トップ回答者
リモートデスクトップで「認証エラーが発生しました」

質問
-
初めて質問させていただきます。
症状
クライアントPCからサーバーへリモートデスクトップで接続すると、ログイン情報入力後に「認証エラーが発生しました(コード:0x80004005)」と表示され、接続できない。
頻度
不定期に発生する。
一番多いパターンはクライアントPCの起動後初めて対象サーバーにリモートデスクトップすると上記エラーが発生し、エラーポップアップをOKで閉じて再度同じサーバーにリモートデスクトップを実行するとログインできる。
ただし、1度目ですんなりつながることもあれば、何度実行してもエラーになることもあり、傾向をつかみきれない。
環境
・ネットワーク
ActiveDirectoryでドメインを構築
サーバーとクライアントは同一LAN上に存在
サーバーへのログインはドメインのAdministratorと普段サーバーにログインしているドメインユーザーで試行
・クライアントPC
Windows7ProSP1(RDVer:6.3.9600)
Windows10Pro(RDVer:10.0010586)
・サーバー
WindowsServer2012(RDVer:6.2.9200)
WindowsServer2012R2(RDVer:6.3.9600)
リモートデスクトップの設定
○このコンピュータへのリモート接続を許可する
○ネットワークレベル認証でリモートデスクトップを実行しているコンピュータからのみ接続を許可する
WindowsServer2008R2以前ではこのような現象が発生したことはありませんでした。
対応策がありましたらご教授ください。
よろしくお願いいたします。
- 編集済み NakaMeta 2016年8月24日 2:34
回答
-
ネットワークレベル認証が有効になっているリモートデスクトップは、IPアドレスを指定するとそのサーバーに対してNTLM認証が、ホスト名を指定するとドメインコントローラと通信するKerberos認証が実施されます。
なのでサーバとDCの通信は安定しているけれど、クライアントとDC間の通信で問題があるというケースでは「IPアドレスなら問題ないけどホスト名だと時々問題がある」といったことになるのかもしれません。
あとは2016/08/09のWidowsUpdate関連でKerberosとNTLM周りの仕様が変更になりました。
もしこのアップデートと発生時期が重なっているのであれば要確認ですね。
「MS16-101: Windows 認証のセキュリティ更新プログラム (2016 年 8 月)」を適用するとユーザーのパスワード変更に失敗する場合がある
https://blogs.technet.microsoft.com/jpntsblog/2016/08/17/ms16-101/
すべての返信
-
ご返信ありがとうございます。
以下の内容が表示されますが、合っていますでしょうか?
---------------------------------------------------------------------
screen mode id:i:1
use multimon:i:0
desktopwidth:i:1024
desktopheight:i:768
session bpp:i:32
winposstr:s:0,1,92,103,1132,910
compression:i:1
keyboardhook:i:2
audiocapturemode:i:0
videoplaybackmode:i:1
connection type:i:7
networkautodetect:i:1
bandwidthautodetect:i:1
displayconnectionbar:i:1
enableworkspacereconnect:i:0
disable wallpaper:i:0
allow font smoothing:i:0
allow desktop com:0
disable full window drag:i:1
disable menu anims:i:1
disable themes:i:0
disable cursor setting:i:0
bitmapcachepersistenable:i:1
full address:s:sv-cnv10
audiomode:i:0
redirectprinters:i:1
redirectcomports:i:0
redirectsmartcards:i:1
redirectclipboard:i:1
redirectposdevices:i:0
autoreconnection enabled:i:1
authentication level:i:2
prompt for credentials:i:0
negotiate security layer:i:1
remoteapplicationmode:i:0
alternate shell:s:
shell working directory:s:
gatewayhostname:s:
gatewayusagemethod:i:4
gatewaycredentialssource:i:4
gatewayprofileusagemethod:i:0
promptcredentialonce:i:0
gatewaybrokeringtype:i:0
use redirection server name:i:0
rdgiskdcproxy:i:0
kdcproxyname:s:
---------------------------------------------------------------------
よろしくお願いいたします。
-
以前似たような現象に陥ったことがあります。
また接続すると、特定のOSの組み合わせの時だけリモートデスクトップが非常に重かったりしました。接続先がHyper=Vのゲストだったのですが、ゲストOS、ホストOS、接続元の3か所でSNP機能を無効化したところ問題なく動作しました。
■ SNP機能を無効化してみる
予期せぬ挙動が!? 新機能 Scalable Networking Pack をご存知ですか?
https://blogs.technet.microsoft.com/jpntsblog/2010/03/22/scalable-networking-pack/以上、参考まで。
追記:
ドメインコントローラとの通信がうまくいかず一時的にローカルキャッシュを使用しての接続を試みている可能性もあります。たとえば一方のIPv6を無効化しているとか、DNSに古いDCの情報が残っていたりしないでしょうか。 -
このスレッドと似た事象だと思いますが、解決されていないようですね。
どのPCでもIPで接続OKでFQDNがダメなら、サーバ側の確認が先になるでしょうか。
NICのNETBIOS over TCP/IP とか TCP/IP NetBIOS Helper サービスの再起動などやってみてもいいかもしれませんが、あてずっぽうで申し訳ないです。- 編集済み 社員番号042 2016年8月26日 9:03
-
ネットワークレベル認証が有効になっているリモートデスクトップは、IPアドレスを指定するとそのサーバーに対してNTLM認証が、ホスト名を指定するとドメインコントローラと通信するKerberos認証が実施されます。
なのでサーバとDCの通信は安定しているけれど、クライアントとDC間の通信で問題があるというケースでは「IPアドレスなら問題ないけどホスト名だと時々問題がある」といったことになるのかもしれません。
あとは2016/08/09のWidowsUpdate関連でKerberosとNTLM周りの仕様が変更になりました。
もしこのアップデートと発生時期が重なっているのであれば要確認ですね。
「MS16-101: Windows 認証のセキュリティ更新プログラム (2016 年 8 月)」を適用するとユーザーのパスワード変更に失敗する場合がある
https://blogs.technet.microsoft.com/jpntsblog/2016/08/17/ms16-101/
-
改善の兆しがあったので報告します。
やき様の情報をヒントにKerberos認証で利用するモジュールのバージョンを調査し、古いモジュールだったのでバージョンアップしました。
また、同一サイト内に2003R2と2008R2のDCが混在しているので、DNSゾーン及びレジストリで2008R2DCの優先度を高くしました。
それ以後、認証エラーが発生する確率が格段に減りました。(アップデート途中のテストでは何度か出ていましたが)
WireSharkでパケットキャプチャするとまだ2003R2DCに認証が飛んでいるようですが、モジュールバージョンアップしたDCだからか?問題なくつながります。
トラブル出ていた時にWireSharkで調査していればもう少し原因究明できたかもしれませんが、、気が回りませんでした。
ひとまず2,3日様子を見たいと思います。