U soms worden gevraagd om referenties of time-outs optreden wanneer u verbinding met Services geverifieerd maken

Een of meer van de volgende symptomen kunnen optreden. Deze symptomen zijn periodieke of continue. Deze symptomen zijn waarschijnlijker en ruime momenten 'hoge gebruik', zoals aan het begin van een bedrijf als verhoogde client geladen plaatsvindt op de servers in de omgeving.

Treden de volgende problemen in een scenario met services:

• Webclients ontvangen reacties vertraagd vanaf de webserver.
• Webclients herhaaldelijk gevraagd om referenties zelfs als de juiste referenties worden ingevoerd.

Treden de volgende problemen in een scenario met proxyserver:

• Webclients ontvangen reacties vertraagd vanaf de webserver.
• Webclients herhaaldelijk gevraagd om referenties zelfs als de juiste referenties worden ingevoerd.

Treden de volgende problemen in een scenario met Exchange client:

• Clients ontvangen reacties vertraagd vanaf de server.
• Clients herhaaldelijk gevraagd om referenties zelfs als de juiste referenties worden ingevoerd.

Het volgende probleem in elk scenario waarin NTLM-verificatie wordt gebruikt voor toepassingen kunnen optreden:

Het volgende probleem in een extern bestand toegang kunnen optreden:Treedt het volgende probleem in elk scenario waarbij Kerberos-overdracht in een middle-tier-service wordt gebruikt:Notities

• Dit probleem is zal eerder optreden als een of meer van de volgende voorwaarden voldaan wordt:
  • Er zijn zeer transactionele en intensief gebruikte services in de omgeving.
  • Er is een intensief gebruik van scripts met de WINNT-provider.
  • Er zijn toepassingen en services die niet zijn geconfigureerd (of niet) Kerberos-verificatie gebruiken.
  • Wanneer de volgende drie voorwaarden waar zijn tegelijkertijd:
    • Er zijn vele 'accounts' domeinen (met andere woorden, domeinen die gebruikersaccounts) in de omgeving.
    • Er zijn op basis van Windows Server 2003-domeincontrollers (DC's).
    • Er zijn toepassingen of services die zonder de naam van het domein kunnen verifiëren. Er zijn bijvoorbeeld toepassingen of services die <null>\</null>gebruikersnaam in plaats van domeinnaam\gebruikersnaam.
• De volgende problemen geven aan dat dit probleem in de omgeving voordoet zich:
  • Een Kerberos bron gebeurtenis geregistreerd in het systeemlogboek van toepassingsservers. Deze gebeurtenis geeft aan Kerberos PAC-validatie is mislukt. De gebeurtenis heeft de volgende strekking:

    Gebeurtenistype: fout
    Bron: Kerberos
    Categorie: geen
    Gebeurtenis-ID: 7
    Gebruiker: N.V.T.
    Beschrijving van Het Kerberos-subsysteem is een PAC-verificatiefout opgetreden. Dit betekent dat de PAC van de client computernaam in realm AD-DNS-domeinnaam een PAC is niet gecontroleerd of is gewijzigd. Neem contact op met uw systeembeheerder.
    Gegevens: 0000: c0000192

  • Tekst in de logboeken voor foutopsporing in Netlogon-service (Netlogon.log) overeenkomt met de tekst "NlpUserValidateHigher: kan geen Client-API sleuf toewijzen." Deze vermeldingen weergegeven in een van de Netlogon logboeken voor foutopsporing van de volgende servers:
    • De application server
    • De domeincontrollers in het domein servers
    • Vertrouwend domeincontrollers
  • Perfmon logboekregistratie van prestaties van de Netlogon-Prestatiemeter voor time-outs semafoor wanneer het probleem zich voordoet tijdens bevat getallen groter dan nul. Deze waarde kan worden weergegeven op de volgende servers in dit scenario:
    • De application server
    • De domeincontrollers in het domein servers
    • Vertrouwend domeincontrollers

Dit probleem treedt op wanneer een hoog volume van NTLM-verificatie of Kerberos PAC validatie transacties (of beide) optreden op een Windows-server en het volume groter is dan het volume dat tegelijkertijd kan worden verwerkt door de server of de domeincontrollers die verificatie biedt. Met andere woorden, is dit veroorzaakt door een knelpunt verificatie resource.

