Bluescreen bei einem Win2003 Server!

[miseli 10]

Morgen zusammen

Ich habe da ein dringendes Problem! Komme leider nicht weiter.

Ich habe einen Domänen Controller mit Windows Server 2004 SP1. Diverse Clients. Inkl. exchange und Veritas installiert.

Bis vor einem Monat lief er ohne Probleme, was ich gesehen habe, auf ihm waren die automatischen Updates aktiviert, was ich jetzt ausgeschalten haben! D.h. am 13.07.06 hat er zwei Sicherheitsupdate installiert: KB914388 und KB917159. Am 18.07.06 hatte er den ersten Bluescreen.

 

Der heutige Bluescreen sieht so aus:

 

Ereignistyp: Fehler

Ereignisquelle: System Error

Ereigniskategorie: (102)

Ereigniskennung: 1003

Datum: 15.08.2006

Zeit: 15:12:20

Benutzer: Nicht zutreffend

Computer: FRWIDC01

Beschreibung:

Fehlercode 1000008e, 1. Parameter c0000005, 2. Parameter 00000000, 3. Parameter b9fabb40, 4. Parameter 00000000.

 

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.

Daten:

0000: 53 79 73 74 65 6d 20 45 System E

0008: 72 72 6f 72 20 20 45 72 rror Er

0010: 72 6f 72 20 63 6f 64 65 ror code

0018: 20 31 30 30 30 30 30 38 1000008

0020: 65 20 20 50 61 72 61 6d e Param

0028: 65 74 65 72 73 20 63 30 eters c0

0030: 30 30 30 30 30 35 2c 20 000005,

0038: 30 30 30 30 30 30 30 30 00000000

0040: 2c 20 62 39 66 61 62 62 , b9fabb

0048: 34 30 2c 20 30 30 30 30 40, 0000

0050: 30 30 30 30 0000

 

Ansonsten hat der Server keine weiteren nennenswerten Fehlermeldungen, alles sauber! Hardware meldet er auch nichts! Habe aber noch nicht speziell getestet. Ansonsten wurde nichts neu installiert, und auch die Hardware wurd nicht verändert.

Inzwischen sind es 5 bluescreens, einzig der 3. Parameter hat sich geringfügig verändert, ausser bei den beiden letzten nicht, ansosnten sind es dieselben Meldungen. Ich weiss im moment wirklich nicht mehr weiter!

Gruss und Danke

Marco

[marka 584]

Suche im Verzeichnis %systemroot%\minidump mal nach *.dmp - Dateien.

Das sind Dateien, die bei einem Savedump zur Diagnose erstellt werden. Diese kann man mit den Debugging Tools for Windows (Kostenlos bei Microsoft downloadbar)

Auswerten.

Hinweis: Zur korrekten Auswertung benötigst Du auch die Symboldateien, die abhängig vom Betriebssystem sind, auf dem der Dump erstellt wurde.

Downloadgröße insgesamt um die 200 MB

Infos Debugging Tools bei Microsoft

[miseli 10]

Hallo marka, was meinst du mit den "Symboldateien"? Anhand der Fehlermeldung oben, kann man nichts konkretes rausfinden? Gruss und Danke Marco

[Operator 10]

Hi,

 

alternativ zippe doch mal die letzte .dmp Datei, die erstellt wurde bzw. die zum Absturzzeitpunkt passt. Dann werte ich den Dump kurz aus und poste die wesentlichen Erkenntnisse. Soweit ich weiß sind in den Minidumps keine sensiblen Daten zu finden. Anders im vollständigen Dump, der den kompletten Speicher zum Absturzzeitpunkt enthält.

 

Gruß

Andre

[miseli 10]

Hey vielen Dank, da ist mir doch schon viel wohler, werde es organisieren, danke! Gruss marco

[miseli 10]

Hi,

 

alternativ zippe doch mal die letzte .dmp Datei, die erstellt wurde bzw. die zum Absturzzeitpunkt passt. Dann werte ich den Dump kurz aus und poste die wesentlichen Erkenntnisse. Soweit ich weiß sind in den Minidumps keine sensiblen Daten zu finden. Anders im vollständigen Dump, der den kompletten Speicher zum Absturzzeitpunkt enthält.

