Wachtwoorden van gebruikers werken soms niet meer*

[renevanh]

Wij hebben een Windows domein met 1600 gebruikers over 250 werkstations.
Sinds begin dit schooljaar (het is een school) en na het importeren van alle nieuwe leerlingen gebeuren er af en toe rare dingen met betrekking tot de wachtwoorden.
Van de pakweg 500 leerlingen die per dag inloggen is dat voor ongeveer 5 per dag onmogelijk: wachtwoord onjuist. Het zijn vaak andere gebruikers waarbij dit gebeurd (dus niet steeds dezelfde die hun wachtwoord vergeten) en soms dezelfde, het lijkt vrij random.

Wanneer wij het wachtwoord resetten werkt het weer zonder problemen.

Omdat het er gemiddeld 5 per dag zijn vermoeden wij dat er iets mis is... ergens. Maar waar???

Iemand enig idee waar we zouden moeten zoeken? Wij weten het niet helemaal meer.

[eRRoR.InSiDe]

Mensen die vergeten uit te loggen als ze weg gaan en waar iemadn anders zo lief is om het wachtwoord te veranderen?

[Cai]

Zeker weten dat het wachtwoord fout is? Op scholen zijn scholieren ook wel lief genoeg om andermans account 5x in een minuut proberen in te loggen. Het gevolg is dat het account "locked out" wordt.

offtopic:
6 jarige die het principe van een DOS aanval al beheersen

[renevanh]

Cai schreef op vrijdag 09 oktober 2009 @ 11:51:
Zeker weten dat het wachtwoord fout is? Op scholen zijn scholieren ook wel lief genoeg om andermans account 5x in een minuut proberen in te loggen. Het gevolg is dat het account "locked out" wordt.

offtopic:
6 jarige die het principe van een DOS aanval al beheersen

Het is een middelbare school, dus geen 6 jarige

Maar nee, dat is niet het geval. Die optie hebben wij namelijk veel hoger gezet of uitgezet (weet ik niet meer) om ervoor te zorgen dat we op die manier niet tig keer per dag leerlingen hier hebben staan.
De accounts zijn ook niet locked, dat zou zichbaar zijn in AD.

Op de diverse testaccounts die wij zelf hebben, kunnen we het probleem niet nabootsten. Toch gaan we door het grote aantal leerlingen wat dit probleem heeft er niet vanuit dat er wachtwoorden vergeten zijn (dat gebeurd wel eens, tuurlijk, maar niet 5 per dag).

[Question Mark]

Zet auditing aan op "account logon attempts" en kijk je security eventlog na. Da's de enige manier om erachter te komen wat er precies gebeurd.

[ralpje]

Mwa, vijf per dag op 1600 gebruikers? Zou me niets verbazen als dat een gevalletje 'oeps, vergeten' is. Dat is 0,31%.

[Fish]

0.3% heel aannemelijk, part of the job zou ik zeggen.

[alt-92]

En als het zoals de TS aangeeft

Van de pakweg 500 leerlingen die per dag inloggen is dat voor ongeveer 5 per dag onmogelijk: wachtwoord onjuist.

Dan nog is dat 1%.

Desalniettemin: ga kijken of je een patroon in het aantal, tijdstip of de accounts zelf ziet.

[tc982]

te veel login pogingen te gelijkertijd? Hoeveel DC's heb je?

[elevator]

Ik pas even je topic titel aan want het gaat maar om wachtwoorden die af en toe niet werken

[Berimbau]

Toevallig mensen op dezelfde PC? Staat de tijd goed tussen PC en DC's?

[renevanh]

Dank voor jullie tips, ik ga er mee aan de slag en hou jullie op de hoogte.

Er is één DC (wat net kan... eigenlijk moet er een tweede bij). Er zit geen patroon in of iets dergelijks en voorgaande jaren hebben we er nooit zoveel gehad (eerder 2 in de maand).

[Question Mark]

renevanh schreef op vrijdag 09 oktober 2009 @ 15:12:
Er is één DC (wat net kan... eigenlijk moet er een tweede bij).

Qua performance kan ik me niet voorstellen dat een enkele DC niet 500 gebruikers in een periode van 10 minuten kan authenticeren. Qua redundancy en beschikbaarheid zijn meerdere DC's echter eigenlijk een must.

Lees de sizing whitepaper anders even door op de MS site. Ik kan momenteel enkel de white paper vinden voor Windows 2000, even de conclusie ge-quote:

At the end of lab testing, it was concluded that the following hardware configurations could be deployed to support the customer’s anticipated production environment:

• A domain controller with four processors and 512 MB of RAM can support 17,000 users for logon and network authentication.
• A Global Catalog Server with two processors and one GB of RAM can support 10,000 users for LDAP and Exchange 2000 requirements.
• A Windows 2000 Active Directory-integrated Windows 2000 DNS server with 4 processors and 1 GB of RAM can provide name resolution services for 10,000 or more users

Maar goed, meten is weten

[/offtopic]

[renevanh]

Beter laat dan nooit...

Nu, een paar weekjes later is het probleem vanzelf verdwenen. We hebben nog geen tijd gehad om er goed naar te kijken (veel te druk met nieuwe servertjes en virtualiseren van firewalls en proxies), maar al zeker een week of twee geen leerling meer gezien met deze kwestie.

Het blijft een raadsel (toch 'gebruikersfout'?)...

[the-edge]

renevanh schreef op woensdag 04 november 2009 @ 22:58:
Beter laat dan nooit...

Nu, een paar weekjes later is het probleem vanzelf verdwenen. We hebben nog geen tijd gehad om er goed naar te kijken (veel te druk met nieuwe servertjes en virtualiseren van firewalls en proxies), maar al zeker een week of twee geen leerling meer gezien met deze kwestie.

Het blijft een raadsel (toch 'gebruikersfout'?)...

Het is dan ook herfstvakantie geweest toch?
In user policy staat daar wel dat de gebruiker zelf hun wachtwoord kunnen wijzigen?