Início / user-87525

scott_lotus's questions

Martin Hope
scott_lotus
Asked: 2018-05-11 00:40:09 +0800 CST
  • 49

Erro

Após as atualizações de segurança do Windows em maio de 2018, ao tentar fazer o RDP em uma estação de trabalho Windows 10 Pro, a seguinte mensagem de erro é exibida após a inserção bem-sucedida das credenciais do usuário:

Ocorreu um erro de autenticação. A função solicitada não é suportada.

Isso pode ser devido à correção do oráculo de criptografia CredSSP

Captura de tela

insira a descrição da imagem aqui

Depuração

  • Confirmamos que as credenciais do usuário estão corretas.

  • Reiniciou a estação de trabalho.

  • Os serviços de diretório local confirmados estão operacionais.

  • As estações de trabalho isoladas que ainda não aplicaram o patch de segurança de maio não serão afetadas.

Pode gerenciar nesse ínterim para hosts permanentes, no entanto, preocupado com o acesso ao servidor baseado em nuvem. Nenhuma ocorrência no Server 2016 ainda.

obrigada

windows
Martin Hope
scott_lotus
Asked: 2017-07-06 04:57:47 +0800 CST
  • 7

PROBLEMA

O serviço de membro do domínio relata o seguinte ao tentar fazer o RDP de qualquer estação de trabalho Windows 10 no mesmo domínio ou de qualquer cliente Windows de uma fonte externa:

  • A Área de Trabalho Remota não pode verificar a identidade do computador remoto porque há uma diferença de hora ou data entre seu computador e o computador remoto. Certifique-se de que o relógio do seu computador esteja com a hora correta e tente conectar novamente. Se o problema ocorrer novamente, contate o administrador da rede ou o proprietário do computador remoto.

O log de eventos do servidor membro contém:

  • EVENTID 5719. Este computador não conseguiu configurar uma sessão segura com um controlador de domínio no domínio devido ao seguinte: O servidor RPC não está disponível.

  • EVENTID 1054. Falha no processamento da Diretiva de Grupo. O Windows não pôde obter o nome de um controlador de domínio. Isso pode ser causado por uma falha de resolução de nomes. Verifique se o sistema de nome de domínio (DNS) está configurado e funcionando corretamente.

MEIO AMBIENTE

SERVIDOR MEMBRO

  • Este é o único servidor que apresenta o problema.
  • Windows Server 2012 Standard R2.
  • Servidor de arquivos.
  • Servidor SQL.
  • O log de eventos relata os erros acima.
  • Não é possível RDP para o servidor quando ocorre um problema.
  • Endereço DNS definido como endereços IP PDC e SDC.

PDC

  • Servidor Windows 2012.
  • Detém todas as funções FSMO.
  • CG.
  • Firewall do Windows desabilitado para teste.
  • Nenhum ERRO relatado, operando normalmente.
  • serviços AD.
  • serviço DNS.
  • Serviço WINS.
  • Pode RDP para todos os nós e autenticar com credenciais de usuário de domínio.

SDC

  • Servidor Windows 2016.
  • CG.
  • Firewall do Windows desabilitado para teste.
  • Nenhum ERRO relatado, operando normalmente.
  • serviços AD.
  • serviço DNS.
  • Serviço WINS.
  • Pode RDP para todos os nós e autenticar com credenciais de usuário de domínio.

TROCA DE SERVIDOR

  • Servidor Windows 2008.
  • Exchange Server 2007
  • Também adicionado como servidor membro.
  • Nenhum ERRO relatado, operando normalmente.
  • Pode RDP para todos os nós e autenticar com credenciais de usuário de domínio.

CLIENTES WINDOWS 10

  • Todos os clientes Windows 10 operando normalmente.
  • Pode RDP para todos os nós e autenticar com credenciais de usuário de domínio.

Algumas informações adicionais que podem ser importantes:

  • Eu tinha outro controlador de domínio que morreu (vserver). Ele foi removido manualmente do domínio usando o procedimento correto (remoção de metadados, funções de transferência, exclusão do DNS etc). Satisfeito isso não é mais e problema. O nome do servidor não apareceu em nenhum log de erro. DCDIAG no controlador de domínio existente (PDC, SDC) não relata erros. Isso foi há muitos meses.

  • Quando o controlador de domínio (vserver) morreu, as estações de trabalho relataram problemas de sincronização de tempo. Isso foi resolvido em todas as estações de trabalho do cliente usando os comandos W32TM detalhados abaixo há muitos meses. Este W32TM não resolvido não resolveu o problema com os problemas problemáticos do servidor membro documentados aqui.