NTLM-verificatie en validatie PAC worden uitgevoerd door specifieke threads in het proces Lsass.exe op Windows gebaseerde computers. Er is een maximum aantal deze threads die beschikbaar zijn voor het afhandelen van deze verzoeken tegelijkertijd en als de aanvragen de beschikbaarheid van de threads overschrijden en de aanvragen kunnen niet langer wachten, treedt dit probleem.

Werkstations hebben een van de threads beschikbaar voor gebruik en lidservers hebben twee threads beschikbaar voor gebruik. Domeincontrollers hebben één beschikbare thread per beveiligingskanaal met vertrouwde domeinen. Maximum aantal threads die zijn toegewezen aan dit doel 'Maxconcurrentapi' wordt genoemd en kan worden geconfigureerd.

Gebruik een of meer van de volgende methoden het probleem op te lossen:

• De volgende hotfix geïnstalleerd en vervolgens de stappen die worden beschreven in de "Registergegevens'sectie. Nadat u deze hotfix op Windows Vista, Windows Server 2008, Windows 7 of Windows Server 2008 R2, de maximumlimit van gelijktijdige verbindingen tussen een clientcomputer en een andere server installeert of een domeincontroller voor NTLM-verificatie of PAC validatie maximaal 150 kan worden gewijzigd. Moet dit op alle servers die Perfmon Netlogon in hun prestatielogboeken of die aanduidingen vertonen "semaphore time-out" hebben de "NlpUserValidateHigher: Client-API-sleuf kan niet toewijzen ' tekst in de Netlogon-logboeken voor foutopsporing.
• Voor toepassingen en services die van NTLM gebruikmaken alleen configureert om Kerberos-verificatie te gebruiken. De methoden te doen die uniek zijn voor deze toepassingen.
• Als Kerberos PAC validatie wordt gezien als een symptoom, wordt Kerberos PAC validatie uitschakelen als de service. Dit moet worden gedaan op de server waarop de systeemgebeurtenis Kerberos die afkomstig zijn van 7 wordt weergegeven.
  
  OpmerkingKerberos PAC validatie niet uitschakelen voor IIS-toepassingsgroepen of voor bepaalde diensten in verband met Exchange.

Opmerking Om te bepalen welke waarde instellen voor de MaxConcurrentApi instelling in uw omgeving verwijzen naar de volgende Knowledge Base-artikel.

2688798 Het afstemmen van prestaties voor NTLM-verificatie met behulp van de instelling MaxConcurrentApi

Informatie over hotfixes

Een ondersteunde hotfix is beschikbaar via Microsoft. Deze hotfix is echter bedoeld om alleen het probleem dat wordt beschreven in dit artikel te corrigeren. Deze hotfix alleen uit op systemen waarop het probleem dat in dit artikel wordt beschreven zich voordoet. Deze hotfix wordt wellicht nog verder getest. Als u geen ernstige hinder van dit probleem ondervindt, raden wij u daarom aan te wachten op de volgende update waarin deze hotfix is opgenomen.

Als de hotfix beschikbaar is om te downloaden, dan is er een sectie 'Deze Hotfix is als download beschikbaar' aan het begin van dit Knowledge Base-artikel. Als deze sectie niet wordt weergegeven, neem dan contact op met Microsoft Customer Service en Support om de hotfix te verkrijgen.

Opmerking Als er nog andere problemen optreden of als er troubleshooting vereist is, moet u mogelijk een afzonderlijk serviceverzoek indienen. De normale ondersteuningskosten gelden voor extra ondersteuningsvragen die niet in aanmerking voor deze specifieke hotfix komen. Ga naar de volgende Microsoft-website voor een volledige lijst met telefoonnummers van Microsoft Customer Service and Support of een afzonderlijk serviceverzoek maken: Opmerking Het formulier 'Hotfix gedownload' geeft de talen waarvoor de hotfix beschikbaar is. Als uw taal niet wordt weergegeven, is dat omdat een hotfix niet voor die taal beschikbaar is.

Vereisten

Deze hotfix moet Windows 7, Windows Server 2008 R2, Windows Vista Service Pack 2 of Service Pack 2 voor Windows Server 2008 worden uitgevoerd op uw computer.

