SBS2011 Dienste beenden sich selbständig

[Polty 10]

Hallo zusammen,

 

habe seit einer Woche ein Phänomen auf einem SBS2011. Im EventView bekomme ich die Meldungen " Dienst "XYZ" wurde unerwartet beendet. Dies ist 291 Mal passiert". Das kommt in einer Stunde ca. 2x vor.

 

"XYZ" steht für einen beliebigen Dienst, es trifft ab häufig folgende:

"Intelligenter Hintergrundübertragungsdienst";"Computerbrowser";Zertifikatsverteilung";"Server";Benutzerprofildienst".

Es sind jedes mal 5-10 Dienste, die kurz darauf aber wieder gestartet werden, An Soft/Hardware ist nichts verändert worden. Die Dienste stehen auf Automatisch und werden vom lokalen Systemkonto gesteuert.

 

Bis jetzt habe ich schon folgende Lösungsansätze versucht bzw. hier im Forum gefunden:

- Reboot

- Virenscanner deaktiviert (System auf Viren geprüft - kein Befall) 

- Server ist auf neuestem Patch bzw. SP Stand

 

Weiß ehrlich gesagt nicht wo ich genau bei der Fehlerbehebung anfangen soll. Hatte von euch schon jemand so einen Fall?

 

Gruß

Polty

[Nobbyaushb 1.354]

Moin,

 

hmm, SBS sind immer ein bisschen anders als andere Server.

 

Welcher AV ist auf dem Server drauf?

 

In der Ereignisanzeige steht doch immer die ID und die Quelle, mal bei eventid.net geschaut?

 

;)

[Polty 10]

Danke für die schnelle Antwort Nobbyaushb,

 

ja das hab ich schon, ist immer die ID:7034/7031 und die Quelle: Service Control Manager. Für den Event hat eventid.net nicht viele Infos. Nur das mit einem Druckertreiber, die sind aber bei meinem Fall nicht betroffen...

 

Noch jemand eine Idee?

[Sunny61 772]

Nochmal die Frage: Welcher AV-Scanner ist auf dem SBS installiert und läuft ständig im Hintergrund? Welche *exakte* Version vom AV-Scanner ist installiert? Seit wann hast Du das Problem?

[Polty 10]

Installiert ist der Trend Micro Worry Free Business in der Programmversion: 17.0.2316  Pattern: 11.903.00

Die Echtzeitsuche ist aktiviert. Zum testen habe ich den kompletten Scanner aber schon mal deaktiviert - Dienste haben sich immer noch beendet.

 

Das Problem besteht seit ca. 2-3 Wochen. Wurde mir aber erst Ende letzter Woche mitgeteilt.

[Sunny61 772]

Installiert ist der Trend Micro Worry Free Business in der Programmversion: 17.0.2316  Pattern: 11.903.00

Die Echtzeitsuche ist aktiviert. Zum testen habe ich den kompletten Scanner aber schon mal deaktiviert - Dienste haben sich immer noch beendet.

Um es wirklich testen zu können, mußt Du den AV-Scanner deinstallieren. Anschließend zusätzlich noch das Removal Tool von Trenmicro drüber laufen lassen.

 

 

Das Problem besteht seit ca. 2-3 Wochen. Wurde mir aber erst Ende letzter Woche mitgeteilt.

Welche 3rd Party Dienste laufen denn sonst noch ständig im Hintergrund?

[Nobbyaushb 1.354]

Um es wirklich testen zu können, mußt Du den AV-Scanner deinstallieren. Anschließend zusätzlich noch das Removal Tool von Trenmicro drüber laufen lassen.

 

 

Welche 3rd Party Dienste laufen denn sonst noch ständig im Hintergrund?

Das wäre zumindest dann kontraproduktiv, wenn das auch der zentrale TM Worry Free Server ist.

 

Ich habe bislang sehr selten Probleme mit TM WF gehabt, andere AV´s zicken da deutlich mehr rum.

 

;)

[Polty 10]

Da gebe ich Nobby Recht,

 

es ist der zentrale TM Wory Free Server, heißt die Clients wären dann auch nicht mehr versorgt mit Pattern und was das auslöst weiß ich jetzt auch nicht so genau! Hoffe mal wenn jeder Dienst vom TM deaktiviert ist scant der auch nicht.

Aber ihr geht schon in die Richtung AV?!