DEBUGING

SERVIDOR MEMBRO

  • Eu posso RDP e autenticar como um usuário local no servidor quando o problema ocorre.
  • Não consigo RDP e autenticar como usuário de domínio no servidor quando o problema ocorre.
  • Se eu reiniciar o servidor, o problema será resolvido por aproximadamente 24 horas.
  • Garantir que o firewall de rede permita consultas de tempo para fontes externas.
  • W32tm /resync /rediscover (todos executados elevados).
  • W32tm /consulta /configuração.
  • W32tm /config /manualpeerlist:time.windows.com /syncfromflags:manual /reliable:yes /update.
  • w32tm /config /syncfromflags:domhier.
  • net stop w32time && net start w32time.
  • GPUPDATE não resolve o problema.
  • As configurações de NIC têm o endereço DNS e WINS definido como endereços IP do servidor PDC e SDC.
  • Removido do domínio , ingresse novamente no domínio usando as ferramentas do assistente.
  • Quando os problemas ocorrerem, o NSLOOKUP resolverá os endereços de domínio interno sever.internal.com.
  • Quando os problemas ocorrerem, o NSLOOKUP resolverá os endereços de domínio externo internos.
  • Quando os problemas ocorrem, o Google Chrome implantado no servidor não exibirá uma página da web. DNS confirmado operacional via NSLOOKUP. Eu vi esse comportamento da estação de trabalho que implantou o aplicativo FIDDLER, pois o endereço IE PROXY está definido para o IP de loopback da máquina. Confirmado FIDDLER não instalado neste servidor membro.
  • Veja REF1 . MMC testado, conecte ao computador, carregue o LOG DE SEGURANÇA.
  • Defina POLÍTICA DE GRUPO para permitir Allow Remote Administration Exceptione Allow File and Printer Sharing Exception.
  • Confirme Windows Management Instrumentationo serviço executando controladores de domínio e servidor membro.
  • Confirme TCP/IP NetBIOS Helperse o serviço está sendo executado nos controladores de domínio e no servidor membro.
  • Confirme Remote Procedure Callse o serviço está sendo executado nos controladores de domínio e no servidor membro.
  • Veja REF2 . Habilitado `FAST LINK' na porta do switch gerenciado pelos servidores.

w32tm /query /configurationResultados do servidor membro

[Configuration]
EventLogFlags: 2 (Local)
AnnounceFlags: 10 (Local)
TimeJumpAuditOffset: 28800 (Local)
MinPollInterval: 10 (Local)
MaxPollInterval: 15 (Local)
MaxNegPhaseCorrection: 4294967295 (Local)
MaxPosPhaseCorrection: 4294967295 (Local)
MaxAllowedPhaseOffset: 300 (Local)

FrequencyCorrectRate: 4 (Local)
PollAdjustFactor: 5 (Local)
LargePhaseOffset: 50000000 (Local)
SpikeWatchPeriod: 900 (Local)
LocalClockDispersion: 10 (Local)
HoldPeriod: 5 (Local)
PhaseCorrectRate: 1 (Local)
UpdateInterval: 30000 (Local)

[TimeProviders]
NtpClient (Local)
DllName: C:\Windows\system32\w32time.DLL (Local)
Enabled: 1 (Local)
InputProvider: 1 (Local)
CrossSiteSyncFlags: 2 (Local)
AllowNonstandardModeCombinations: 1 (Local)
ResolvePeerBackoffMinutes: 15 (Local)
ResolvePeerBackoffMaxTimes: 7 (Local)
CompatibilityFlags: 2147483648 (Local)
EventLogFlags: 1 (Local)
LargeSampleSkew: 3 (Local)
SpecialPollInterval: 3600 (Local)
Type: AllSync (Local)
NtpServer: time.windows.com (Local)

NtpServer (Local)
DllName: C:\Windows\system32\w32time.DLL (Local)
Enabled: 0 (Local)
InputProvider: 0 (Local)
VMICTimeProvider (Local)
DllName: C:\Windows\System32\vmictimeprovider.dll (Local)
Enabled: 0 (Local)
InputProvider: 1 (Local)

Resultado do servidor membro w32tm /query /status:

Leap Indicator: 0(no warning)
Stratum: 3 (secondary reference - syncd by (S)NTP)
Precision: -6 (15.625ms per tick)
Root Delay: 0.1455078s
Root Dispersion: 0.0777873s
ReferenceId: 0x0D4FEF45 (source IP:  13.79.239.69)
Last Successful Sync Time: 05/07/2017 13:31:40
Source: time.windows.com
Poll Interval: 12 (4096s)

Resultado do servidor membro RPCping:

Completed 1 calls in 15 ms
66 T/S or  15.000 ms/T

Concedido, esses testes acima foram realizados várias horas após a reinicialização, quando o problema ainda não ocorreu novamente. Posso repetir o teste e postar os resultados em caso de recorrência.

