XP - Server Zugriff auf SBS 2003 lahmt nach mehreren Stunden plötzlich

[nicecap]

Hallo Leute,

habe einen XP-Professional PC in einem Windows2003 SBS Netzwerk (Domänencontroller) neu eingerichtet (auf frische Festplatte Betriebssystem aufgespielt und Anwendungen)

Merkwürdigerweise zeigt sich jeden Tag nach ca. 8-9-stündigem einwandfreiem Betrieb folgendes Verhalten:
Excel wird super langsam und eine Netzwerkanwendung läuft auch so langsam dass man meinen könnte der PC ist eingefroren.
Alles andere geht auch super lahm.
Der TaskManager zeigt eine Systemauslastung von unter 4 %.
Das Ereignisprotokoll System zeigt im ungefähren Abstand von 20 Sekunden folgendes Warnungspaar:
- 1 -
Ereignis 40960 - Quelle: LSASRV - Kategorie: SPNEGO (Vermittlung)
"Das Sicherheitssystem hat einen versuchten Herunterstufungsangriff für den Server cifs/server-2 festgestellt. Der Fehlercode des Authentifizierungsprotokolls Kerberos war: Es stehen momentan keine Anmeldeserver zur Verfügung, um die Anmeldeanforderung zu verarbeiten (0x0000005e)
- 2 -
Ereignis 40961 - Quelle: LSASRV - Kategorie: SPNEGO (Vermittlung)
"Das Sicherheitssystem konnte keine sichere Verbindunbg mit dem Server cifs/server-2 herstellen. Es war kein Authentifizierungsprotokoll verfügbar"

Warnung nr 2 wird ja wahrscheinlich deshalb kommen, weil der ominöse Kerberos zuvor in Schwierigkeiten geraten ist.

Im Anwendungs-Ereignisprotokoll keine Fehler und Warnungen zum fraglichen Zeitpunkt. Es laufen auch immer die selben Anwendungen zu dieser Zeit: Excel, Outlook und LabelWin (Branchensoftware - als client)

Hat jemand ne Ahnung was Kerberos ist und will? Oder was sonst da passiert.

Alle anderen ca. 14 PCs mit Zugriff auf den Server-2 und mit Nutzung der gleichen Netzwerkprogramme haben diese Probleme nicht.

Viele Grüße - Chris

[Peter Piksa]

Schau mal hier. Der dritte Kommentar sieht ganz gut aus.

[dippas]

Zitat von nicecap Hat jemand ne Ahnung was Kerberos ist und will?

Na, Kerberos ist der dreiköpfige Höllenhund und der will den Eingang zur Unterwelt bewachen

Holen wir den alten Griechen in die Neuzeit, verpassen ihm den Anzug eines W2k3-Servers (auch ein SBS fällt darunter) und sagen ihm, er ist heute kein häßlicher Höllenhund mehr, sondern ein Authentifizierungsprotokoll aber ansonsten noch ganz der Alte mit den alten Aufgaben.

Will meinen:
Via Kerberos werden Sitzungstickes vergeben, die eine bestimmte Laufzeit haben und deren Zeitstempel nicht zu sehr vom dem des Kerberos-Servers abweichen darf.

Kontrolliere mal, ob die Zeit im Netzwerk überall dieselbe ist und ob ggfs eine Firewall dazwischenfunken könnte (Kerberos nutzt Port 88).

grüße

dippas

[nicecap]

Hallo noch mal,

habe inzwischen einen Workaround gefunden - alle Lösungsansätze, die ich hier und woanders gefunden hatte halfen nicht.

Habe also kurzerhand für den User einen neuen Benutzeraccount auf dem Server eingerichtet. Seitdem kommt das Problem für den User mit dem neuen Account nicht mehr vor. War zwar ne elendige Mühe alles wieder einzurichten aber es läuft - einen Albtraum weniger.

Verstehe ich zwar nicht - aber wenns schee macht.

Chris

[gysinma1]

Hallo

Das dünkt mich komisch, denn normalerweise sind KerberosTickets resourcenorientiert. Es gibt übrigens im Resourcekit zu Windows 2000 das Tool klist.exe welches Dir die Kerberostickets auflistet.

Die Fehlersuche vereinfacht hätte auch: netdiag /fix. Dort wird sowohl Kerberos als auch schannel Fehler gesucht.

Gruss,
Matthias