Log p�

Select the product you need help with

N�r en Windows NT 4.0-baseret computer fors�ger at bruge NETLOGON-tjenesten til at oprette en sikkerhedskanal til en Windows Server 2008-baseret dom�necontroller, lykkes det m�ske ikke

Artikel-id: 942564 - F� vist de produkter, som denne artikel refererer til.

Vigtigt! Denne artikel indeholder oplysninger om redigering af registreringsdatabasen. Husk at oprette en sikkerhedskopi af registreringsdatabasen, f�r du �ndrer den. S�rg for, at du ved, hvordan registreringsdatabasen gendannes, hvis der opst�r et problem. Du kan finde flere oplysninger om, hvordan du sikkerhedskopierer, gendanner og redigerer registreringsdatabasen, ved at klikke p� nedenst�ende artikelnummer for at f� vist artiklen i Microsoft Knowledge Base:

322756

(http://support.microsoft.com/kb/322756/ )

S�dan sikkerhedskopieres, redigeres og gendannes registreringsdatabasen i Windows XP og Windows Server 2003

Udvid alle | Skjul alle

P� denne side

Symptomer

N�r en Windows NT 4.0-baseret computer fors�ger at bruge NETLOGON-tjenesten til at oprette en sikkerhedskanal til en Windows Server 2008-baseret dom�necontroller, lykkes det m�ske ikke. Hardware eller software kan m�ske ikke oprette en sikkerhedskanal til en Windows Server 2008-baseret dom�necontroller, hvis hardwaren eller softwaren bruger de kryptografiske algoritmer, der bruges i Windows NT 4.0.

I dette scenario kan du opleve f�lgende symptomer.

Symptom 1

Du kan ikke logge p� et dom�ne fra en Windows NT 4.0-baseret computer, der er bygget p� en Windows Server 2008-baseret dom�necontroller. Afh�ngigt af, om legitimationsoplysningerne for dom�nelogonkontoen er cachelagret p� den Windows NT 4.0-baserede computer, modtager du m�ske en af f�lgende fejlmeddelelser:

Fejlmeddelelse 1

Systemet kan ikke logge dig p� nu, da dom�net dom�nenavn ikke er tilg�ngeligt.

Fejlmeddelelse 2

En dom�necontroller for dit dom�ne kunne ikke kontaktes. Du er logget p� ved hj�lp af cachelagrede kontooplysninger. �ndringer, der er foretaget af din profil siden sidste gang, du loggede p�, er m�ske ikke tilg�ngelige.

Symptom 2

Tillidsforhold mellem Windows NT 4.0-dom�ner og Windows Server 2008-dom�ner fungerer m�ske ikke. Det lykkes dig m�ske at oprette den indledende tillid. Men n�r du fors�ger at validere tilliden ved hj�lp af MMC-snap-in'en Domain.msc (Microsoft Management Console), lykkes valideringen m�ske ikke. Desuden vises der en fejlmeddelelse i stil med f�lgende:

Handlingen mislykkedes med fejlkoden 317 (0x0000013d)

Symptom 3

En SAMBA SMB-klient kan ikke udf�re en dom�nemedlemskabshandling for en Windows Server 2008-baseret dom�necontroller. Eller en SAMBA SMB-klient (Server Message Block) kan ikke oprette en sikkerhedskanal til en Windows Server 2008-baseret dom�necontroller.

Derudover returnerer den Windows Server 2008-baserede dom�necontroller, der behandler anmodningen om sikkerhedskanalen, f�lgende fejlkode:

Hex: 0x4F1h
Decimal: 1265
Symbolsk fejl: ERROR_DOWNGRADE_DETECTED
Kort fejlbeskrivelse: STATUS_DOWNGRADE_DETECTED
Hele fejlbeskrivelsen: Der er registreret et muligt fors�g p� at sv�kke sikkerheden. Kontroller, at du kan kontakte den server, der har godkendt dig.

Bem�rk! Der kan v�re flere grundl�ggende �rsager til fejlen STATUS_DOWNGRADE_DETECTED. Denne fejl angiver derfor ikke n�dvendigvis, at du oplever symptom 3.

Symptom 4

En SMB-lagerenhed kan m�ske ikke bruge svage kryptografiske algoritmer til at oprette en sikkerhedskanal til en Windows Server 2008-baseret dom�necontroller.

Bem�rk! SMB-lagerenheder kaldes ogs� IP-lagerenheder.