PDC

  • DCDIAG não relata problemas.
  • NSLOOKUP resolve endereços internos e externos.

Resultado PDC w32tm /query /status:

Leap Indicator: 0(no warning)
Stratum: 3 (secondary reference - syncd by (S)NTP)
Precision: -6 (15.625ms per tick)
Root Delay: 0.1517181s
Root Dispersion: 0.0426882s
ReferenceId: 0x338D2033 (source IP:  51.141.32.51)
Last Successful Sync Time: 05/07/2017 13:18:51
Source: time.windows.com
Poll Interval: 10 (1024s)

SDC

  • DCDIAG não relata problemas.
  • NSLOOKUP resolve endereços internos e externos.

RESUMO

Parece claro que é um problema de sincronização de tempo. Acredito que seja tudo o que tentei até agora para depurar e resolver esse problema, vou EDITAR se me lembrar de mais alguma coisa. Obrigado por qualquer ajuda (mesa / cabeça / bang). Ansioso para entender a causa raiz.

Scott

REFERÊNCIAS

REF1. http://social.technet.microsoft.com/wiki/contents/articles/4494.troubleshooting-the-rpc-server-is-unavailable.aspx

REF2. Spanning Tree bloqueando solicitações DHCP no Windows/BOOTP

REF2. https://nchrissos.wordpress.com/2013/04/26/configuring-time-on-windows-2008-r2-servers/

ATUALIZAÇÃO-1

Editado seguindo o comentário de Joeqwerty (obrigado Joe).

Estado atual

  • Nenhuma recorrência deste problema até o momento, aproximadamente 24 horas desde que este artigo foi publicado.
  • Sem reinicializações.

Alteração

No entanto, a seguinte alteração foi aplicada agora (consulte REF3 ) no MEMBER SERVER problemático:

  • Chave Reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\Type=NTPalterada de NTP para NT5DS

  • Serviço de hora do Windows reiniciado..

  • A saída de w32tm /query /configurationagora mostra:

    [TimeProviders]
NtpClient (Local)
DllName: C:\Windows\system32\w32time.DLL (Local)
Enabled: 1 (Local)
InputProvider: 1 (Local)
CrossSiteSyncFlags: 2 (Local)
AllowNonstandardModeCombinations: 1 (Local)
ResolvePeerBackoffMinutes: 15 (Local)
ResolvePeerBackoffMaxTimes: 7 (Local)
CompatibilityFlags: 2147483648 (Local)
EventLogFlags: 1 (Local)
LargeSampleSkew: 3 (Local)
SpecialPollInterval: 3600 (Local)
Type: NT5DS (Local)

  • GPUPDATE aplicado

  • Type: NT5DS (Local)ainda exibido ao verificar w32tm /query /configuration.

Preciso deixar isso por alguns dias e tentar uma reinicialização antes de poder confirmar que o problema foi resolvido.

ATUALIZAÇÃO-2

  • O problema acabou de ocorrer novamente. Um administrador o reiniciou antes que eu pudesse executar qualquer teste.
  • Na reinicialização w32tm /query /configurationainda mostraType: NT5DS (Local)
  • Retornará segunda-feira.

  • Para sua informaçãow32tm /query /status

    Leap Indicator: 0(no warning)
Stratum: 4 (secondary reference - syncd by (S)NTP)
Precision: -6 (15.625ms per tick)
Root Delay: 0.1827698s
Root Dispersion: 7.8574884s
ReferenceId: 0xC0A80103 (source IP:  192.168.1.3)
Last Successful Sync Time: 06/07/2017 16:29:58
Source: PDC.MYDOMAIN.COM
Poll Interval: 10 (1024s)

Desculpe por todo o texto.

ATUALIZAÇÃO-3

Nenhuma recorrência do documento de erro RDP acima ainda, mas postou uma atualização para destacar que às 0200 UTC o log de eventos do Member Server começou novamente a relatar os erros EVENTID documentados no início deste thread principalmente:

    1. FONTE NETLOGON. Este computador não conseguiu configurar uma sessão segura com um controlador de domínio no domínio devido ao seguinte: O servidor RPC não está disponível.
    1. POLÍTICA DO GRUPO DE FONTE. Falha no processamento da Diretiva de Grupo. O Windows não pôde obter o nome de um controlador de domínio. Isso pode ser causado por uma falha de resolução de nomes. Verifique se o sistema de nome de domínio (DNS) está configurado e funcionando corretamente.