 

Gruß

Andre

 

Vielen Dank nochmal Operator

Ich habe die Datei als anhang hochgeladen, ist dies richtig so?

Gruss und Danke

Marco

Mini081506-01.zip

[Operator 10]

Hi miseli,

 

sieht erst mal gut aus :) Ich warte auf die Freischaltung durch die Mods und werde heute nachmittag wohl dazu kommen den Dump auszuwerten.

 

Gruß

Andre

[Operator 10]

*schubs*

@Mods: Spricht was gegen die Freischaltung?

[Operator 10]

*schubs*

@Mods: Spricht was gegen die Freischaltung?

[Operator 10]

Danke für die Freischaltung :)

Ich hab mir den Dump mal ein wenig angesehen und ein Blick auf die geladenen Treiber geworfen.

Die Fehlermeldung in deinem Log und im Dump deuten auf einen fehlerhaften Kernelmode-Treiber hin. Nur, da Du an Deinem System in letzter Zeit nichts geändert hast, gehe ich mal davon aus, daß Software wie TrueImage etc. auf deinem Server nichts ausrichten (und vermutlich zur Absturzzeit auch nicht aktiv waren).

Das einzige, daß mir momentan in den Sinn kommt ist Dein Norman Antivirus.

Normalerweise sorgt man ja dafür, daß die Engine up-to-date bleibt. Vielleicht hat aber eins der letzten Updates dafür gesorgt, daß Dein DC häufiger mal crashed. Ich finde zwar nichts bekanntes dazu im Internet, aber vielleicht bringst Du die Engine nochmal auf einen aktuellen Stand oder falls es die Neueste ist, vielleicht einen Schritt zurück.

Falls möglich deaktiviere den Echtzeitschutz temporär mal für eine gewisse Zeit, um zu sehen, ob's immer noch knallt. Das ganze geht natürlich nur, wenn Du mit dem erhöhten Sicherheitsrisiko in dieser Zeit leben kannst (Rückversichern bei Chef?).

 

Generell kann ich noch feststellen, daß ziemlich viel Zusatzsoftware auf deinem DC installiert ist, was natürlich die Fehlersuche erschwert. Die komplette Liste der geladenen Treiber hänge ich mal als Textdatei an, damit der Thread nicht zu lang wird.

 

Vielleicht hast Du ja ein wenig mehr Zeit als ich und googlest mal nach den einzelnden .sys Dateien. Vielleicht hab ich ja was auffälliges übersehen.

 

Gruß

Andre

modules.txt

[miseli 10]

Danke für die Freischaltung :)

Die Fehlermeldung in deinem Log und im Dump deuten auf einen fehlerhaften Kernelmode-Treiber hin. Nur, da Du an Deinem System in letzter Zeit nichts geändert hast, gehe ich mal davon aus, daß Software wie TrueImage etc. auf deinem Server nichts ausrichten (und vermutlich zur Absturzzeit auch nicht aktiv waren).

Das einzige, daß mir momentan in den Sinn kommt ist Dein Norman Antivirus.

Normalerweise sorgt man ja dafür, daß die Engine up-to-date bleibt. Vielleicht hat aber eins der letzten Updates dafür gesorgt, daß Dein DC häufiger mal crashed. Ich finde zwar nichts bekanntes dazu im Internet, aber vielleicht bringst Du die Engine nochmal auf einen aktuellen Stand oder falls es die Neueste ist, vielleicht einen Schritt zurück.

Falls möglich deaktiviere den Echtzeitschutz temporär mal für eine gewisse Zeit, um zu sehen, ob's immer noch knallt. Das ganze geht natürlich nur, wenn Du mit dem erhöhten Sicherheitsrisiko in dieser Zeit leben kannst (Rückversichern bei Chef?).

Gruß

Andre

 

hallo André

Vielen Dank erst mal für deine spontane Hilfe, war echt froh!

Dann, Hardware würdest vollkommen auschliessen? Ich fand ja in diese Richtung auch nichts. Auf den Virenscanner bin ich bis jetzt auch nicht gekommen, wäre aber eine Möglichkeit, das stimmt, die Updates von MS schliesst auch völlig aus? Das die was hervorrufen könnten?

Im Moment haben wir einen Scandisk ausgeführt und div. Scans, und die waren i.o. Und seit dem 15.08. ist wieder Ruhe.