P� den godkendende dom�necontroller logf�res f�lgende fejlmeddelelser i systemloggen:

Fejl 1

Lognavn: System
Kilde: NETLOGON
Dato: Dato: Klokkesl�t
H�ndelses-id: 5805
Opgavekategori: Ingen
Niveau: Fejl
Bruger: Ikke tilg�ngelig
Computer: Godkendende_dom�nenavn
Beskrivelse: Sessionsoprettelsen fra computeren <klientcomputer> blev ikke godkendt. Der opstod f�lgende fejl: Adgang n�gtet.

Bem�rk!Godkendende_dom�nenavn repr�senterer navnet p� den godkendende dom�necontroller.

Fejl 2

Lognavn: System
Kilde: NETLOGON
Dato: Dato: Klokkesl�t
H�ndelses-id: 5722
Opgavekategori: Ingen
Niveau: Fejl
N�gleord: Classic
Bruger: Ikke tilg�ngelig
Computer: Godkendende_dom�nenavn
Beskrivelse: Sessionsoprettelsen fra computeren klientcomputernavn blev ikke godkendt. Navnet p� den eller de konti, der henvises til i sikkerhedsdatabasen, er klientcomputernavn$. Der opstod f�lgende fejl: Der er registreret et muligt fors�g p� at sv�kke sikkerheden. Kontroller, at du kan kontakte den server, der har godkendt dig.

Du oplever i �jeblikket symptom 4 p� f�lgende SMB-lagerenhed:

EMC Celerra

Kontakt forhandleren af enheden for at se, om der findes en opdatering til dette problem.

Du kan m�ske heller ikke oprette en sikkerhedskanal fra HP (Hewlett-Packard) Advanced Server for OpenVMS til en Windows Server 2008-baseret dom�necontroller. Det er is�r den Windows Server 2008-baserede dom�necontroller, der returnerer f�lgende fejlkode til anmodningen OpenVMS NetrServerAuthenticate:

Bem�rk! Der kan v�re flere grundl�ggende �rsager til fejlen STATUS_DOWNGRADE_DETECTED. Denne fejl angiver derfor ikke n�dvendigvis, at du oplever symptom 4.

Tilbage til toppen | Send feedback

�rsag

Dette problem opst�r p� grund af standardfunktionsm�den for politikken Tillad kryptografiske algoritmer, der er kompatible med Windows NT 4.0 p� Windows Server 2008-baserede dom�necontrollere. Denne politik er konfigureret til at forhindre, at Windows-operativsystemer og tredjepartsklienter bruger svage kryptografiske algoritmer til at oprette NETLOGON-sikkerhedskanaler til Windows Server 2008-baserede dom�necontrollere.

Tilbage til toppen | Send feedback

Workaround

Hvis du vil l�se dette problem, skal du sikre dig, at klientcomputere bruger de kryptografiske algoritmer, der er kompatible med Windows Server 2008. Du skal m�ske bede produktforhandlerne om softwareopdateringer.

Hvis du ikke kan installere softwareopdateringer, fordi tjenesten afbrydes, skal du f�lge disse trin:

Log p� en Windows Server 2008-baseret dom�necontroller.
Klik p� Start, klik p� K�r, skriv gpmc.msc, og klik derefter p� OK.
Udvid Skov: dom�nenavn i konsollen Administration af gruppepolitik, udvid dom�nenavn, udvid Dom�necontrollere, h�jreklik p� Standardpolitik for dom�necontrollere, og klik derefter p� Rediger.
Udvid Computerkonfiguration i konsollen Redigeringsprogram til administration af gruppepolitik, udvid Politikker, udvid Administrative skabeloner, udvid System, klik p� Netlogon, og dobbeltklik derefter p� Tillad kryptografiske algoritmer, der er kompatible med Windows NT 4.0.
Klik p� indstillingen Aktiveret i dialogboksen Egenskaber, og klik derefter p� OK.