No passado, descobri que isso era um precursor do problema de conexão / sincronização de tempo RDP com tempo suficiente.

Em resposta, executo o seguinte a partir do MEMBER SERVER com o problema:

  • w32tm /consulta /status

    Leap Indicator: 0(no warning)
Stratum: 4 (secondary reference - syncd by (S)NTP)
Precision: -6 (15.625ms per tick)
Root Delay: 0.8504282s
Root Dispersion: 0.3015940s
ReferenceId: 0xC0A80103 (source IP:  192.168.1.3)
Last Successful Sync Time: 07/07/2017 06:08:58
Source: PDC.MYDOMAIN.COM
Poll Interval: 13 (8192s)

  • w32tm /consulta /configuração

    [Configuration]
EventLogFlags: 2 (Local)
AnnounceFlags: 10 (Local)
TimeJumpAuditOffset: 28800 (Local)
MinPollInterval: 10 (Local)
MaxPollInterval: 15 (Local)
MaxNegPhaseCorrection: 4294967295 (Local)
MaxPosPhaseCorrection: 4294967295 (Local)
MaxAllowedPhaseOffset: 300 (Local)

FrequencyCorrectRate: 4 (Local)
PollAdjustFactor: 5 (Local)
LargePhaseOffset: 50000000 (Local)
SpikeWatchPeriod: 900 (Local)
LocalClockDispersion: 10 (Local)
HoldPeriod: 5 (Local)
PhaseCorrectRate: 1 (Local)
UpdateInterval: 30000 (Local)

[TimeProviders]
NtpClient (Local)
DllName: C:\Windows\system32\w32time.DLL (Local)
Enabled: 1 (Local)
InputProvider: 1 (Local)
CrossSiteSyncFlags: 2 (Local)
AllowNonstandardModeCombinations: 1 (Local)
ResolvePeerBackoffMinutes: 15 (Local)
ResolvePeerBackoffMaxTimes: 7 (Local)
vCompatibilityFlags: 2147483648 (Local)
EventLogFlags: 1 (Local)
LargeSampleSkew: 3 (Local)
SpecialPollInterval: 3600 (Local)
Type: NT5DS (Local)

NtpServer (Local)
DllName: C:\Windows\system32\w32time.DLL (Local)
Enabled: 0 (Local)
InputProvider: 0 (Local)
VMICTimeProvider (Local)
DllName: C:\Windows\System32\vmictimeprovider.dll (Local)
Enabled: 0 (Local)
InputProvider: 1 (Local)

  • RPCping

    Completed 1 calls in 1 ms
1000 T/S or   1.000 ms/T

  • Tempo líquido/domínio:meudominio.com.com

    Current time at \\PDC.MYDOMAIN.COM is 07/07/2017 06:51:29

  • w32tm /consulta /fonte

    PDC.MYDOMAIN.COM

  • W32tm /monitor /domain:mydomain.com

    PDC.MYDOMAIN.COM *** PDC ***[192.168.1.3:123]:
ICMP: 0ms delay
NTP: +0.0000000s offset from PDC.MYDOMAIN.COM
RefID: (unknown) [0x33208D33]
Stratum: 3
SDC.MYDOMAIN.COM.COM[192.168.1.1:123]:
ICMP: 0ms delay
NTP: -0.0013367s offset from PDC.MYDOMAIN.COM
RefID: PDC.MYDOMAIN.COM [192.168.1.3]
Stratum: 4

Warning:
Reverse name resolution is best effort. It may not be
correct since RefID field in time packets differs across
NTP implementations and may not be using IP addresses.

As configurações alteradas do NT5DS ainda estão em vigor. Aguarde algumas horas e os problemas de RDP ocorrerão novamente. Não tenho certeza para onde ir a partir daqui desculpe.

ATUALIZAÇÃO-4

Em resposta ao Drifter104 , veja abaixo a saída de IPCONFIG/ALL para cada nó:

SERVIDOR MEMBRO

Windows IP Configuration
Host Name . . . . . . . . . . . . : memberserver
Primary Dns Suffix  . . . . . . . : mydomain.com
Node Type . . . . . . . . . . . . : Hybrid
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No
DNS Suffix Search List. . . . . . : mydomain.com

