Du ombeds periodvis referenser eller uppstå timeout när du ansluter till autentiserade tjänster

Symptom

En eller flera av följande problem kan uppstå. Dessa symptom kan vara intermittent eller kontinuerligt. Dessa Symptom är mer sannolikt och mer omfattande under tider med "hög belastning", som i början av en verksamhet uppstår dag när ökad klienten visas på servrar i miljön.

I ett scenario för web services följande problem kan uppstå: i ett scenario för web proxy följande problem kan uppstå: i ett scenario för Exchange-klienten följande problem kan uppstå: uppstår följande problem i vissa situationer i vilka NTLM-autentisering används för program:

Rad eller anpassade program som använder NTLM-autentisering misslyckas. Dessutom kan du få olika felmeddelanden som oregelbundna och kan omfatta "åtkomst nekad".I ett scenario för åtkomst av fjärrfil följande problem kan uppstå:

Windows-klienter tar emot "åtkomst nekad" fel eller fördröjda svar från servern.I vissa situationer där Kerberos-delegering som används i en Mellannivåtjänsten följande problem kan uppstå:

Klienterna kommer åt lyckas vid första men förlora åtkomst till samma resurser. Dessutom kan ombes att autentiseringsuppgifter eller "åtkomst nekad" fel uppstå.Kommentarer

Orsak

Det här problemet uppstår när en stor mängd NTLM-autentisering eller Kerberos PAC validering transaktioner (eller båda) som uppstår på en Windows-baserad server och volymen är större än den volym som kan hanteras samtidigt av på medlemsservrar eller domänkontrollanter som tillhandahåller autentisering. Med andra ord orsakas av en resurs flaskhals för autentisering.

NTLM-autentisering och PAC validering utförs av dedicerade trådar i Lsass.exe-processen på Windows-baserade datorer. Det finns ett maximalt antal dessa trådar som är tillgängliga för att hantera dessa begäranden samtidigt och om ansökningarna överskrider tillgänglighet trådar och begäranden kan inte vänta längre, det här problemet uppstår.

Arbetsstationer har en av trådarna som kan användas som standard, och medlemsservrar har två trådar tillgängliga för användning. Domänkontrollanter har en tillgänglig tråd per säkerhetskanal betrodda domäner. Maximalt antal trådar som har reserverats för detta ändamål kallas "Maxconcurrentapi" och konfigureras.

Lösning

Lös problemet med en eller flera av följande metoder:

• Installera följande snabbkorrigering och följ stegen som beskrivs i avsnittet "information om registret". När du installerar snabbkorrigeringen på Windows Vista, Windows Server 2008, Windows 7 eller Windows Server 2008 R2, maximumlimit samtidiga anslutningar mellan en klientdator och en annan server eller en domänkontrollant för NTLM-autentisering eller PAC validering kan ändras upp till 150. Detta bör göras på alla servrar som uppvisar Perfmon Netlogon "semaforen timeout" uppgifter i deras prestandaloggar eller som har den "NlpUserValidateHigher: kan inte allokera en kortplats för klienten API" text i deras Netlogon felsökningsloggar.

• För program och tjänster som använder NTLM bara konfigurera dem att använda Kerberos-autentisering i stället. Metoder för att göra som är unik för dessa program.

Obs! För att avgöra vilket värde du anger för MaxConcurrentApi inställningen i miljön finns i Knowledge Base-artikeln nedan.

2688798 hur du gör prestandajustering för NTLM-autentisering med inställningen MaxConcurrentApi

Status

Microsoft har bekräftat att detta är ett problem i Microsoft-produkterna som nämns i avsnittet "Gäller".

Mer Information

Den här snabbkorrigeringen ingår i Windows 7 Service Pack 1 (SP1) och Windows Server 2008 R2 Service Pack 1 (SP1).

Inställningen MaxConcurrentApi och standardinställningar för det är en äldre version av Windows 2000 och begränsad maskinvarukapaciteten på den tiden. Med äldre maskinvara tillåter ytterligare trådar och RPC-trafik de genererar var en allvarlig oro och det var risk för flaskhalsar om för många trådar har skapats. Denna maskinvara prestanda begränsningen är mindre sannolikt med nyare maskinvaruplattformar och bättre prestanda. Som alltid är det viktigt att mäta och förstå prestanda för servrar i en miljö innan du öka belastningen potentiella med en hög inställning MaxConcurrentApi .

Mer information om hur du använder tjänsten Netlogon felsökningsloggning (Netlogon.log), klickar du på följande artikelnummer och läser artikeln i Microsoft Knowledge Base:

109626 Aktivera felsökningsloggning för NETLOGON-tjänstenYtterligare en lessening åtgärd kan utföras på Windows Server 2003-baserade domänkontrollanter som har transaktioner i deras Netlogon felsökningsloggen som anger att klienter skickar < null > \användarnamn i stället för domännamn\användarnamn. Stegen beskrivs i följande artikel i Microsoft Knowledge Base:

923241 i Lsass.exe-processen slutar svara om du har många externa förtroenden på en domänkontrollant med Windows Server 2003Mer information om hur du använder objektet Netlogon prestanda övervakning är tillgängliga tillsammans med en uppdatering för att lägga till objektet prestanda i Windows Server 2003. Det finns en uppdatering för Windows Server 2003 som gör att du kan övervaka hastighet och genomströmning av NTLM-autentiseringar. För mer information klickar du på följande artikelnummer och läser artikeln i Microsoft Knowledge Base:

928576 nya prestandaräknare för Windows Server 2003 kan du övervaka prestanda för Netlogon-autentisering

Det finns en uppdatering för Windows Server 2008 R2 som introducerar nya händelser om du vill spåra överbelastning av Netlogoan API:

Det finns nya poster i loggen som spårar NTLM-autentisering förseningar och fel i Windows Server 2008 R2
http://support.microsoft.com/default.aspx?scid=kB; EN-US; 2654097
För mer information om terminologin för programuppdateringar klickar du på följande artikelnummer och läser artikeln i Microsoft Knowledge Base:

824684

Beskrivning av standardterminologin som används för att beskriva Microsoft-programuppdateringar