Bem�rk!
- Indstillingen Ikke konfigureret er som standard angivet for politikken Tillad kryptografiske algoritmer, der er kompatible med Windows NT 4.0 i f�lgende gruppepolitikobjekter:
  - Standarddom�nepolitik
  - Standardpolitik for dom�necontrollere
  - Lokal computerpolitik
  Politikken Tillad kryptografiske algoritmer, der er kompatible med Windows NT 4.0 i Windows Server 2008-baserede dom�necontrollere skal som standard forhindre forbindelser via kryptografiske algoritmer, der bruges i Windows NT 4.0. V�rkt�jer, der angiver numre for effektive politikindstillinger p� en medlemscomputer eller p� en dom�necontroller, registrerer derfor ikke politikken Tillad kryptografiske algoritmer, der er kompatible med Windows NT 4.0, medmindre du udtrykkeligt aktiverer eller deaktiverer politikken.
- Windows 2000 Server-baserede dom�necontrollere og Windows Server 2003-baserede dom�necontrollere har ikke indstillingen Tillad kryptografiske algoritmer, der er kompatible med Windows NT 4.0. Dom�necontrollere, der er �ldre end Windows Server 2008-baserede dom�necontrollere, accepterer derfor anmodninger om sikkerhedskanaler fra klientcomputere, selvom klientcomputere bruger de gamle kryptografiske algoritmer, der bruges i Windows NT 4.0. Hvis anmodninger om sikkerhedskanaler behandles periodisk af Windows Server 2008-baserede dom�necontrollere, f� du uensartede resultater.
Installer opdateringer til tredjepartssoftware, der l�ser problemet, eller fjern klientcomputere, der bruger inkompatible kryptografiske algoritmer.
Gentag trin 1-4.
Klik p� indstillingen Deaktiveret i dialogboksen Egenskaber, og klik derefter p� OK.

Vigtigt! Af sikkerhedsm�ssige hensyn skal du angive indstillingen for denne politik til Deaktiveret igen.

Tilbage til toppen | Send feedback

Status

Denne funktionsm�de er tilsigtet.

Tilbage til toppen | Send feedback

Yderligere Information

Et relateret problem p� computere, der k�rer Windows 2000 eller nyere versioner af Windows

Hvorvidt klientcomputere, der k�rer Windows 2000 eller nyere versioner af Windows, kan oprette sikkerhedskanaler til Windows Server 2008-baserede dom�necontrollere, p�virkes ikke af politikken Tillad kryptografiske algoritmer, der er kompatible med Windows NT 4.0. Men n�r disse klientcomputere bruger funktionen NetJoinDomain sammen med medlemsindstillingen NETSETUP_JOIN_UNSECURE over for en Windows Server 2008-baserede dom�necontroller, returnerer dom�necontrolleren f�lgende fejlkode:

Dette problem opst�r, n�r politikindstillingen er Deaktiveret eller Ikke konfigureret.

Bem�rk! Der kan v�re flere grundl�ggende �rsager til fejlen STATUS_DOWNGRADE_DETECTED. Denne fejl angiver derfor ikke n�dvendigvis, at du oplever dette problem.

Du kan opleve dette problem p� computere, der k�rer f�lgende operativsystemer:

Windows 2000
Windows XP
Windows Server 2003
Den offentliggjorte version af Windows Vista

Bem�rk! Computere, der k�rer Windows Vista med SP1 (Service Pack 1) eller nyere versioner af Windows Vista, p�virkes ikke.

Funktionen NetJoinDomain bruges sammen med indstillingen NETSETUP_JOIN_UNSECURE i f�lgende scenarier. Denne funktion bruges ogs� i andre scenarier.

Du bruger WDS (Windows Deployment Services) eller RIS (Remote Installation Services) til at installere et Windows-operativsystem.
Du bruger ADMT (Active Directory Migration Tool) til at overflytte computerkonti i et Windows-operativsystem.

Microsoft unders�ger dette problem og udsender flere oplysninger i denne artikel, n�r oplysningerne bliver tilg�ngelige.

Tilbage til toppen | Send feedback

S�dan foretages der fejlfinding af disse problemer

N�r du ikke kan oprette en sikkerhedskanal fra en klientcomputer til en Windows Server 2008-baserede dom�necontroller, skal du f�lge disse trin for at foretage fejlfinding af problemet:

Hvis klientcomputeren k�rer Windows NT 4.0, skal du opgradere Windows NT 4.0 til Windows 2000 eller nyere versioner. Hvis du ikke kan udf�re opgraderingen, skal du f�lge trinnene i afsnittet L�sning.
Hvis klientcomputeren k�rer Windows 2000 eller en nyere version af Windows, og klientcomputeren udf�rer en ikke-sikret dom�nemedlemshandling, skal du f�lge trinnene i afsnittet L�sning for at opn� en midlertidig l�sning.
Hvis klientcomputeren k�rer Windows 2000 eller en nyere version af Windows, og du ikke er sikker p�, om klientcomputeren udf�rer en ikke-sikret medlemshandling, skal du unders�ge filen %systemroot%\Debug\Netsetup.log. Hvis klientcomputeren udf�rer en ikke-sikret medlemshandling, logf�res der oplysninger i stil med f�lgende:
11/09 02:21:04 Det lykkedes ikke at validere computerkontoen for computernavn i forhold til SPN_navn: 0xc0000388
11/09 02:21:04 NetpJoinDomain: w9x: status for validering af konto: 0x4f1
Bem�rk! NETLOGON-tjenesten k�rer kun p� en computer, der bliver medlem af et dom�ne.
Hvis klientcomputeren ikke k�rer Windows, skal du f�lge disse trin:
1. Find ud af, hvilken dom�necontroller der behandler anmodninger om sikkerhedskanaler.
  