Ethernet adapter Ethernet:
Connection-specific DNS Suffix  . :
Description . . . . . . . . . . . : HP Ethernet 1Gb 2-port 330i Adapter
Physical Address. . . . . . . . . : 28-80-23-90-ED-D8
DHCP Enabled. . . . . . . . . . . : No
Autoconfiguration Enabled . . . . : Yes
IPv4 Address. . . . . . . . . . . : 192.168.1.2(Preferred)
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 192.168.1.25
DNS Servers . . . . . . . . . . . : 192.168.1.1
                                    192.168.1.3
Primary WINS Server . . . . . . . : 192.168.1.1
Secondary WINS Server . . . . . . : 192.168.1.3
NetBIOS over Tcpip. . . . . . . . : Enabled

Tunnel adapter isatap.{C78DD9B1-685E-4DB0-BE2C-79D92494D094}:

Media State . . . . . . . . . . . : Media disconnected
Connection-specific DNS Suffix  . :
Description . . . . . . . . . . . : Microsoft ISATAP Adapter
Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP Enabled. . . . . . . . . . . : No
Autoconfiguration Enabled . . . . : Yes

PDC

Windows IP Configuration
Host Name . . . . . . . . . . . . : PDC
Primary Dns Suffix  . . . . . . . : mydomian.COM
Node Type . . . . . . . . . . . . : Hybrid
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No
DNS Suffix Search List. . . . . . : mydomain.COM

Ethernet adapter Ethernet:
Connection-specific DNS Suffix  . :
Description . . . . . . . . . . . : HP Ethernet 1Gb 2-port 332i Adapter #2
Physical Address. . . . . . . . . : 64-51-06-0D-EE-C9
DHCP Enabled. . . . . . . . . . . : No
Autoconfiguration Enabled . . . . : Yes
Link-local IPv6 Address . . . . . : fe80::2440:bffc:b999:f930%12(Preferred)
IPv4 Address. . . . . . . . . . . : 192.168.1.3(Preferred)
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : fe80::217:c5ff:fe28:91cc%12
                                   192.168.1.25
DHCPv6 IAID . . . . . . . . . . . : 207900934
DHCPv6 Client DUID. . . . . . . . : 00-01-00-01-1C-53-B2-D2-64-51-06-0D-EE-C9
DNS Servers . . . . . . . . . . . : 192.168.1.3
                                   192.168.1.1
                                   127.0.0.1
Primary WINS Server . . . . . . . : 192.168.1.1
Secondary WINS Server . . . . . . : 192.168.1.3
NetBIOS over Tcpip. . . . . . . . : Enabled

Tunnel adapter isatap.{0C6841BD-69AB-491B-819B-9167B188139A}:

Media State . . . . . . . . . . . : Media disconnected
Connection-specific DNS Suffix  . :
Description . . . . . . . . . . . : Microsoft ISATAP Adapter
Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP Enabled. . . . . . . . . . . : No
Autoconfiguration Enabled . . . . : Yes

SDC

Windows IP Configuration
Host Name . . . . . . . . . . . . : SDC
Primary Dns Suffix  . . . . . . . : mydomain.COM
Node Type . . . . . . . . . . . . : Hybrid
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No
DNS Suffix Search List. . . . . . : mydomain.COM

Ethernet adapter Ethernet:
Connection-specific DNS Suffix  . :
Description . . . . . . . . . . . : HP Ethernet 1Gb 2-port 332i Adapter
Physical Address. . . . . . . . . : 64-51-06-0D-EA-B8
DHCP Enabled. . . . . . . . . . . : No
Autoconfiguration Enabled . . . . : Yes
Link-local IPv6 Address . . . . . : fe80::e006:41b6:be7c:e580%2(Preferred)
IPv4 Address. . . . . . . . . . . : 192.168.1.1(Preferred)
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : fe80::217:c5ff:fe28:91cc%2
                                   192.168.1.25
DHCPv6 IAID . . . . . . . . . . . : 56905990
DHCPv6 Client DUID. . . . . . . . : 00-01-00-01-20-E6-6B-A7-64-51-06-0D-EA-B8
DNS Servers . . . . . . . . . . . : ::1
                                   192.168.1.1
                                   192.168.1.3
Primary WINS Server . . . . . . . : 192.168.1.3
Secondary WINS Server . . . . . . : 192.168.1.1
NetBIOS over Tcpip. . . . . . . . : Enabled

Tunnel adapter isatap.{0A5E9C3A-B92E-4114-B0BF-5A30BCA821D7}:

Media State . . . . . . . . . . . : Media disconnected
Connection-specific DNS Suffix  . :
Description . . . . . . . . . . . : Microsoft ISATAP Adapter
Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP Enabled. . . . . . . . . . . : No
Autoconfiguration Enabled . . . . : Yes

SERVIDOR MEMBRO

Endereços WINS removidos na resposta ao comentário.

