Diverse Fehler im Eventlog, darunter auch LSASRV 40960

[Daniel Schall]

Hallo NGler,
seit einiger Zeit sammeln sich diverse Fehler im Eventlog, und ich habe es
nicht geschafft,
die Ursache zu ermitteln.
Zuallererst findet sich folgender Fehler stündlich im System-Log:

Quelle: LSASRV
Kategorie: SPNEGO
Ereignisskennung: 40960
Das Sicherheitssystem hat einen Authentifizierungsfehler für den Server
DNS/xenon.inert.dtdns.net festgestellt.
Der Fehlercode des Authentifizierungsprotokolls Kerberos war
"Die versuchte Anmeldung ist ungültig. Der Benutzername war falsch,
oder es wurden falsche Informationen zur Authentifizierung angegeben.
(0xc000006d)".

(Immer in Begleitung mit Fehler 40961)
Ich habe das Internet nach diesen beiden Meldungen abgegrast, aber nichts
brauchbares gefunden.
Da ich auf einen falschen Benutzernamen in irgendeinem Dienst geschlossen
habe, habe ich das Auditing aktiviert und
bemerkt, dass folgende Meldungen immer zeitgleich mit den Fehlern auftregen:

Quelle: Security
Kategorie: An/Abmeldung
Ereignisskennung: 529
Fehlgeschlagene Anmeldung:
Grund: Unbekannter Benutzername oder falsches Kennwort
Benutzername: XENON$
Domäne: INERT
Anmeldetyp: 3
Anmeldevorgang: NtLmSsp
Authentifizierungspaket: NTLM
Name der Arbeitsstation: XENON
Aufruferbenutzername: -
Aufruferdomäne: -
Aufruferanmeldekennung: -
Aufruferprozesskennung: -
Übertragene Dienste: -
Quellnetzwerkadresse: -
Quellport: -

(Sowie diverse andere, ähnlich lautende Meldungen mit anderen
Anmeldevorgängen.)
Der Computer auf dem diese Fehler auftreten ist ein Domaincontroller, auf
dem auch der DNS-Dienst läuft.
Ich vermute, dass irgendetwas mit dessen Computerkonto (= XENON$) nicht in
Ordnung ist..

Vielleicht könnt ihr mir ja weiterhelten!


Vielen Dank im Vorraus und Grüße

Daniel Schall

[Joachim Conrad]

Hallo Daniel,

Daniel Schall schrieb:

[...]

Post by Daniel Schall
Ich habe das Internet nach diesen beiden Meldungen abgegrast, aber
nichts brauchbares gefunden.

Hier auch nicht?

http://www.eventid.net/display.asp?eventid=40960&eventno=787&source=LsaSrv&phase=1

Tschau
Joachim

[Daniel Schall]

Hi,
alle angesprochenen Probleme treffen auf den DC nicht zu.

Der DC wurde nicht erst vor kurzem promoted,
Reverse Lookup Zonen sind da,
und Fragmentierung oä dürfte auch nicht auftreten, da der Server die Meldung
bekommt "Der Benutzername oder das Kennwort stimmt nicht."
Also gehe ich davon aus, dass die Kommunikation nicht gestört ist.


MfG

Daniel

Post by Joachim Conrad
Hallo Daniel,
[...]

Post by Daniel Schall
Ich habe das Internet nach diesen beiden Meldungen abgegrast, aber
nichts brauchbares gefunden.

Hier auch nicht?

http://www.eventid.net/display.asp?eventid=40960&eventno=787&source=LsaSrv&phase=1

Post by Joachim Conrad
Tschau
Joachim
--
Joachim Conrad
Antworten bitte nur in der NG
Die genannte E-Mail Adresse existiert, die Eingänge werden
allerdings automatisch gelöscht.