpSetLsaPrimaryDomain: for->ABC' status: 0x0
05/23 20:34:30 NetpJoinWorkgroup: status: 0x0
05/23 20:34:30 NetpDoDomainJoin: status: 0x0

RavensMetaller · 24.05.2006

Hi,

mach' die Kiste platt und installiere sie mit einem Hostnamen.

Gruß
Sven

Win2k3 SBS - Problem bei Domänenanmeldung

Roman

RavensMetaller

Roman

RavensMetaller

Roman

Roman

RavensMetaller

Win2k3 SBS - Problem bei Domänenanmeldung

ANGEBOTE & SPONSOREN

Neueste Themen

Statistik des Forums