Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Restart Befehl vom Server

Frage Microsoft Windows Server

Mitglied: Ragna

Ragna (Level 1) - Jetzt verbinden

05.03.2012 um 19:50 Uhr, 6408 Aufrufe, 14 Kommentare

Hallo zusammen,

Ich habe bei einem Kunden ein kleines Problem, das mir völlig unbekannt ist.
Völlig unvermittelt sendet der Server einen Restart übers Netzwerk und einige Clients (nicht immer dieselben) starten dann neu und als Username im Login steht dann nicht mehr der vorher angemeldete User sondern der Administrator. Nach erneutem Anmelden mit dem eigentlichen User funktioniert der Client wieder völlig normal. Dieser Restart ist nicht zyklisch und auch nicht reproduzierbar. Der Spuk tritt 3-5 mal in der Woche auf. In den Eventlogs ist weder beim Client, noch beim Server eine Auffälligkeit. Die USV am Server arbeitet fehlerfrei und die Software APC Powerchute ist auch für den Fehler auszuschließen. Der Virenschutz hat keinerlei Funde gemeldet. (G-Data ClientSecurity Business).

Server: Domaincontroller (W2K3 SBS)
Clients: XP prof. SP3 (5 User)
Mitglied: Pago159
05.03.2012 um 20:41 Uhr
Hallo Ragna,

konntest du mal feststellen, ob es immer die selben "USER" trifft? Oder sind alle User betroffen?
Steht denn in der Ereignisanzeige der Client´s ein Eintrag für den Reboot? Wenn ja, was ist dort Dokumentiert?

Hast du wenn der Reboot gesendet wird noch Zeit den Reboot über die CMD abzubrechen

CMD öffnen und "shutdown -a" eintragen und enter. Oder aber in einer Batch auf den Desktop legen und per Doppelklick ausführen.

Lg Grapper
Bitte warten ..
Mitglied: Ragna
05.03.2012 um 20:46 Uhr
Hallo Grappa,
in Eventlog ist nicht zu finden und es trifft verschiedene User. Ist wie Lotto.
Es beteht keine Zeit den Reboot zu stoppen. Es wird automatisch abgemeldet und neu gestartet.
Die CMD kann ich den Usern nicht zumuten. Sie sind reine Anwender. Ich selbst war beim Restart nie anwesend.
Bitte warten ..
Mitglied: DerWoWusste
05.03.2012 um 20:59 Uhr
Moin.

Was ist denn das schon wieder ;)
Völlig unvermittelt sendet der Server einen Restart übers Netzwerk
Wär es denn zuviel verlangt, das zu erläutern? Darunter kann sich doch niemand etwas vorstellen.
Was passiert und was daran deutet darauf hin, dass der Server daran (in welcher Form?) Anteil hat?

Ich glaube zudem nicht, dass nichts im Eventlog steht. Wenn dort bei einem normalen, von Dir ausgelösten Shutdown reingeschrieben wird, dann auch bei jedem anderen. Wenn doch nicht, dann musst Du mal die Ghostbusters rufen oder wenigstens im Netzwerk Pakete mitsniffen. Auch könntest Du lokale Anmeldungen überwachen lassen und weitere Maßnahmen ergreifen wie den Admin umbenennen.

PS: Was hat die USV am Server mit den Clients zu tun?
Bitte warten ..
Mitglied: Pago159
05.03.2012 um 21:03 Uhr
Wurde denn in letzter Zeit irgend eine Software neu Installiert oder irgend etwas an der Konfiguration geändert?
Du kannst ja mal bei einem User z.B. mit "auto screen recorder 2.0" oder ähnlichen Programmen den Screen mitschneiden,
ich weis, es werden einige Daten werden, wenn du aber keine anderen anhaltspunkte hast, wäre das mal eine Idee,
um evt. weitere Informationen zu bekommen ;)

Lg Grapper
Bitte warten ..
Mitglied: Ragna
05.03.2012 um 21:17 Uhr
Hallo DerWoWusste:
Das sich niemand etwas unter " Völlig unvermittelt sendet der Server einen Restart übers Netzwerk " etwas vorstellen kann halte ich für völlig daneben, aber egal.
Der Befehl muß von Server kommen, da sehr häufig nicht nur ein Rechner neu startet, sonder mehrere absolut zeitgleich. (Vielleicht sprechen die Geräte sich ja vor Arbeitsbeginn ab.)
Im Event ist absolut nichts zu sehen. Der Tip mit den Ghostbusters ist natürlich sehr hilfreich und zeugt auch überhaupt nicht von Arroganz.

Zur Info:
USV Anlagen sind, falls konfiguriert durchaus in der Lage einen Netshutdown oder Reebot zu senden.