Registergegevens

Belangrijk Deze sectie, methode of taak bevat stappen voor het wijzigen van het register. Echter, kunnen ernstige problemen optreden als u het register onjuist bewerkt. Zorg er daarom voor dat u deze stappen zorgvuldig uitvoert. Maak een reservekopie van het register voordat u het wijzigt voor extra bescherming. Vervolgens kunt u het register herstellen als er een probleem optreedt. Voor meer informatie over de back-up en terugzetten van het register, klikt u op het volgende artikel in de Microsoft Knowledge Base: Nadat u de hotfix een hogere waarde Maxconcurrentapi een groter getal op alle servers die Perfmon Netlogon "semaphore time-out" vermeldingen in hun prestatielogboeken of met ' NlpUserValidateHigher: Client-API-sleuf kan niet toewijzen ' tekst in de Netlogon-logboeken voor foutopsporing. U doet dit als volgt:

1. Start de Register-Editor.
2. Ga naar de volgende registersubsleutel:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters
3. Maak de volgende registervermelding:
   
   Naam: MaxConcurrentApi
   Type: REG_DWORD
   Waarde:Stel de waarde in het grotere aantal, u getest (een getal groter dan de standaardwaarde).
4. Uitvoeren vanaf de opdrachtprompt net stop netlogon, en vervolgens uitvoeren net start netlogon.

Notities

• De maximale waarde die kan worden geconfigureerd, is afhankelijk van de versie van het besturingssysteem en of een hotfix beschikbaar is.
  • De maximale configureerbare instelling in Windows Server 2003 is 10.
  • De maximale configureerbare instelling in Windows Server 2008 (zonder de hotfix in dit artikel), is 10. Met de hotfix wordt het maximaal 150.
  • De maximale configureerbare Windows Server 2008 R2 (zonder de hotfix in dit artikel) is 10. Met de hotfix wordt het maximaal 150.
• Als u de MaxConcurrentApivalue tot meer dan 10 verhogen moeten de belasting en de prestaties van de gewenste instelling worden getest in een nonproduction omgeving voordat u gaat in productie implementeren. Dit wordt aanbevolen om ervoor te zorgen dat deze waarde verhogen geen andere bron knelpunten veroorzaakt.

Schakel Kerberos PAC validatie op een server als volgt.

1. Start het programma Regedt32.
2. Zoek het pad van de registersleutel HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters.
3. Maak een DWORD-waarde op die registerlocatie ValidateKdcPacSignature.
4. De waarde van ValidateKdcPacSignature ingesteld op 0.
5. Start de server opnieuw.
   

Opmerking Kerberos PAC validatie niet uitschakelen voor IIS-toepassingsgroepen of voor bepaalde diensten in verband met Exchange.

Opnieuw opstarten

U moet de computer opnieuw opstarten, nadat u deze hotfix toepast.

Vervanging van hotfixes

Deze hotfix vervangt geen eerder uitgebrachte hotfix.

Bestandsinformatie

De Engelse (Verenigde Staten) versie van deze hotfix installeert bestanden met de kenmerken die in de volgende tabellen worden weergegeven. De datums en tijden voor deze bestanden worden weergegeven in UTC (Coordinated Universal Time). De datums en de tijden voor deze bestanden op uw lokale computer worden weergegeven in uw lokale tijd met uw huidige afwijking voor zomertijd (DST). Bovendien kunnen de datums en tijden veranderen wanneer u bepaalde bewerkingen op de bestanden uitvoert.

• De MANIFEST-bestanden (.manifest) en MUM-bestanden (.mum) die zijn geïnstalleerd voor elke omgeving zijn afzonderlijk vermeld in de sectie 'Aanvullende bestandsinformatie voor Windows Vista en Windows Server 2008 '. MUM- en MANIFEST-bestanden, en de bijbehorende beveiligingscatalogusbestanden (.cat)-bestanden zijn zeer belangrijk voor het statusbeheer van het bijgewerkte onderdeel. De beveiligingscatalogusbestanden, waarvan de kenmerken niet worden vermeld, zijn ondertekend met een digitale handtekening van Microsoft.