Windows IP Configuration
Host Name . . . . . . . . . . . . : memberserver
Primary Dns Suffix  . . . . . . . : mydomain.com
Node Type . . . . . . . . . . . . : Hybrid
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No
DNS Suffix Search List. . . . . . : mydomain.com

Ethernet adapter Ethernet:
Connection-specific DNS Suffix  . :
Description . . . . . . . . . . . : HP Ethernet 1Gb 2-port 330i Adapter
Physical Address. . . . . . . . . : 28-80-23-90-ED-D8
DHCP Enabled. . . . . . . . . . . : No
Autoconfiguration Enabled . . . . : Yes
IPv4 Address. . . . . . . . . . . : 192.168.1.2(Preferred)
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 192.168.1.25
DNS Servers . . . . . . . . . . . : 192.168.1.1
                                    192.168.1.3
NetBIOS over Tcpip. . . . . . . . : Enabled

Tunnel adapter isatap.{C78DD9B1-685E-4DB0-BE2C-79D92494D094}:

Media State . . . . . . . . . . . : Media disconnected
Connection-specific DNS Suffix  . :
Description . . . . . . . . . . . : Microsoft ISATAP Adapter
Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP Enabled. . . . . . . . . . . : No
Autoconfiguration Enabled . . . . : Yes

Ligará e desligará a máquina em breve.

ATUALIZAÇÃO-5 07/10/17

72 horas desde a última atualização, o problema voltou a ocorrer. RDP e tentar autenticar com o usuário administrador do domínio resulta em:

Remote Desktop cannot verify the identity of the remote computer because there is a time or date difference between your computer and the remote computer. Make sure your computer’s clock is set to the correct time, and then try connecting again. If the problem occurs again, contact your network administrator or the owner of the remote computer.

  • Login as a local member service admin is successful.

  • w32tm /query /status

    Leap Indicator: 0(no warning)
Stratum: 4 (secondary reference - syncd by (S)NTP)
Precision: -6 (15.625ms per tick)
Root Delay: 0.1826172s
Root Dispersion: 0.1925883s
ReferenceId: 0xC0A80103 (source IP:  192.168.1.3)
Last Successful Sync Time: 10/07/2017 04:27:51
Source: PDC.MYDOMAIN.COM
Poll Interval: 15 (32768s)

  • w32tm /query /configuration

    [Configuration]
EventLogFlags: 2 (Local)
AnnounceFlags: 10 (Local)
TimeJumpAuditOffset: 28800 (Local)
MinPollInterval: 10 (Local)
MaxPollInterval: 15 (Local)
MaxNegPhaseCorrection: 4294967295 (Local)
MaxPosPhaseCorrection: 4294967295 (Local)
MaxAllowedPhaseOffset: 300 (Local)

FrequencyCorrectRate: 4 (Local)
PollAdjustFactor: 5 (Local)
LargePhaseOffset: 50000000 (Local)
SpikeWatchPeriod: 900 (Local)
LocalClockDispersion: 10 (Local)
HoldPeriod: 5 (Local)
PhaseCorrectRate: 1 (Local)
UpdateInterval: 30000 (Local)

[TimeProviders]
NtpClient (Local)
DllName: C:\Windows\system32\w32time.DLL (Local)
Enabled: 1 (Local)
InputProvider: 1 (Local)
CrossSiteSyncFlags: 2 (Local)
AllowNonstandardModeCombinations: 1 (Local)
ResolvePeerBackoffMinutes: 15 (Local)
ResolvePeerBackoffMaxTimes: 7 (Local)
CompatibilityFlags: 2147483648 (Local)
EventLogFlags: 1 (Local)
LargeSampleSkew: 3 (Local)
SpecialPollInterval: 3600 (Local)
Type: NT5DS (Local)

NtpServer (Local)
DllName: C:\Windows\system32\w32time.DLL (Local)
Enabled: 0 (Local)
InputProvider: 0 (Local)
VMICTimeProvider (Local)
DllName: C:\Windows\System32\vmictimeprovider.dll (Local)
Enabled: 0 (Local)
InputProvider: 1 (Local)

  • RPCping

    Exception 1722 (0x000006BA)
Number of records is: 10
ProcessID is 65644
System Time is: 7/10/2017 6:7:3:935
Generating component is 18
Status is 0x6BA, 1722
Detection location is 1442
Flags is 0
NumberOfParameters is 1
Unicode string:
ProcessID is 65644
System Time is: 7/10/2017 6:7:3:935
Generating component is 18
ETC .... (large result)

  • Net time /Domain:mydomain.com.com

    The service has not been started.

  • w32tm /query /source

    PDC.mydomain.COM

  • W32tm /monitor /domain:mydomain.com

    GetDcList failed with error code:  0x800706BA.
Exiting with error 0x800706BA

Progress of sorts.

