[Angry Demon]

Helldar, Приведите ошибки из журнала событий (правой кнопкой мыши -> Копировать -> Копировать сведения как текст).

[Helldar]

Журналы Windows: Безопасность

Код:

Имя журнала:   Security
Источник:      Microsoft-Windows-Security-Auditing
Дата:          22.05.2012 16:52:03
Код события:   4625
Категория задачи:Вход в систему
Уровень:       Сведения
Ключевые слова:Аудит отказа
Пользователь:  Н/Д
Компьютер:     MYSERVER.company.domain.ru
Описание:
Учетной записи не удалось выполнить вход в систему.

Субъект:
	ИД безопасности:		система
	Имя учетной записи:		MYSERVER$
	Домен учетной записи:		COMPANY
	Код входа:		0x3e7

Тип входа:			10

Учетная запись, которой не удалось выполнить вход:
	ИД безопасности:		NULL SID
	Имя учетной записи:		administrator
	Домен учетной записи:		MYSERVER

Сведения об ошибке:
	Причина ошибки:		Неизвестное имя пользователя или неверный пароль.
	Состояние:			0xc000006d
	Подсостояние:		0xc0000064

Сведения о процессе:
	Идентификатор процесса вызывающей стороны:	0x8ed4
	Имя процесса вызывающей стороны:	C:\Windows\System32\winlogon.exe

Сведения о сети:
	Имя рабочей станции:	MYSERVER
	Сетевой адрес источника:	115.79.200.74
	Порт источника:		4536

Сведения о проверке подлинности:
	Процесс входа:		User32 
	Пакет проверки подлинности:	Negotiate
	Промежуточные службы:	-
	Имя пакета (только NTLM):	-
	Длина ключа:		0

Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена.

Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe.

В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой).

В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход.

Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным.

Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход.
	- В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход.
	- Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM.
	- Поле "Длина ключа" содержит длину созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
Xml события:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
    <EventID>4625</EventID>
    <Version>0</Version>
    <Level>0</Level>
    <Task>12544</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8010000000000000</Keywords>
    <TimeCreated SystemTime="2012-05-22T06:52:03.990188200Z" />
    <EventRecordID>29958</EventRecordID>
    <Correlation />
    <Execution ProcessID="684" ThreadID="15920" />
    <Channel>Security</Channel>
    <Computer>MYSERVER.company.domain.ru</Computer>
    <Security />
  </System>
  <EventData>
    <Data Name="SubjectUserSid">S-1-5-18</Data>
    <Data Name="SubjectUserName">MYSERVER$</Data>
    <Data Name="SubjectDomainName">COMPANY</Data>
    <Data Name="SubjectLogonId">0x3e7</Data>
    <Data Name="TargetUserSid">S-1-0-0</Data>
    <Data Name="TargetUserName">administrator</Data>
    <Data Name="TargetDomainName">MYSERVER</Data>
    <Data Name="Status">0xc000006d</Data>
    <Data Name="FailureReason">%%2313</Data>
    <Data Name="SubStatus">0xc0000064</Data>
    <Data Name="LogonType">10</Data>
    <Data Name="LogonProcessName">User32 </Data>
    <Data Name="AuthenticationPackageName">Negotiate</Data>
    <Data Name="WorkstationName">MYSERVER</Data>
    <Data Name="TransmittedServices">-</Data>
    <Data Name="LmPackageName">-</Data>
    <Data Name="KeyLength">0</Data>
    <Data Name="ProcessId">0x8ed4</Data>
    <Data Name="ProcessName">C:\Windows\System32\winlogon.exe</Data>
    <Data Name="IpAddress">115.79.200.74</Data>
    <Data Name="IpPort">4536</Data>
  </EventData>
</Event>

[Helldar]

Из ролей подключено всего 4:
* "Службы удаленных рабочих столов"

Код:

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-Windows-TerminalServices-RemoteConnectionManager" Guid="{C76BAA63-AE81-421C-B425-340B4B24157F}" EventSourceName="TermService" /> 
  <EventID Qualifiers="49152">1067</EventID> 
  <Version>0</Version> 
  <Level>2</Level> 
  <Task>0</Task> 
  <Opcode>0</Opcode> 
  <Keywords>0x80000000000000</Keywords> 
  <TimeCreated SystemTime="2012-05-21T12:22:47.000000000Z" /> 
  <EventRecordID>5176</EventRecordID> 
  <Correlation /> 
  <Execution ProcessID="0" ThreadID="0" /> 
  <Channel>System</Channel> 
  <Computer>MYSERVER.company.domain.ru</Computer> 
  <Security /> 
  </System>
- <EventData>
  <Data>Указанный домен не существует или к нему невозможно подключиться.</Data> 
  </EventData>
  </Event>

* "Hyper-V"

Код:

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-Windows-Hyper-V-VMMS" Guid="{6066F867-7CA1-4418-85FD-36E3F9C0600C}" /> 
  <EventID>14050</EventID> 
  <Version>0</Version> 
  <Level>2</Level> 
  <Task>0</Task> 
  <Opcode>0</Opcode> 
  <Keywords>0x8000000000000000</Keywords> 
  <TimeCreated SystemTime="2012-05-21T22:08:07.046729300Z" /> 
  <EventRecordID>297</EventRecordID> 
  <Correlation /> 
  <Execution ProcessID="2492" ThreadID="4040" /> 
  <Channel>Microsoft-Windows-Hyper-V-VMMS-Admin</Channel> 
  <Computer>MYSERVER.company.domain.ru</Computer> 
  <Security UserID="S-1-5-18" /> 
  </System>
- <UserData>
  <VmlEventLog xmlns:auto-ns2="http://schemas.microsoft.com/win/2004/08/events" xmlns="http://www.microsoft.com/Windows/Virtualization/Events" /> 
  </UserData>
  </Event>

* "Службы печати и документов"
* "Файловые слыжбы": без ошибок

[Angry Demon]

Журналы Windows: Безопасность

Только здесь есть ошибки/предупреждения?

[Helldar]

Есть 4 роли:
* "Службы удаленных рабочих столов"
* "Hyper-V"
* "Службы печати и документов"
* "Файловые службы"

Из них ошибки/предупреждения показывает в:
* "Hyper-V"
* "Службы печати и документов"
* "Службы удаленных рабочих столов"

[Angry Demon]

Helldar, при чём тут роли? Я вас про журналы событий спрашиваю. Система, Приложения - не?

[Helldar]

Angry Demon, чуть выше выложил последнюю запись "Журналы Windows: Безопасность".
В остальных журналах ни ошибок, ни предупреждений нет.

[Angry Demon]

Helldar, проверьте, DNS и вообще КД у вас корректно работает?

[Helldar]

Неделю назад было так:

в сети 3 сервера:
1) Active Directory под Windows 2008 Server R2 x64 Standart
2) MYSERVER под Windows 2003 Enterprise x64
3) 1C Server под Windows 2003 Enterprise x64

На MYSERVER вышел из строя один из винтов RAID-массива и мной было принято решение заменить оба винчестера на другие и, в следствие чего, установить более новую ОС (все равно устанавливать).

Сейчас ситуация следующая:
в сети также 3 сервера:
1) Active Directory под Windows 2008 Server R2 x64 Standart
2) MYSERVER под Windows 2008 Server R2 x64 Enterprise
3) 1C Server под Windows 2003 Enterprise x64

Контроллер домена выходил из строя месяца 3 назад - ошибки на винчестерах. Восстановил работу, проблем не стало.
Моя текущая проблема появилась вчера (менял жесткие диски 18 числа, за выходные никто не работал). Вот, думаю в какую сторону смотреть.

Думаете проблема в контроллере домена?
После переустановки ОС присвоил серверу те же IP-адреса и то же имя компьютера.

Кстати, при установке лицензий переборщил и добавил лицензию для 2003 Windows со старой ОС...
Сегодня после работы удалил лицензии и заново установил нужную (CAL per device on Windows 2008 Server R2).
Во всяком случае, заходить стало чуть-чуть быстрее, нежели раньше...