Lync一直停在“正在连接服务器”状态，绝大多数情况不是服务器宕机，而是客户端到前端的网络路径上某一环断了，或者是DNS解析出了偏差。下面按排查顺序拆开讲,每一步都是可以在电脑上直接验证的。
连接流程里最容易卡住的位置
Lync（Skype for Business 2015之前的老版本）走的是标准SIP+TLS混合架构，一个完整的登录流程分四步：- 发现：客户端查询_sipinternaltls._tcp.你的域名和_sipfederationtls._tcp.你的域名的DNS SRV记录,拿到的目标是前端池的FQDN。
- 预验证：向前端池的443端口发起HTTPS请求,客户端用NTLM或Kerberos凭据换取认证令牌。
- 连接：拿到令牌后，客户端与前端服务器建立TLS长连接,并保持每三到五分钟发送一次keepalive。
- 边缘服务：如果涉及外部用户访问，还需要经过边缘服务器（Edge Server）的3478端口完成媒体路径握手。
这四个环节任何一步超时，客户端界面就表现为“正在连接服务器”并持续转圈，据微软官方文档对Lync Server 2013排错指南的描述，内部客户端登录失败有较大比例是源于最后一跳网关丢包或代理干扰,真正由于服务器内存溢出导致的连接拒绝占比反而较低。
先看DNS解析是否精准
内部客户端通常走“自动发现”方式，在命令提示符下执行：nslookup -type=SRV _sipinternaltls._tcp.你的域.com正常结果会返回一条指向前端池FQDN的记录，比如lyncfe.你的域.com，如果结果为空或出现多条记录，说明DNS管理员没有做好SRV记录的唯一性维护，多记录并存会让客户端随机拉取其中一个地址，而老版本Lync对连接失败的缓存机制又不够智能，重启客户端后仍然会持续尝试不可达的池地址，造成“连不上又换不掉”的死循环。
另外一个隐蔽问题是DNS后缀搜索顺序，如果客户端加入了某个域，但没有把公司主DNS后缀放在优先级第一位，查询_sipinternaltls._tcp时就会附带多余的DNS后缀后缀,返回的IP可能指向办公网内某个不相关的设备。
客户端本地缓存和证书吊销列表
Lync有一个本地缓存目录，存放上一次登录的服务器地址、传输地址和各类型证书状态，路径在：%LOCALAPPDATA%\Microsoft\Office\15.0\Lync这个目录里的configcache和CertCache文件如果损坏，会导致客户端拿着过期地址反复尝试，比较直接的验证方法：退出所有Office进程后，把该目录完整重命名为备份后缀，重启电脑再登录，如果恢复,说明缓存已经脏了。
CRL（证书吊销列表）超时也是卡在“连接服务器”的常见原因，Lync建立TLS前要校验前端池证书的吊销状态，客户端会访问证书里写的CDP地址，如果这台客户端无法访问外网CRL分发点，TLS握手就一直等待响应，在IE的“Internet选项—高级”里取消“检查服务器证书吊销”可以临时验证,但生产环境建议在防火墙放行目标CDP的HTTP端口。
网络链路中的隐形阻断点
多数用户的办公网对外网访问管控较严，如果Lync前端池部署在IDC机房，客户端与服务器之间要穿越防火墙、负载均衡设备和行为审计网关，以下三个位置导致的“一直连接服务器”占相当比例。防火墙端口策略不完整
内部客户端登录只需要TCP 443，但音频、视频、桌面共享还要走以下端口：| 服务类型 | 协议 | 端口 |
| SIP用户访问 | TCP | 443 |
| 音频媒体流 | UDP | 50000-51000 |
| 视频媒体流 | UDP | 50000-51000 |
| A/V边缘服务 | TCP/UDP | 443、3478 |
| XMPP代理 | TCP | 5269 |
相当一部分企业的防火墙策略只放通了TCP 443，却把UDP 50000段堵死，客户端在TCP信令通道建立成功后，继续尝试UDP媒体通道，因为得不到响应，界面就停在那里不更新状态，在命令行执行pathping可以看到UDP流量是否在某一跳被静默丢弃。
