RD Gateway weigert verbindingen tijdens piekuren

Welkom bij Microsoft Q&A!

Bedankt voor het delen van de gedetailleerde informatie.

Op basis van uw beschrijving geldt dat wanneer uw RD Gateway tijdens piekuren verbindingen begint te weigeren en u fouten ziet zoals NPS Authentication Timeout, het probleem vaak verband houdt met een knelpunt in de authenticatieverwerking van Network Policy Server (NPS) en niet met IIS zelf. Dit komt vooral voor in omgevingen die gebruikmaken van RADIUS-authenticatie en de Microsoft Entra MFA NPS Extension.

Een aanbevolen aanpak is om het aantal gelijktijdige authenticatieaanvragen dat door NPS kan worden verwerkt te verhogen door de registerwaarde MaxConcurrentApi op de NPS-server te configureren. Met deze instelling kunnen meer authenticatieaanvragen tegelijkertijd tussen NPS en de domeincontroller worden verwerkt.

• Registerlocatie

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

• Maak de volgende waarde aan of wijzig deze

Waardenaam: MaxConcurrentApi

Type: REG_DWORD

Waardegegevens: 150

Nadat u deze wijziging hebt aangebracht, start u de service Netlogon opnieuw op of herstart u de server zodat de nieuwe instelling van kracht wordt. Het wordt aanbevolen om na het verhogen van deze waarde de prestaties van de domeincontroller te monitoren, omdat te hoge instellingen de authenticatiebelasting op domeincontrollers kunnen verhogen.

Als u daarnaast RD Gateway met de Microsoft Entra MFA NPS Extension gebruikt, controleer dan of de RADIUS-time-out die is geconfigureerd tussen RD Gateway en NPS voldoende hoog is. Het wordt aanbevolen om voldoende tijd toe te staan voor zowel de primaire authenticatie als de MFA-verificatie. In veel implementaties wordt een time-outwaarde van 30 tot 60 seconden gebruikt om authenticatietime-outs tijdens perioden van hoge belasting te helpen voorkomen.

Ik wil graag de volgende aanbevolen controles delen:

1. Verhoog de waarde MaxConcurrentApi op de NPS-server.
2. Controleer de gebeurtenislogboeken van NPS, Security en Netlogon op tekenen van authenticatievertragingen of knelpunten.
3. Controleer de configuratie van de RADIUS-time-out tussen RD Gateway en NPS.
4. Monitor de prestaties van de domeincontroller, aangezien NPS-authenticatie uiteindelijk afhankelijk is van tijdige reacties van de domeincontroller.

Raadpleeg voor meer informatie:

RDG integreren met de NPS-extensie voor meervoudige verificatie van Microsoft Entra - Microsoft Entra ID | Microsoft Learn

Verhoog het aantal gelijktijdige verificaties verwerkt door NPS | Microsoft Learn

prestaties afstemmen voor NTLM-verificatie - Windows Server | Microsoft Learn

Als deze informatie nuttig voor u is, klik dan op Accept Answer.

Bedankt voor het gebruik van Microsoft Q&A.