Długi czas logowania po ustawieniu określonego portu statycznego dla NTDS i Netlogon w środowisku domen systemu Windows Server 2008 R2

Objawy

Rozważ następujący scenariusz:

• Masz kontrolerów domeny z systemem Windows Server 2008 R2 w środowisku domen systemu Windows Server 2008 R2.

• Ustawianie określonego portu statycznego stosowaną do usługi NT Directory Service (NTDS) i Netlogon na kontrolerze domeny. Aby to zrobić, należy wykonać metodę opisaną w następującym artykule bazy wiedzy Microsoft Knowledge Base (KB):
  

  224196 ruch związany z replikacją ograniczanie usługi Active Directory i RPC do określonego portu

• Konfigurowanie sieci obwodowej (znany także jako DMZ, strefa zdemilitaryzowana i podsiecią ekranowaną) umożliwiające ruch sieciowy na określonego portu statycznego.

• Spróbuj zalogować się do kontrolera domeny.

W tym scenariuszu procedury logowania dla kontrolera domeny trwa dłużej niż oczekiwano. Dodatkowo niektóre usługi, które są zależne od usługi Netlogon może zostać zerwane.

Ponadto można wyświetlić następujące RPC rozszerzone informacje o błędach zgłaszane w pliku netlogon.log:[CRITICAL] [22508] NlPrintRpcDebug: Dumping extended error for I_NetServerReqChallenge with 0xc0020017[CRITICAL] [22508] [0] ProcessID is 948
[CRITICAL] [22508] [0] System Time is: 10/7/2014 17:9:8:786
[CRITICAL] [22508] [0] Generating component is 18
[CRITICAL] [22508] [0] Status is 1722
[CRITICAL] [22508] [0] Detection location is 1442
[CRITICAL] [22508] [0] Flags is 0
[CRITICAL] [22508] [0] NumberOfParameters is 1
[CRITICAL] [22508] Unicode string: dc1.contoso.com
[CRITICAL] [22508] [1] ProcessID is 948
[CRITICAL] [22508] [1] System Time is: 10/7/2014 17:9:8:786
[CRITICAL] [22508] [1] Generating component is 18
[CRITICAL] [22508] [1] Status is 1722
[CRITICAL] [22508] [1] Detection location is 323
[CRITICAL] [22508] [1] Flags is 0
[CRITICAL] [22508] [1] NumberOfParameters is 0
[CRITICAL] [22508] [2] ProcessID is 948
[CRITICAL] [22508] [2] System Time is: 10/7/2014 17:9:8:786
[CRITICAL] [22508] [2] Generating component is 18
[CRITICAL] [22508] [2] Status is 1237
[CRITICAL] [22508] [2] Detection location is 313
[CRITICAL] [22508] [2] Flags is 0
[CRITICAL] [22508] [2] NumberOfParameters is 0
[CRITICAL] [22508] [3] ProcessID is 948
[CRITICAL] [22508] [3] System Time is: 10/7/2014 17:9:8:786
[CRITICAL] [22508] [3] Generating component is 18
[CRITICAL] [22508] [3] Status is 10060
Błąd usługi RPC jest 1722 (RPC_S_SERVER_UNAVAILABLE) i jest błąd gniazda 10060 (WSAETIMEDOUT). Te błędy oznaczają, że serwera nie można uzyskać dostępu i że go nie odpowiedział na czas.

W poniższych wyników śledzenia sieci można zauważyć portu próbował przez klienta wraz z żądań TCP SYN nie otrzyma odpowiedzi. W związku z tym serwer nie odpowiada na tym porcie.10.1.1.70 57565 (0xE0DD) 10.1.1.140 135 (0x87) EPM EPM:Request: ept_map: NDR, Netlogon(NRPC) {12345678-1234-ABCD-EF00-01234567CFFB} v1.010.1.1.140 135 (0x87) 10.1.1.70 57565 (0xE0DD) EPM EPM:Response: ept_map: NDR, Netlogon(NRPC) {12345678-1234-ABCD-EF00-01234567CFFB} v1.0
Tower: NDR, Netlogon(NRPC) {12345678-1234-ABCD-EF00-01234567CFFB} v1.0, RPC v5, 10.1.1.140:2645 (0xA55) [2645]
Tower: NDR, Netlogon(NRPC) {12345678-1234-ABCD-EF00-01234567CFFB} v1.0, RPC v510.92.24.141, 10.1.1.140:49150 (0xBFFE) [49150]
Tower: NDR, Netlogon(NRPC) {12345678-1234-ABCD-EF00-01234567CFFB} v1.0, RPC v510.92.24.141, 10.1.1.140:1028 (0x404) [1028]
Uwaga: Klient wybiera pierwszy port (w tym przypadku jest 2645) i port nie jest otwarty na zaporze.

Gdy masz aktualizacji 2654097 zainstalowany w systemie Windows Server 2008 R2 lub używasz systemu Windows Server 2012 lub nowszy, członków domeny i kontrolery domeny, które są mówić do kontrolera domeny, której dotyczy ten problem rejestrują zdarzenia 5816 i 5817, gdy wystąpi.

Przyczyna

Ten problem występuje, ponieważ dochodzi do synchronizacji między punktu końcowego rejestracji na kontrolerze domeny. Rejestracje punktu końcowego są wykonywane przez różne służby lub wątków, które są obsługiwane przez proces Lsass.exe.

Na przykład następujące usługi są obsługiwane przez proces Lsass.exe:

• Lsarpc

• Samr

• Interfejsu Drsuapi

• Netlogon

Rozwiązanie

Stan

Firma Microsoft potwierdziła, że jest to problem występujący w produktach firmy Microsoft wymienionych w sekcji „Dotyczy”.

Więcej informacji

Aby uzyskać więcej informacji dotyczących terminologii aktualizacji oprogramowania, kliknij następujący numer artykułu w celu wyświetlenia tego artykułu z bazy wiedzy Microsoft Knowledge Base:

824684 Opis standardowej terminologii używanej do opisywania aktualizacji oprogramowania firmy Microsoft