  • DCDIAG ON PDC. There is a "pointer device" exception which is not relevant and will clear.

    Directory Server Diagnosis

Performing initial setup:
   Trying to find home server...
   Home Server = PDC
   * Identified AD Forest.
   Done gathering initial info.

Doing initial required tests

   Testing server: Default-First-Site-Name\PDC
      Starting test: Connectivity
         ......................... PDC passed test Connectivity

Doing primary tests

   Testing server: Default-First-Site-Name\PDC
      Starting test: Advertising
         ......................... PDC passed test Advertising
      Starting test: FrsEvent
         ......................... PDC passed test FrsEvent
      Starting test: DFSREvent
         ......................... PDC passed test DFSREvent
      Starting test: SysVolCheck
         ......................... PDC passed test SysVolCheck
      Starting test: KccEvent
         ......................... PDC passed test KccEvent
      Starting test: KnowsOfRoleHolders
         ......................... PDC passed test KnowsOfRoleHolders
      Starting test: MachineAccount
         ......................... PDC passed test MachineAccount
      Starting test: NCSecDesc
         ......................... PDC passed test NCSecDesc
      Starting test: NetLogons
         ......................... PDC passed test NetLogons
      Starting test: ObjectsReplicated
         ......................... PDC passed test ObjectsReplicated
      Starting test: Replications
         ......................... PDC passed test Replications
      Starting test: RidManager
         ......................... PDC passed test RidManager
      Starting test: Services
         ......................... PDC passed test Services
      Starting test: SystemLog
  A warning event occurred.  EventID: 0x80000109
                    Time Generated: 07/10/2017   07:15:13
            Event String: A pointer device did not report a valid unit of angular measurement.
         A warning event occurred.  EventID: 0x80000101
            Time Generated: 07/10/2017   07:15:13
            Event String: A pointer device reported a bad angular         physical range.
         ......................... PDC passed test SystemLog
      Starting test: VerifyReferences
         ......................... PDC passed test VerifyReferences


   Running partition tests on : ForestDnsZones
      Starting test: CheckSDRefDom
         ......................... ForestDnsZones passed test         CheckSDRefDom
      Starting test: CrossRefValidation
         ......................... ForestDnsZones passed test         CrossRefValidation

   Running partition tests on : DomainDnsZones
      Starting test: CheckSDRefDom
         ......................... DomainDnsZones passed test         CheckSDRefDom
      Starting test: CrossRefValidation
         ......................... DomainDnsZones passed test         CrossRefValidation

   Running partition tests on : Schema
      Starting test: CheckSDRefDom
         ......................... Schema passed test CheckSDRefDom
      Starting test: CrossRefValidation
         ......................... Schema passed test CrossRefValidation

   Running partition tests on : Configuration
      Starting test: CheckSDRefDom
         ......................... Configuration passed test         CheckSDRefDom
      Starting test: CrossRefValidation
         ......................... Configuration passed test         CrossRefValidation

   Running partition tests on : MYDOMAIN
      Starting test: CheckSDRefDom
         ......................... MYDOMAIN passed test CheckSDRefDom
      Starting test: CrossRefValidation
         ......................... MYDOMAIN passed test CrossRefValidation

   Running enterprise tests on : MYDOMAIN.com
      Starting test: LocatorCheck
         ......................... MYDOMAIN.com passed test LocatorCheck
      Starting test: Intersite
         ......................... MYDOMAIN.com passed test Intersite
windows-server-2012-r2
Martin Hope
scott_lotus
Asked: 2015-11-21 09:03:23 +0800 CST
  • 4

PROBLEMA EM RESUMO

Cliente SonicWall Global VPN da estação de trabalho do Windows 10 para PEER NSA 240 informa que ocorreu um erro:

O par não está respondendo às solicitações ISAKMP da fase 1.

REGISTRO DO CLIENTE VPN

The connection has been enabled.
Starting ISAKMP phase 1 negotiation.
An error occured.
The peer is not responding to phase 1 ISAKMP requests.
Starting ISAKMP phase 1 negotiation.
etc...

CONTEXTO DE TESTE

O problema está isolado nas estações de trabalho do Windows 10 apenas a partir de hoje. Nenhuma alteração feita no par NSA antes da falha.

Yesterday 19/11/15 all OS nodes:
- 3 x windows 10
- 4 x windows 8.1
- 6 x windows 7 
Connected without exception.

Today 20/11/15 
- 3 x windows 10 fails with exception above.
- 4 x windows 8.1 operational
- 6 x windows 7 operational

Observe que esta exceção é gerada antes que as credenciais do usuário sejam inseridas e em uma nova instalação antes que a chave pré-compartilhada seja inserida.