"
Bitte warten ..
Mitglied: Ragna
05.03.2012 um 21:27 Uhr
Hallo Grappa,
die Idee mit der Software "autoscreen recorder" finde ich klasse.
Es ist weder die Konfiguration des Servers geändert oder irgend eine Software instal. worden.
Mein Verdaht geht langsam in Richtung Trojaner. Der Virenschutz sagt zwar was anderes aber dafür ist G-Data ja bekannt.
Danke
Ragna
Bitte warten ..
Mitglied: Pago159
05.03.2012 um 21:41 Uhr
Du könntest dir auch mal einen Client schnappen und diesen mit entsprechenden Live CD´s Scannen und schauen,
ob du da etwas feststellen kannst.
Bitte warten ..
Mitglied: filippg
05.03.2012 um 21:42 Uhr
Hallo,

Das sich niemand etwas unter " Völlig unvermittelt sendet der Server einen Restart übers Netzwerk " etwas
vorstellen kann halte ich für völlig daneben, aber egal.
Nee, stimmt: da kann sich bestimmt jeder etwas drunter vorstellen - nur halt jeder etwas anderes. Auch nicht hilfreich.

Der Befehl muß von Server kommen, da sehr häufig nicht nur ein Rechner neu startet, sonder mehrere absolut zeitgleich.
(Vielleicht sprechen die Geräte sich ja vor Arbeitsbeginn ab.)
Also ist die Aussage, dass es vom Server kommt eine Vermutung, weil dir nichts besseres einfällt.
Mir z.B. würden Schwankungen in der Stromversorgung einfallen, die können auch dazu führen, dass einige Clients plötzlich neu starten.

Im Event ist absolut nichts zu sehen.
Wenn ein Befehl vom Server kommt müsste dieser eigentlich im Eventlog verzeichnet sein (initiated Shutdown...). Was mindestens da sein muss ist eine Authentifizierung des Servers im Security-Log des Clients - der nimmt Befehle ja nicht von jedem an.

zeugt auch überhaupt nicht von Arroganz.
Ach Gott, jetzt stell dich nicht so an. Da waren mehrere sinnvolle Hinweise, und das sogar im gleichen Satz. Deine Fehlerbeschreibung dagegen ist ziemlich bescheiden - wobei man von jemand, der geholfen bekommen will nun eigentlich schon erwarten können sollte, dass er das den anderen wengistens möglichst einfach macht.

Zur Info:
USV Anlagen sind, falls konfiguriert durchaus in der Lage einen Netshutdown oder Reebot zu senden.
Sicha. Aber an ein paar zufällig ausgewählte Clients? Nicht sehr wahrscheinlich. Und auch dann gilt: Du müsstest etwas im Eventlog sehen und notfalls auch mit einem Sniffer.

Gruß

Filipp
Bitte warten ..
Mitglied: DerWoWusste
05.03.2012 um 22:00 Uhr
Hallo Ragna.
Arroganz unterstelle mir bitte nicht. Es ist wohl zu erkennen, dass ich Dir Tipps zu geben versuche und Fragen stelle - bitte beantworte diese.
Was passiert und was daran deutet darauf hin, dass der Server daran (in welcher Form?) Anteil hat?
Darauf antwortest Du "Der Befehl muß von Server kommen, da sehr häufig nicht nur ein Rechner neu startet, sonder mehrere absolut zeitgleich". Nun, für mich ist da keine Verbindung zum Server zu sehen. Es könnte genau so gut ein Client sein, der sich selbst und andere runterfährt oder auch jeder für sich zur selben Uhrzeit - dafür braucht es keine Absprache, sondern nur Taskplaner und die selbe Uhrzeit. Das prüf doch bitte, um es auszuschließen.
USV Anlagen sind, falls konfiguriert durchaus in der Lage einen Netshutdown oder Reebot zu senden
Nein. USV-Anlagen können keinen "Netshutdown" senden. Eine USV meldet einem Windows-System mit geeigneter Software ein Signal und darauf hin löst Windows selbst den Shutdown aus - und das kommt unweigerlich ins Ereignisprotokoll. Ja, bei Euch nicht, ich will Dir glauben. Dennoch die Frage erneut: Was hat die USV am Server mit den Clients zu tun? Sind die Clients denn in Kommunikation mit der USV? Ist der Server denn angewiesen, weitere Clients bei Stromausfall runterzufahren? Diese Antworten brauchen wir, um weiterzukommen.

Und zu den Ghostbusters: Ich wollte Dir damit bildlich vor Augen führen, dass Sachen immer Spuren hinterlassen, welche Du suchen musst (z.B. durch sniffen). Bislang vermutest Du nur munter und das wirkt dann wie Geister jagen - nimm mir das nicht übel.
Bitte warten ..
Mitglied: Ragna
05.03.2012 um 22:13 Uhr
Hi DerWoWusste,
sorry hab vielleicht etwas überreagiert.
Wir lassen die USV mal komplett aussen vor. Deswegen habe ich auch geschrieben, diese ist ok. Die war auch zu keiner Zeit unter Verdacht.
Bei der Aussage, es komme vom Server handelt es sich nur um eine Vermutung. Ich selbst habe auch nur wenige Infos. Mir wird gesagt, die Geräte fahren runter und kommen unterm Administrator-Konto wieder zurück. Mal 2, mal 1 mal 3 Geräte. Daraufhin habe ich die Logs am Server und an den Clients geprüft und wirklich nichts gefunden. Auch nach mehrmaligen durchsehen war dort nicht auffällig. Mir wurde auch glaubhaft versichert, das die Spannungsversorgung in den Räumen stabiel ist und nicht schwankt. Die User sind nicht in der Lage einen Task zu erstellen und eine Aktion eines Dritten schliesse ich auch aus. Zur selben Uhrzeit passiert der Reboot auch nicht. Es ist kein Muster zu erkennen.
Bin in der Sache mittlerweile absolut ratlos. Es gibt keinen Ansatz wegen weniger brauchbare Hinweise von den Usern. Ich lasse im Moment die Zeiten genau dokumentieren.
Gruß
Ragna
Bitte warten ..
Mitglied: DerWoWusste
05.03.2012 um 22:41 Uhr
Hi.