  Bem�rk! Du kan bruge h�ndelseslogfiler og spore logfiler til at fastsl� dom�necontrolleren.
2. Kontroller, at NETLOGON-tjenesten er startet. Det kan du g�re ved at benytte f�lgende fremgangsm�de:
  - Klik p� Start, klik p� K�r, skriv Services.msc, og klik derefter p� OK.
  - Kontroller, at status for NETLOGON-tjenesten er Startet, i konsollen Tjenester.
  - Hvis status ikke er Startet, skal du h�jreklikke p� tjenesten NETLOGON og derefter klikke p� Start.
3. Aktiver logf�ring af fejlfinding for NETLOGON-tjenesten p� den Windows Server 2008-baserede dom�necontroller, der behandler anmodninger om sikkerhedskanaler. Det kan du g�re ved at bruge en af f�lgende metoder:
  
  Metode 1
  1. Klik p� Start, klik p� K�r, skriv cmd, og klik derefter p� OK.
  2. Skriv f�lgende kommando ud for kommandoprompten:
    Nltest.exe /DBFLAG:2000FFFF
  Bem�rk! Hvis NETLOGON-tjenesten ikke er startet, modtager du fejlmeddelelsen RPC_S_UNKNOWN_IF.
  
  Metode 2
  
  Advarsel! Der kan opst� alvorlige problemer, hvis registreringsdatabasen ikke redigeres korrekt ved hj�lp af registreringseditoren eller en anden metode. Disse problemer kan bevirke, at du skal geninstallere operativsystemet. Microsoft kan ikke garantere, at s�danne problemer kan l�ses. �ndring af registreringsdatabasen sker p� egen risiko.
  1. Klik p� Start, klik p� K�r, skriv regedit, og klik derefter p� OK.
  2. Find f�lgende undern�gle i registreringsdatabasen, og h�jreklik p� den:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters
  3. Peg p� Ny, og klik derefter p� Strengv�rdi.
  4. Skriv DBFLAG, og dobbeltklik derefter p� linjen DBFLAG i registreringsdatabasen.
  5. Skriv 2000FFFF i boksen V�rdidata i boksen Rediger streng.
  6. Afslut Registreringseditor.
4. �bn filen %systemroot%\Debug\Netlogon.log i Notesblok, og s�g derefter efter f�lgende fejlmeddelelse:
  Klienten Navn_p�_klientcomputer$ beder om NT4-kryptering, og denne server tillader det ikke.
5. Hvis du finder denne fejlmeddelelse, bruger klientcomputeren gamle kryptografiske algoritmer, der bruges i Windows NT 4.0, til at oprette en sikkerhedskanal til den Windows Server 2008-baserede dom�necontroller.
6. Deaktiver logf�ring af fejlfinding for NETLOGON-tjenesten p� den Windows Server 2008-baserede dom�necontroller. Det kan du g�re ved at skrive f�lgende kommando i en kommandoprompt:
  Nltest.exe /DBFLAG:0

Tilbage til toppen | Send feedback

Referencer

Du kan finde flere oplysninger om, hvordan du aktiverer logf�ring af fejlfinding for NETLOGON-tjenesten, ved at klikke p� nedenst�ende artikelnummer for at f� vist artiklen i Microsoft Knowledge Base:

109626

(http://support.microsoft.com/kb/109626/ )

Aktivering af logf�ring af fejlfinding for Net Logon-tjenesten. Artiklen er evt. p� engelsk.

Du kan finde flere oplysninger om funktionen NetJoinDomain p� f�lgende Microsoft-websted:

http://msdn2.microsoft.com/En-US/library/aa370433.aspx

(http://msdn2.microsoft.com/En-US/library/aa370433.aspx)

De tredjepartsprodukter, der omtales i denne artikel, er produceret af firmaer, der er uafh�ngige af Microsoft. Microsoft giver ingen garanti, hverken underforst�et eller p� anden m�de, hvad ang�r disse produkters ydeevne eller p�lidelighed.

Tilbage til toppen | Send feedback