CORREÇÕES TENTATIVAS

  • atualizar para o firmware NSA 240 mais recente
  • implantar a versão mais recente do cliente VPN global
  • definir NSA WAN MTU para 1450 (era 1500)
  • Permitir fragmentação de pacotes
  • desativar o firewall da janela no cliente
  • desabilitar windows defender no cliente
  • verifique as atualizações do Windows antes / após a falha (a definição do defensor só mudou desde 19)
  • testei vários usuários
  • desinstalar cliente vpn
  • Execute a ferramenta GVC Cleaner (remove o cliente completamente do registro)
  • credenciais de cliente confirmadas usadas em 10 estão operacionais no Windows 8.1
  • Os 3 x clientes Windows 10 que relatam a exceção são concluídos isolados em redes separadas em locais domésticos, têm credenciais de cliente exclusivas, 2 compartilham a mesma troca de ADSL, mas ISPs diferentes. 1 na troca única.
  • Windows 8.1 executando laptop conectado ao mesmo switch que o cliente Windows 10 se conecta. Exclui qualquer configuração de hardware entre o cliente e o par.
  • também tentará ganhar 7 VM no host do Windows 10 (ainda não tenho tempo para implantar). Com certeza estará operacional.
  • geralmente reiniciar em cada teste.

99,9% de certeza de que este é um problema do Windows 10.

VERSÃO INFORMAÇÃO

Dell SonicWall NSA 240 running:
- firmware version Sonic OS Enhanced 5.9.1.1-390
- Safemode verison 5.0.1.11
- ROM version 5.0.2.7


Client Global VPN Client version is:
- GVCSetup64 4.9.9.1016.


Windows 10 version:
- pro 64-bit (10.0, build 10240)

Ficando sem ideias.

obrigada

Scott

EDITADO 25/01/26

R: De um novo laptop com Windows 10 :

  • Conectado a uma nova rede WIFI (WIFI X) externa à minha rede de terminação VPN. Para referência, o ISP é BT. Linha ADSL independente.
  • Baixe e implante o GVPN Clinet 4.9.9.1016.
  • Chave pré-compartilhada digitada
  • Credenciais de usuário inseridas. Conectado.

Esta é a primeira conexão bem-sucedida do Windows 10.

B: Do mesmo laptop com Windows 10:

  • VPN desconectada.
  • Desconectar WIFI
  • Conecte-se a outra rede WIFI externa (WIFI Y). Novamente BT é o ISP, linha ADSL independente, observe que esta não é a mesma linha ADSL que WIFI X.
  • Tente a conexão VPN.
  • O par não está respondendo às solicitações ISAKMP da fase 1.

Isso parece sugerir que, em uma nova instalação do Windows 10, a conexão VPN inicial foi bem-sucedida.

C: Do mesmo laptop com Windows 10:

  • Desconectar WIFI Y
  • Conecte-se ao WIFI X.
  • Conecte-se ao terminal VPN.
  • Passe a credencial do usuário.
  • A conexão foi bem-sucedida.

Então a pergunta é por quê. Observe que todos os outros clientes do Windows 10 ainda falham conforme a postagem original.

Uma coisa digna de nota. Todas as conexões de cliente bem-sucedidas, sejam 7, 8 ou 10, relatam starting aggressive mode Phase1 exchange. Devo salientar que a terminação da VPN está por trás de um dispositivo NAT. Isso não era um problema até o Windows 10. Este dispositivo tem o seguinte suporte ativado atualmente:

  • Passagem PPTP
  • Passagem IPSec
  • Passagem Multicast
  • Encaminhamento de porta 500 UDP
  • Encaminhamento de porta 4500 UDP

Sinta-se um passo mais perto de resolver isso hoje. No processo de implantação de uma linha alugada. Eu gostaria de implantar o novo hardware SonicWall NSA, neste caso, a VPN terminará no dispositivo que hospeda os IPs externos (ou seja, sem NAT). Suspeito que isso resolverá meus problemas com clientes do Windows 10.

Testes Adicionais

  • Além disso, todas as portas 1-65534 TCP/UDP foram encaminhadas para o endpoint de terminação VPN para teste.

  • Software antivírus removido do laptop de teste.

  • Tentativa de alterar a ordem de ligação do protocolo no laptop e reiniciar, mas não ajudou. O pensamento era que o Windows 10 está lidando com algo diferente em termos de segurança/vinculações, portanto, observe os problemas que outros usuários estão tendo com as comunicações em geral. REF

Obrigada. Scott

vpn