 

Es laufen noch 3 3rd Party Tools die zentral genutzt werden. Eines davon hat eine SQL Datenbank, das ganze hat aber bis vor den besagten 2-3 Wochen nie Probleme gemacht. Mittlerweile habe ich die 3rd Party Tools auch auf den neuesten Stand per Update gebracht. Leider auch ohne Erfolg für die Dienst Beendigung :(

[Sunny61 772]

Das wäre zumindest dann kontraproduktiv, wenn das auch der zentrale TM Worry Free Server ist.

Naja, man kann ja auch einfach weiter im Nebel stochern, oder man fängt an Dinge auszuschließen. Und ein AV-Scanner ist nunmal ein Kandidat der gerne schuldig ist.

 

Wie willst Du einen AV-Scanner sonst ausschließen? Deaktivieren ist wie Augen zumachen und sagen, ich bin unsichtbar.

Da gebe ich Nobby Recht,

 

es ist der zentrale TM Wory Free Server, heißt die Clients wären dann auch nicht mehr versorgt mit Pattern und was das auslöst weiß ich jetzt auch nicht so genau! Hoffe mal wenn jeder Dienst vom TM deaktiviert ist scant der auch nicht.

Aber ihr geht schon in die Richtung AV?!

Was spricht dagegen, das am Abend zu testen?

 

Es laufen noch 3 3rd Party Tools die zentral genutzt werden. Eines davon hat eine SQL Datenbank, das ganze hat aber bis vor den besagten 2-3 Wochen nie Probleme gemacht. Mittlerweile habe ich die 3rd Party Tools auch auf den neuesten Stand per Update gebracht. Leider auch ohne Erfolg für die Dienst Beendigung :(

Deaktiviere die 3rd Party Dienste, starte dein Server neu probiere es aus.

[Polty 10]

OK, werde ich testen und berichten...

[Polty 10]

So, nach zwei Tagen testen kann ich nun berichten das der Server das Problem mit den sich selbst beendenden Diensten nicht mehr hat. Habe vorgestern nochmals Sicherheitsupdates installiert und den Server durchgestartet. Seit dem fahren sich die Dienste nicht mehr selbständig herunter. Warum das nun so ist - keine Ahnung!

 

Jedoch taucht seit gestern dafür eine andere beunruhigende Meldung im EventView auf, nämlich:

 

Ereignis-ID: 36888

Quelle: Schannel

 

Es wurde eine schwerwiegende Warnung generiert:40.Der interne Fehlerstatus lautet: 1205

 

Jemand eine Idee was das nun wieder bedeuten könnte? Der Fehler kommt so im 1-2 Stunden Takt.

 

Gruß

Polty

[Sunny61 772]

Zusätzlich zu den bereits installierten Sicherheitsupdates, die sollte man eigentlich immer zeitnah installieren, schau dir bitte noch die BUILD des verwendeten WSUS an. Starte dazu die WSUS.MSC und überprüfe die Build gem. WSUS-FAQ NO. 44: http://wsus.de/faq Hier siehst Du wo genau Du die Build siehst: http://www.wsus.de/images/wsus-version.png Und nein, über das ?-Menü kriegst Du *NICHT* die richtige Build angezeigt.

 

WSUS 3.0 (SP2): Build 3.2.7600.226

WSUS 3.0 (SP2) + KB2720211: Build 3.2.7600.251

WSUS 3.0 (SP2) + KB2734608: Build 3.2.7600.256

WSUS 3.0 (SP2) + KB2828185: Build 3.2.7600.262

WSUS 3.0 (SP2) + KB2938066: Build 3.2.7600.274

 

Erst wenn dir Build .274 angezeigt wird, kannst Du weitermachen. Starte den Server anschließend einmal komplett neu durch und prüf das Eventlog. Evtl. ist damit ja auch schon dein anderer Fehler weg.

 

Dein Schannel Fehler geht in Richtung Zertifikate:

http://blogs.technet.com/b/silvana/archive/2014/03/14/schannel-errors-on-scom-agent.aspx

https://social.technet.microsoft.com/Forums/windowsserver/en-US/bc2381fb-4fb0-4b74-84a0-6a3adccda8d0/schannel-eventid-36888-fatal-alert-40-error-state-12051207-etc?forum=winservergen

 

 

EDIT: Wie genau hast Du denn jetzt getestet? Hattest Du 3rd Party Dienste deaktiviert zum Test? Wenn ja, welcher war der Schuldige?

bearbeitet 10. September 2015 von Sunny61