Das ist leider so, das auf dem DC recht viel läuft, was ganz klar immer eine Fehlerquelle sein kann. Aber diese Firma ist natürlich auch einmal mehr am Geld sparen.

Ich schicke dir die dumps der anderen Bluescreens, ev. kannst du da was schlaues rauslesen im vergleich zu den anderen. Natürlich nur wenn du Zeit findest oder willst :-). Bin so schon sehr froh, was du mir geholfen hast!

Gruss und Danke Marco

Server Datei für Spirig 08.2006.zip

[schradla 10]

Hi,

 

mal was grds.: Wenn Du wirklich nur eine einzige Maschine in Betrieb haben solltest, dann versuch wenigstens einen zweiten DC in Betrieb zu nehmen und wenn es nur ein leistungsschwacher PC ist, der ausgemustert wurde.

 

Gruß

[Operator 10]

Hi,

 

kein Problem, helfe doch gern ;)

 

Wenn das wirklich dein einziger DC ist, muss ich schradla recht geben. Hauptsache Du hast 2 davon. Der sollte dann auch Globaler Katalog sein.

 

MS Updates, Hardwarefehler etc. sind nie ganz auszuschließen.

Nur bei MS Updates denke ich mir immer, daß viele andere die Probleme dann auch haben sollten bzw. es dazu einen Artikel bei MS geben sollte (den ich nicht gefunden habe).

Hardwarefehler sind immer schwer zu lokalisieren, passen aber nicht ganz zum Bluescreen. Defekter Speicher kommt hier in Frage, weil ein Zugriff im RAM nicht erfolgen konnte/erlaubt wurde. Gründe dafür gibt es viele. Falsche Adressierung im Treiber, kaputter RAM.

 

Vielleicht ist es auch ein Virus/Trojaner etc. Du kannst morgens/abends ja mal den DC im Abgesicherten Modus hochfahren und einen Komplettcheck übers System laufen lassen.

Laufen evtl. sonstige Dienste auf dem Server, die Du temporär deaktivieren könntest, falls der Server weiter crashed?

 

Die Dumps werte ich aus, sobald sie freigeschaltet wurden.

 

Gruß

Andre

[miseli 10]

Hi,

 

kein Problem, helfe doch gern ;)

 

Wenn das wirklich dein einziger DC ist, muss ich schradla recht geben. Hauptsache Du hast 2 davon. Der sollte dann auch Globaler Katalog sein.

Gruß

Andre

 

Danke für die prompte antwort

Sorry, für die ****e Frage, wie haben relativ viele so einzelne Server drin. Wie würdet ihr denn einen zweiten DC einbinden, bzw. installieren? Sobald der einte ausfällt springt der 2. ein? mit ADS replizieren usw.? Das mit dem globalen Katalog ist mir jetzt neu?

Das allgemeine Problem wo halt immer ist, das der kunde schlicht kein Geld in die hand nehmen will, und einen zweiten Server als Hardware ist noch das geringste problem, die installationen usw. das kostet.

Vielen Dank auch noch für die Auswertung.

Gruss marco

[Operator 10]

Hi,

 

gerade so wichtige Server sollte man redundant auslegen. Zumindest wenn der Kunde will, daß alles reibungslos funktioniert. Eine Festplatte, Netzteil etc. fällt immer mal aus. Sollen die Anwender in der Zeit weiterarbeiten können (reibungslos) oder nicht?

 

Einen zweiten DC ist ganz einfach. Per dcpromo zum DC erheben und ihn an der Domain teilhaben lassen. Dann noch DNS installieren (so daß das AD-integrierte DNS mitgenutzt werden kann). Beide DNS Server bei den Clients eintragen (bzw. via DHCP übergeben). Dann noch in AD Standorte und Dienste in den NTDS-Settings des entsprechenden Servers den Haken bei "Globaler Katolog" setzen. Dieser wird für die Anmeldung benötigt.

Den Rest regelt AD von selbst, sofern alle Server an einem Standort (bzw. über LAN) verbunden sind.

Ist aber nur ne Kurzanleitung, die auch unvollständig sein kann. Nur eine grobe Planung.

 

Aber ich stimme Dir zu. Die meisten Kunden wollen erst investieren, wenn die K**** am Dampfen ist ;)

 

Gruß

Andre