Hora de inicio de sesión larga después de establecer un puerto estático específico para NTDS y Netlogon en un entorno de dominio basado en Windows Server 2008 R2

Síntomas

Imagine el siguiente escenario:

• Tiene controladores de dominio basados en Windows Server 2008 R2 en un entorno de dominio basado en Windows Server 2008 R2.

• Establecer un puerto estático específico que se utilizará para el servicio de directorio de NT (NTDS) y Netlogon en un controlador de dominio. Para ello, siga el método que se describe en el siguiente artículo de Microsoft Knowledge Base (KB):
  

  Tráfico de replicación de Active Directory de restricción y el tráfico RPC de cliente a un puerto específico 224196

• Configurar una red perimetral (también conocida como DMZ, zona desmilitarizada y subred protegida) para habilitar el tráfico de red en el puerto estático específico.

• Intenta iniciar sesión en el controlador de dominio.

En este escenario, el procedimiento de inicio de sesión del controlador de dominio tarda más de lo esperado. Además, algunos servicios que dependen del servicio Netlogon podrán interrumpirse.

Asimismo, puede ver el siguiente RPC registrado en el archivo netlogon.log de información de error extendida:[CRITICAL] [22508] NlPrintRpcDebug: Dumping extended error for I_NetServerReqChallenge with 0xc0020017[CRITICAL] [22508] [0] ProcessID is 948
[CRITICAL] [22508] [0] System Time is: 10/7/2014 17:9:8:786
[CRITICAL] [22508] [0] Generating component is 18
[CRITICAL] [22508] [0] Status is 1722
[CRITICAL] [22508] [0] Detection location is 1442
[CRITICAL] [22508] [0] Flags is 0
[CRITICAL] [22508] [0] NumberOfParameters is 1
[CRITICAL] [22508] Unicode string: dc1.contoso.com
[CRITICAL] [22508] [1] ProcessID is 948
[CRITICAL] [22508] [1] System Time is: 10/7/2014 17:9:8:786
[CRITICAL] [22508] [1] Generating component is 18
[CRITICAL] [22508] [1] Status is 1722
[CRITICAL] [22508] [1] Detection location is 323
[CRITICAL] [22508] [1] Flags is 0
[CRITICAL] [22508] [1] NumberOfParameters is 0
[CRITICAL] [22508] [2] ProcessID is 948
[CRITICAL] [22508] [2] System Time is: 10/7/2014 17:9:8:786
[CRITICAL] [22508] [2] Generating component is 18
[CRITICAL] [22508] [2] Status is 1237
[CRITICAL] [22508] [2] Detection location is 313
[CRITICAL] [22508] [2] Flags is 0
[CRITICAL] [22508] [2] NumberOfParameters is 0
[CRITICAL] [22508] [3] ProcessID is 948
[CRITICAL] [22508] [3] System Time is: 10/7/2014 17:9:8:786
[CRITICAL] [22508] [3] Generating component is 18
[CRITICAL] [22508] [3] Status is 10060
El error RPC es 1722 (RPC_S_SERVER_UNAVAILABLE) y el error de Sockets es 10060 (WSAETIMEDOUT). Estos errores indican que no se pudo alcanzar el servidor y que no ha respondido en el tiempo.

En la siguiente traza de red, observa que el puerto intentado por el cliente junto con las solicitudes TCP SYN no recibe una respuesta. Por lo tanto, el servidor no responde en este puerto.10.1.1.70 57565 (0xE0DD) 10.1.1.140 135 (0x87) EPM EPM:Request: ept_map: NDR, Netlogon(NRPC) {12345678-1234-ABCD-EF00-01234567CFFB} v1.010.1.1.140 135 (0x87) 10.1.1.70 57565 (0xE0DD) EPM EPM:Response: ept_map: NDR, Netlogon(NRPC) {12345678-1234-ABCD-EF00-01234567CFFB} v1.0
Tower: NDR, Netlogon(NRPC) {12345678-1234-ABCD-EF00-01234567CFFB} v1.0, RPC v5, 10.1.1.140:2645 (0xA55) [2645]
Tower: NDR, Netlogon(NRPC) {12345678-1234-ABCD-EF00-01234567CFFB} v1.0, RPC v510.92.24.141, 10.1.1.140:49150 (0xBFFE) [49150]
Tower: NDR, Netlogon(NRPC) {12345678-1234-ABCD-EF00-01234567CFFB} v1.0, RPC v510.92.24.141, 10.1.1.140:1028 (0x404) [1028]
Nota: El cliente elige el primer puerto (en este caso, es 2645) y que el puerto no está abierto en el firewall.

Cuando dispone de actualización 2654097 instalado en Windows Server 2008 R2 o utilizas Windows Server 2012 o una versión posterior, los miembros del dominio y controladores de dominio que están hablando con un controlador de dominio que está afectado por este problema registrará sucesos 5816 y 5817 cuando se produce.

Causa

Este problema se produce porque no hay ninguna sincronización entre registros de extremo en el controlador de dominio. Los registros de extremo se realizan por diferentes servicios o subprocesos que están alojados por el proceso Lsass.exe.

Por ejemplo, los siguientes servicios alojados por el proceso Lsass.exe:

• Lsarpc

• SAMR

• Drsuapi

• Netlogon

Solución

Estado

Microsoft ha confirmado que se trata de un problema de los productos de Microsoft que se enumeran en la sección "Aplicable a".

Más información

Para obtener más información acerca de la terminología de la actualización de software, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

824684 Descripción de la terminología estándar que se utiliza para describir las actualizaciones de software de Microsoft