Bestandsgegevens voor Windows Vista en voor Windows Server 2008

Bestandsgegevens voor x 86 versies van Windows Server 2008 en van Windows Vista

Bestandsgegevens voor x 64 versies van Windows Server 2008 en van Windows Vista

Bestandsgegevens voor IA-64-versies van Windows Server 2008

Bestandsgegevens voor Windows 7 en Windows Server 2008 R2

Opmerkingen over bestandsinformatie in Windows 7 en Windows Server 2008 R2Belangrijk Hotfixes voor Windows 7 en Windows Server 2008 R2 hotfixes worden opgenomen in dezelfde pakketten. Echter worden op de pagina aanvraag Hotfix hotfixes vermeld onder beide besturingssystemen. Selecteer de hotfix die wordt vermeld onder 'Windows 7/Windows Server 2008 R2' op de pagina voor het aanvragen van het hotfix-pakket wordt toegepast op een of beide besturingssystemen. Altijd verwijzen naar de sectie 'Van toepassing op' in de artikelen te bepalen van het besturingssysteem waarop elke hotfix van toepassing is.

• De MANIFEST-bestanden (.manifest) en MUM-bestanden (.mum) die zijn geïnstalleerd voor elke omgeving zijn afzonderlijk vermeld in de sectie 'extra informatie voor Windows Server 2008 R2 en Windows 7'. MUM- en MANIFEST-bestanden, en de bijbehorende beveiligingscatalogusbestanden (.cat)-bestanden zijn zeer belangrijk voor het statusbeheer van het bijgewerkte onderdeel. De beveiligingscatalogusbestanden, waarvan de kenmerken niet worden vermeld, zijn ondertekend met een digitale handtekening van Microsoft.

Voor alle ondersteunde x 86 versies van Windows 7

Voor alle ondersteunde x 64 versies van Windows 7 en Windows Server 2008 R2

Voor alle ondersteunde IA-64-versies van Windows Server 2008 R2

Microsoft heeft bevestigd dat dit een probleem is in de Microsoft-producten die worden vermeld in de sectie 'Van toepassing op'.

Deze hotfix is opgenomen in Windows 7 Service Pack 1 (SP1) en Windows Server 2008 R2 Service Pack 1 (SP1).

De instelling MaxConcurrentApi en de standaardinstellingen voor het zijn een oudere versie van Windows 2000 en de beperkte hardwarecapaciteiten van die tijd. Voor aanvullende threads en de RPC-verkeer genereren zou ernstige bezorgdheid is met oudere hardware en er is een mogelijkheid van knelpunten als te veel threads zijn gemaakt. Met nieuwere hardwareplatforms en verbeterde prestaties is minder waarschijnlijk die beperking hardware prestaties. Zoals altijd is het belangrijk te meten en de prestaties van de servers in een omgeving te begrijpen voordat u potentiële laden met een hoge instelling MaxConcurrentApi verhogen.

Voor meer informatie over het gebruik van de Netlogon-service (Netlogon.log) voor logboekregistratie voor foutopsporing, klikt u op het volgende artikel in de Microsoft Knowledge Base:Een extra stap lessening kan worden uitgevoerd op Windows Server 2003-domeincontrollers die in de Netlogon-service het logboek voor foutopsporing die aangeven posten dat clients <null>\</null> indientgebruikersnaam in plaats van domeinnaam\gebruikersnaam. De stappen worden in het volgende Microsoft Knowledge Base-artikel beschreven:Meer informatie over het gebruik van de Netlogon-prestaties controleren object is beschikbaar met een update prestatie-object toevoegen in Windows Server 2003. Er is een update voor Windows Server 2003 waarmee u de snelheid en de doorvoer van NTLM-verificatie. Voor meer informatie klikt u op het volgende artikel in de Microsoft Knowledge Base:Klik op het volgende artikelnummer om het artikel in de Microsoft Knowledge Base voor meer informatie over terminologie voor software-update:

Extra bestandsinformatie

Aanvullende bestandsinformatie voor Windows Vista en voor Windows Server 2008

Aanvullende bestandsinformatie voor x 86 versies van Windows Vista en Windows Server 2008

Aanvullende bestandsinformatie voor x 64 versies van Windows Server 2008 en van Windows Vista

Aanvullende bestandsinformatie voor IA-64-versies van Windows Server 2008

Aanvullende bestandsinformatie voor Windows 7 en Windows Server 2008 R2

Extra bestanden voor alle ondersteunde x 86 versies van Windows 7

Extra bestanden voor alle ondersteunde x 64 versies van Windows 7 en Windows Server 2008 R2

Extra bestanden voor alle ondersteunde IA-64-versies van Windows Server 2008 R2