NTLM-Authentifizierungsprobleme

[mmarz 0]

Hallo zusammen,

 

seit einigen Tagen ist mir aufgefallen, dass wenn ich mich direkt nach dem Start des Rechners anmelde, meine Netzlaufwerke die über ein Anmeldeskript gemappt werden nicht vorhanden sind. Erst nach einem ab- und wieder anmelden kommen diese wieder.

 

Mir ist aufgefallen das meine W10 Rechner direkt nach dem Starten in der Anmeldemaske unten rechts das Lan-Symbol mit dem Warndreieck anzeigt.

 

In den Ereignislogs lese ich immer wieder:

 

 

 

 

Protokollname: System

Quelle:        LsaSrv

Datum:         04.11.2016 08:06:26

Ereignis-ID:   6038

Aufgabenkategorie:Keine

Ebene:         Warnung

Schlüsselwörter:Klassisch

Benutzer:      Nicht zutreffend

Computer:      ----

Beschreibung:

Von Microsoft Windows Server wurde festgestellt, dass momentan zwischen Clients und diesem Server die NTLM-Authentifizierung verwendet wird. Dieses Ereignis tritt einmal pro Serverstart auf, wenn NTLM von einem Client erstmalig für den Server verwendet wird.

 

NTLM ist ein relativ schwacher Authentifizierungsmechanismus. Prüfen Sie Folgendes:

 

      Von welchen Anwendungen wird die NTLM-Authentifizierung verwendet?

      Liegen Konfigurationsprobleme vor, die verhindern, dass ein stärkerer Authentifizierungsmechanismus (etwa Kerberos) verwendet wird?

      Wenn NTLM unterstützt werden muss: Ist der erweiterte Schutz konfiguriert?

 

 

 

 

 

Ich habe auch schon danach gegoogelt aber die Lösung für mein Problem war nicht dabei.

 

Der DC ist erreichbar und von einem anderen Client funktioniert meine Anmeldung auch ohne Probleme.

 

Was kann dafür die Lösung sein?

 

Lg

 

 

[lefg 276]

Moin,

 

 

wie ist es denn, mit dem Anmelden etwas warten, 80-120s?

 

Die Gruppenrichtlinie - Bei Neustart des Computers und beim Anmelden immer auf das Netzwerk warten - ist aktiv und wirkt auf dem Rechner? Oder doch nicht?

bearbeitet 4. November 2016 von lefg

[blub 115]

Kerberos funktinioniert zumindest teilweise nicht, daher springt er runter auf NTLM.

 

mach mal bitte enmal "gpupdate"

bekommst du bei der Abarbeitung Fehler?

- Benutzerrichtlinie

- Computerrichtlinie

[NilsK 2.781]

Moin,

 

die fehlenden Netzlaufwerke haben sehr wahrscheinlich mit der NTLM-Meldung nichts zu tun. Das wird sicher an dem liegen, was lefg oben vermutet.

 

http://www.gruppenrichtlinien.de/artikel/fast-logon-schnelles-anmelden-asynchrones-startverhalten-ehemals-faq-36/

 

Was die NTLM-Meldung anbelangt: In der Tat gilt NTLM nicht mehr als sicheres Protokoll. Es wirklich loszuwerden, kann aber etwas Aufwand bedeuten, weil es von den (Server-) Anwendungen im Netzwerk abhängt. Sollte man angehen, ist aber nichts für eine schnelle Umsetzung.

 

Gruß, Nils

[mmarz 0]

Hallo,

 

wenn ich vor der Anmeldung ca. 30 Sekunden warte und mich erst dann anmelde, funktioniert es. Wenn ich mich aber unter diesen 30 Sekunden anmelde was vorher auch immer so war,

 

dann sehe ich das Warndreieck auf dem LAN Symbol und die Laufwerke sind nicht vorhanden.

 

Gpupdate funktioniert ohne Fehler, aber die Laufwerke werden dadurch ja nicht gemappt.

bearbeitet 4. November 2016 von mmarz

[lefg 276]

Bitte beantworte doch mal mir, uns, dem Forum und auch dir selbst die Frage nach der dem GPO, der Gruppenrichtline, ob die konfiguriert,, ob die auf dem PC wirkt!

 

Den Fall ist doch ein Klassiker, nicht erst seit W10.

[Sunny61 772]

Alternativ kannst Du natürlich den Schnellstart von W10 auf deinem Rechner deaktivieren, dann dauert es ein paar Sekunden länger, dafür sind die Laufwerke da.

[mmarz 0]

Die Gruppenrichtlinien werden gezogen wenn ich mich nach dem starten sofort anmelde. 

 

Ich würde den Schnellstart ungern deaktivieren, da dieser ja auch vorher immer funktioniert hat.

 

Würde lieber das Problem erfahren und dieses lösen

[lefg 276]

Die Gruppenrichtlinien werden gezogen wenn ich mich nach dem starten sofort anmelde.

 

Welche Gruppenrichtlinie(n) meinst Du? Die des Benutzers? Das wäre zu spät.

 

Das GPO ".....immer auf das Netzwerk warten" muss vor dem Anmelden wirken, so dass das Anmeldeformular, die Anmeldeoberfläche erst kommt nach dem Herstellen der Netzwerkverbindung.

bearbeitet 4. November 2016 von lefg

[mmarz 0]

ich habe User-Gpo die z.b den Proxy mitgeben. anhand von gpresult /h sehe ich das diese Gpos greifen.