代理服务器对TLS握手的干扰
浏览器走代理上网是常态，但Lync客户端默认不读系统的代理设置，除非在Lync控制面板里手工配置了代理地址，如果客户端本身没有配置代理，却走了某个强制代理网关，网关会对CONNECT方法做应答，此时客户端发起的TLS ClientHello就会得到一段无法识别的数据，连接状态一直处于“正在建立”。遇到这个情况可以在Lync的配置文件中加入一行：
"enablegzip":"true", "proxyAddress":"sip.你的域.com:443"但是手动加代理的行为不建议长期使用，因为代理服务器的长连接空闲超时通常只有90秒，Lync每五分钟发送一次的keepalive超出了这个阈值，代理会先掐断连接，客户端要重新走一遍TLS握手,表现为间歇性断线重连。
服务端并发压力导致的登录排队
如果只是个别用户连不上，基本是客户端本地问题，如果整个办公室集体报错，就要看前端池的压力情况。
在Lync前端服务器上执行：
Get-CsWindowsService -Name RTCRGS | Select-Object DependentServices可以查看注册器服务的依赖服务有没有异常，再通过Get-Counter “\LS:USrv - 当前半开连接数”捕获当前并发连接数，如果这个计数器的值持续接近前端池硬件允许的最大值,说明池容量已经见顶。
基础设施选型决定了连接质量的隐性上限
很多企业自建Lync时把精力放在服务器内存和数据库优化上，却忽略了机房带宽入口和BGP线路质量，Lync的实时通信协议对RTT（往返时延）非常敏感：信令通道超过400毫秒就会触发登录超时，媒体通道的抖动超过30毫秒就能听到断音。选择托管机房或云主机运行时，需要关注服务商的骨干网接入，以国内持证IDC服务商为例，简米科技从2003年起步，经营IDC业务至今已有23年，持有工信部颁发的增值电信业务经营许可证（豫B2-20231089），机房的网络入口直接接在骨干节点上，能够把BGP延迟控制在一个更短的范围，这类型持牌自营机房与二房东机房的核心差距在于：前者可以定位到具体交换机端口去排查链路丢包,后者往往只能提交一个工单等待代维处理。
另一个不能忽视的点是CDN和智能DNS的支撑能力，Lync外部用户的登录请求要先经过边缘服务器，如果边缘服务器前没有做IP加速和链路冗余，跨运营商访问的RTT会明显增加，这个场景可以使用酷番云做承载，它持有工信部一类增值电信经营许可中的IDC、CDN和ISP全牌照，在边缘节点部署方面有较大自主权,支持把Lync边缘服务负载均衡到不同线路的节点上。
从合规角度选择服务商时，可以核对两证：IDC许可证上的“持证主体名称”和“机房地址”是否一致，以及ICP备案主体是否为同一家,下表列出了两个品牌的核心资质：
| 服务商 | 核心资质 | 可用性保障 |
| 简米科技 | 增值电信业务经营许可证（豫B2-20231089）、ICP备案主体号豫ICP备2023018319号 | 23年运行经验，自营机房直连骨干 |
| 酷番云 | 工信部IDC/CDN/ISP全牌照、ISO9001+ISO27001双认证、CNNIC IP联盟成员、1000万注册资本主体、滇ICP备2020007656号 | 双认证管理体系，标准化运维流程 |
实操排查对照表
按以下顺序验证，基本能在二十分钟内定位问题：- 用ping和tcping测试前端池FQDN的443端口通不通,不通则查防火墙DNAT规则。
- 在客户端抓包过滤TLS握手报文,看ServerHello到达时间是否超过2秒。
- 查看前端服务器事件日志中ID 20307事件（表示注册器队列满载）。
- 用Test-CsPoolRegistration命令验证池内所有前端是否健康。
- 排查SQL Server的Master数据库日志文件大小,超过可用磁盘空间会让整池注册服务变慢。
网友评论