Diagnosticando logins de diretório ativo lento

Question

Estou com dificuldades para diagnosticar logins lentos e intermitentes em PCs de domínio.

Um pouco de informação sobre a rede que tem este problema:

• Meu domínio abrange 5 sites, todos com conexões VPN.
• Os CDs são uma mistura de 2003, 2008 e 2012. O nível funcional do domínio é de 2003.
• Os clientes são principalmente o Windows 7 x64.
• Usamos as políticas de grupo, incluindo as que usam o WMI, a segmentação no nível do item de preferência de grupo e a implantação de impressoras GPP.
• Não usamos perfis de roaming.

Na maioria das vezes, os logins funcionam bem e rapidamente para pessoas que já usaram a máquina anteriormente. O primeiro login em um novo computador é sempre lento, mas isso é esperado.

O problema parece ser principalmente com laptops. Se eles forem usados em casa com uma conexão de rede que não seja de domínio, ou movidos para um local diferente (ainda em uma rede de domínio, mas diferente do site do AD e não parecerem com fio ou sem fio), os logins podem demorar até 3 minutos a partir do momento em que o usuário digita sua senha, até a hora em que ela realmente começa a mostrar a área de trabalho. Nosso servidor de terminal também experimenta, de forma intermitente, logins lentos.

Infelizmente, é um problema intermitente e não encontrei nenhuma maneira confiável de reproduzi-lo. Minha suspeita é que isso tem a ver com as preferências da política do grupo, mas eu realmente não tenho nenhuma prova disso. Vi um artigo da microsoft KB culpar certos tipos de segmentação em nível de item por logins lentos, mas não fornece nenhuma orientação para determinar se essa é realmente a causa.

Quais logs e ferramentas eu posso usar para descobrir o que está causando os logins lentos?

Quais configurações de política de grupo devo usar ou evitar, se possível, para acelerar logins?

    

Answer 1

Basicamente, estou indo na mesma direção que joeqwerty

Eu tenho experimentado os sintomas que você está descrevendo em algumas empresas. Na minha experiência, isso geralmente acontece quando há mais de um site. Uma maneira de solucionar um possível problema com sites e serviços é a seguinte. Em um computador que acabou de passar por um logon lento, vá ao prompt de comando, digite echo% logonserver% Se a resposta não for um servidor no mesmo site que o laptop ou a estação de trabalho, minha experiência é que as sub-redes não estão configuradas e atribuídas o site correto em sites e serviços do diretório ativo.

Outra maneira de solucionar problemas é olhar para esse arquivo de log em seus controladores de domínio % SystemRoot% \ debug \ netlogon.log

Se você ver entradas como essa, a sub-rede específica precisa ser inserida em sites e serviços e atribuída a um site.
05/16 22:57:31 [4068] AD: NO_CLIENT_SITE: specificserverhostname 172.16.10.104

As estações de trabalho e os controladores de domínio da Microsoft têm a capacidade de garantir que eles acessem os controladores de domínio corretos para autenticação e políticas devido a sites e serviços.

Se esse for o caso e resultar em um ajuste de sites e serviços, saiba que a replicação das alterações de / para controladores de domínio pode levar algum tempo. Além disso, levará ainda mais tempo para as estações de trabalho de terminais verem as novas alterações. O tempo de replicação padrão é definido em sites e serviços por 1 hora entre os controladores de domínio. Dependendo da distância geográfica e do tamanho da sua floresta do AD, normalmente eu configuro para 15 minutos ou mais.

    

Answer 2

Uma resposta que pode se encaixar na pergunta ou simplesmente uma nota para mim mesmo para mais tarde:

Tivemos atrasos extremos nos logins de algumas das nossas sub redes. Descobriu-se que essas sub redes estavam faltando zonas DNS reversas no servidor AD. Adicionamos as zonas inversas, o AD adicionou entradas PTR automaticamente e não sofreu o atraso desde então. Pode ser coincidência também.