Du hast noch weitaus mehr Tipps bekommen, setz die nun um. Der Hinweis mit dem zuletzt angezeigten Nutzernamen "Administrator" ist doch der dickste Fisch. Benenne nun also den Admin um. Das geht per lokaler GPO. Überwache die Anmeldeereignisse - dito. Und gib zu guter letzt auch wieder, was denn die letzten Ereignisse im Systemprotokoll vor der Uhrzeit des Neustarts sind.
Bitte warten ..
Mitglied: 60730
05.03.2012 um 22:48 Uhr
Moin,

watt iss datt denn?

Wir lassen die USV mal komplett aussen vor

Nö - du vielleicht so eine USV hat ein Log und dort screibt die alles rein (wenn es eine gute ist - zumindestens hab ivch was von APC hier gelesen)

Und "wenn" Clients und Server an der gleichen Stromquelle angeschlossen sind, dann taugen die Logs der USV zumindestens dafür um Spannungschwankungen vom Einspeisenden Netz zu erkennen.

Erst wenn das ausber ist - dann kann man das abknicken.

Was der Admin nun damit zu tun hat?
Tja ist es der lokale, oder der Domainadmin?

Sorry, aber wirklich du läßt verdammt viel Spielraum und "behauptetst" es würde nix in den Logs stehen?
edit
PvdS
/edit
Bitte warten ..
Mitglied: Pago159
06.03.2012 um 03:37 Uhr
So, für einen selbst ausgelösten Reboot oder Shutdown müsste folgendes im Eventlog eingetragen sein:

http://www.microsoft.com/technet/support/ee/transform.aspx?ProdName=Win ...

Folgede Event ID ist bei einem geplanten Reboot/Shutdown zu finden:

http://www.eventid.net/display.asp?eventid=1074&eventno=1783&so ...

Desweiteren wäre die Frage, sind evt. zu dem Reboot Zeitpunkt Updates installiert worden, welche einen Reboot vorraussetzen?

Schau dir bitte auch mal folgende Seite an:

http://www.eventid.net/
Bitte warten ..
Mitglied: Ragna
07.03.2012 um 14:23 Uhr
Hallo zusammen,

nachdem die Zeiten festgehalten worden sind, konnte ich zu den Zeiten in den Log unter System jeweils 12x die gleichen Einträge finden, danach starteten die betroffenen Clients neu :

Server:
Das Konto von Administrator in der SAM-Datenbank konnte nicht gesperrt werden, da ein Ressourcenfehler, z.B. ein Schreibfehler auf der Festplatte, aufgetreten ist. Der Fehlercode steht in den Fehlerdaten. Konten werden nach mehrmaliger falscher Kennworteingabe gesperrt. Setzen Sie deshalb das Kennwort für dieses Konto zurück.

Client:
Die Remotesitzung von Client a hat die maximal zulässigen Anmeldeversuche überschritten. Die Sitzung wird abgebrochen.

Habe nun erstmal das Administrator- Konto umbenannt und an den Clients den Remote gesperrt.
Bitte warten ..
Neuester Wissensbeitrag
CPU, RAM, Mainboards

Angetestet: PC Engines APU 3a2 im Rack-Gehäuse

Erfahrungsbericht von ashnod zum Thema CPU, RAM, Mainboards ...

Ähnliche Inhalte
Windows Server
Mailserver auf Windows Server 2012 (8)

Frage von StefanT81 zum Thema Windows Server ...

Backup
Clients als Server missbrauchen? (8)

Frage von 1410640014 zum Thema Backup ...

Heiß diskutierte Inhalte
Windows Server
DHCP Server switchen (25)

Frage von M.Marz zum Thema Windows Server ...

Grafikkarten & Monitore
Win 10 Grafikkarte Crash von Software? (13)

Frage von Marabunta zum Thema Grafikkarten & Monitore ...

Router & Routing
gelöst Empfehlung günstiges ADSL2+ nur Modem (10)

Frage von TimMayer zum Thema Router & Routing ...

Server-Hardware
Lenovo Server System X 3650 M5 Festplatten (9)

Frage von Hendrik2586 zum Thema Server-Hardware ...