[lefg 276]

Du beantwortest meine Frage aber nicht? :)

 

Das GPO " immer auf das Netywerk warten" ist ein Computer-GPO.

 

Wurde es konfiguriert? Entweder Domæne oder lokal am Computer?

 

Und wirkt es tatsæchlich? Ich beyweifle es mal.

bearbeitet 4. November 2016 von lefg

[Sunny61 772]

ich habe User-Gpo die z.b den Proxy mitgeben. anhand von gpresult /h sehe ich das diese Gpos greifen.

Schön, trotzdem versstehst Du die eigentliche Ursache nicht.

 

Die GPOs werden im Hintergrund +-~90 Minuten mit einem Zeitversatz von +-90 Minuten verarbeitet. Deshalb ist der Proxy gesetzt und bleibt es auch, außer Du änderst am GPO etwas. Die Laufwerke können nicht verbunden werden, da zu dem Zeitpunkt das Netzwerk noch nicht da ist. Aktiviere als die *Computereinstellung* "Immer auf das Netzwerk warten", führe ein gpupdate /target:computer auf der Commandline aus und starte anschließend den Rechner neu. Funktioniert es jetzt? Wenn nein, weißt Du warum du den Schnellstart deaktivieren sollst.

[mmarz 0]

Hallo, entschuldigt habe es falsch verstanden.

 

Die Gpo "auf das Netzwerk warten" war nicht konfiguriert.

 

Ich habe diese mal aktiviert und habe danach gpupdate /force ausgeführt.

 

Neustart, und mich direkt nach dem die anmeldemaske kam angemeldet. Laufwerke waren automatisch nicht da.

 

Noch einen Neustart, gleiches Ergebnis.

 

Was könnte die Lösung sein und muss man nicht das NTLM Problem lösen?

 

Lg

[Sunny61 772]

Hallo, entschuldigt habe es falsch verstanden.

 

Die Gpo "auf das Netzwerk warten" war nicht konfiguriert.

 

Ich habe diese mal aktiviert und habe danach gpupdate /force ausgeführt.

Weshalb machst Du nicht das was dir schreibt, sondern etwas anderes? Niemand hat etwas von gpupdate /force geschrieben.

 

Wo hast Du die Einstelllung gesetzt? Wirkt das GPO auch auf diesen Computer? Hast Du das mit gpresult überprüft?

[mmarz 0]

Den Fehler den ich oben benannt habe mit dem NTLM Fehler ist ein lokales Problem das erst seit ca. 2 Tagen aufgetaucht ist. 

An anderen Rechnern ist das nicht der Fall, da funktioniert alles ganz normal.

 

Um das Problem zu lösen brauche ich dafür keine Gpo noch eine zentralisierte Einstellung auf dem Server.

Das ist einzig und allein ein Problem mit meinem Rechner.

 

Ich habe die Gruppenrichtlinie aktiviert und das gpupdate /target:computer eingetragen und 2x neugestartet. Es hat sich nichts verändert.

 

Protokollname: System

Quelle:        Microsoft-Windows-DNS-Client

Datum:         04.11.2016 14:53:00

Ereignis-ID:   8033

Aufgabenkategorie:(1028)

Ebene:         Warnung

Schlüsselwörter:

Benutzer:      Netzwerkdienst

Computer:      xxxxx

Beschreibung:

Fehler beim Aktualisieren und Entfernen der Hostressourceneinträge (A oder AAAA) für den Netzwerkadapter 

 mit den folgenden Einstellungen:

 

           Adaptername: {BFF07292-BF5A-4B81-...}

           Hostname: xxxx

           Primäres Domänensuffix: xxx.xxx

           DNS-Serverliste: 

              x.x.x.x , x.x.x.x

           Server, an den das Update gesendet wurde: <?>

           IP-Adresse: 

             x.x.x.x

 

 Diese Ressourceneinträge des Hosts (A oder AAAA) konnten aufgrund einer Zeitüberschreitung der Updateanforderung während der DNS-Serverrückmeldung nicht entfernt werden. Wahrscheinlich wird der autoritative DNS-Server für die Zone, wo die Ressourceneinträge aktualisiert werden müssen, nicht ausgeführt oder ist nicht über das Netzwerk erreichbar.

 

 

Am DNS sind die Hosteinträge alle richtig und erreichbar ist er auch von meinem Rechner per IP und per Name. 

 

 

Im Log steht auch drin:

 

Protokollname: System

Quelle:        Microsoft-Windows-GroupPolicy

Datum:         04.11.2016 14:52:53

Ereignis-ID:   1129

Aufgabenkategorie:Keine

Ebene:         Fehler

Schlüsselwörter:

Benutzer:      xxx

Computer:     xxx

Beschreibung:

 

Bei der Verarbeitung der Gruppenrichtlinie ist aufgrund fehlender Netzwerkkonnektivität mit einem Domänencontroller ein Fehler aufgetreten. Dies kann eine vorübergehende Bedingung sein. Es wird eine Erfolgsmeldung generiert, wenn die Verbindung des Computers mit dem Domänencontroller wiederhergestellt wurde und wenn die Gruppenrichtlinie erfolgreich verarbeitet wurde. Falls für mehrere Stunden keine Erfolgsmeldung angezeigt wird, wenden Sie sich an den Administrator.