U af en toe om referenties wordt gevraagd of time-outs optreden wanneer u verbinding met Services geverifieerd maken

Symptomen

U kunt een of meer van de volgende symptomen kan optreden. Deze symptomen mogelijk intermitterende of continue. Deze symptomen zijn vaker en meer omvattend 'hoog gebruik van' momenten, zoals aan het begin van een bedrijf bij het verdelen van grotere client plaatsvindt op de servers in de omgeving.

Treden de volgende problemen in een web services-scenario: treden de volgende problemen in een web proxyscenario: treden de volgende problemen in een Exchange-client scenario: treedt het volgende probleem in elk scenario in welke NTLM-verificatie wordt gebruikt voor toepassingen:

Lijn van het bedrijf of aangepaste toepassingen die gebruikmaken van NTLM-verificatie mislukt. Bovendien kunnen er verschillende foutberichten die met tussenpozen en eventueel 'toegang geweigerd'Het volgende probleem in een extern bestand toegang kunnen optreden:

Windows-clients ' toegang geweigerd ' ontvangen of uitgesteld reacties van de server.Treedt het volgende probleem in elk scenario waarbij Kerberos-overdracht in een middle-tier-service wordt gebruikt:

De clients toegang is in eerste instantie maar verliest vervolgens toegang tot dezelfde bronnen. Bovendien herhaaldelijk gevraagd om referenties of 'toegang geweigerd'-fouten optreden.Opmerkingen

Oorzaak

Dit probleem treedt op wanneer een hoog volume van NTLM-verificatie of Kerberos PAC validatie transacties (of beide) optreden op een Windows-server en dat volume groter is dan het volume dat tegelijkertijd kan worden verwerkt door de server of de domeincontrollers die verificatie biedt. Met andere woorden, wordt dit veroorzaakt door een resource verificatie knelpunt.

NTLM-verificatie en validatie van PAC worden uitgevoerd door specifieke threads in het proces Lsass.exe op Windows-computers. Er is een maximum aantal deze threads die beschikbaar zijn voor het verwerken van deze aanvragen op hetzelfde moment, en als de aanvragen groter is dan de beschikbaarheid van de threads en de aanvragen kunnen niet langer wachten, treedt dit probleem.

Werkstations hebben een van de threads beschikbaar voor gebruik en lidservers hebben twee threads beschikbaar voor gebruik. Domeincontrollers hebben één beschikbare thread per beveiligingskanaal met vertrouwde domeinen. Dit maximum aantal threads die zijn toegewezen aan dit doel 'Maxconcurrentapi' wordt genoemd en kan worden geconfigureerd.

Oplossing

Gebruik een of meer van de volgende methoden het probleem op te lossen:

• De volgende hotfix geïnstalleerd en vervolgens de stappen die worden beschreven in de sectie 'registerinformatie'. Nadat u deze hotfix op Windows Vista, Windows Server 2008, Windows 7 of Windows Server 2008 R2, de maximumlimit van gelijktijdige verbindingen tussen een clientcomputer en een andere server installeert of een domeincontroller voor NTLM-verificatie of PAC validatie kan maximaal 150 worden gewijzigd. Moet dit gebeuren op alle servers die Perfmon Netlogon vertonen 'semafoor time-out' in hun prestatielogboeken of die aanduidingen zijn de ' NlpUserValidateHigher: Client-API-sleuf kan niet toewijzen ' tekst in de Netlogon-logboeken voor foutopsporing.

• Voor toepassingen en services die van NTLM gebruikmaken, net configureert om Kerberos-verificatie te gebruiken. De methoden om te doen die uniek zijn voor deze toepassingen.

Opmerking Om te bepalen welke waarde in te stellen voor de MaxConcurrentApi instelling in uw omgeving verwijzen naar het Knowledge Base-artikelen.

2688798 hoe het afstemmen van prestaties voor NTLM-verificatie met behulp van de instelling MaxConcurrentApi

Status

Microsoft heeft bevestigd dat dit probleem kan optreden in de Microsoft-producten die worden vermeld in de sectie 'Van toepassing op'.

Meer informatie

Deze hotfix is opgenomen in Windows 7 Service Pack 1 (SP1) en Windows Server 2008 R2 Service Pack 1 (SP1).

De instelling MaxConcurrentApi en de standaardinstellingen voor het zijn een oudere versie van Windows 2000 en de beperkte hardwaremogelijkheden van die tijd. Meer threads en de RPC-verkeer die wilt genereren waardoor een ernstig probleem is en er is een mogelijkheid van knelpunten als te veel threads zijn gemaakt met oudere hardware. Die beperking hardware prestaties is met nieuwere hardwareplatforms en betere prestaties, minder vaak optreden. Zoals altijd is het belangrijk om te meten en de prestaties van de servers in een omgeving te begrijpen voordat u de mogelijke belasting verhogen met een hoge instelling voor MaxConcurrentApi .

Voor meer informatie over het gebruik van de Netlogon-service (Netlogon.log) voor logboekregistratie voor foutopsporing, klikt u op het volgende artikel in de Microsoft Knowledge Base:

Voor de Net Logon-service logboekregistratie voor foutopsporing 109626 inschakelenEen extra stap in de lessening kan worden uitgevoerd op Windows Server 2003-domeincontrollers die posten in hun foutopsporingslogboek Netlogon-service die aangeven bevatten dat clients < null > verzendt \gebruikersnaam in plaats van domeinnaam\gebruikersnaam. De stappen worden beschreven in het volgende artikel in de Microsoft Knowledge Base:

923241 het Lsass.exe-proces reageert niet als er veel externe vertrouwensrelaties op een domeincontroller met Windows Server 2003Meer informatie over het gebruik van de Netlogon-prestaties controleren object is beschikbaar, met een update die prestatie-object toevoegen in Windows Server 2003. Er is een update voor Windows Server 2003 waarmee u kunt controleren de snelheid en de doorvoer van NTLM-verificatie. Voor meer informatie klikt u op het volgende artikelnummer om het artikel in de Microsoft Knowledge Base weer te geven:

928576 nieuwe prestatiemeteritems voor Windows Server 2003 kunnen u de prestaties van de Netlogon-verificatie controleren

Er is een update voor Windows Server 2008 R2 die nieuwe gebeurtenissen introduceert bijhouden van overbelasting van de Netlogoan-API:

Er zijn nieuwe logboekvermeldingen dat NTLM-verificatie vertragingen en fouten in Windows Server 2008 R2 beschikbaar
http://support.Microsoft.com/default.aspx?scid=kB; EN-US; 2654097
Voor meer informatie over terminologie voor software-updates klikt u op het volgende artikelnummer om het artikel in de Microsoft Knowledge Base weer te geven:

824684

Beschrijving van de standaardterminologie die wordt gebruikt voor het beschrijven van Microsoft-software-updates