Winlogon ошибка 6004

Коллеги, добрый день!

Настроил новый сервер(новое железо и новый 2019) на работу с RDP через Remote desktop Session host (без посредника).

С 3 дня начались проблемы — открытые через RemoteApp программы начали зависать(ни на что не реагируют), входвыход пользователей то мгновенно происходит, то по 5 минут.

В это время если смотреть монитором ресурсов — нет никаких процессов потребляющие ресурсы, просто пустое окно с счетчики использования ресурсов(диск, сеть, память, процессор) 

До этого на стареньком сервере с 2008R2 не было такого. Железо перед деплоем гонял, ошибок не было.

В логах такие записи:

Имя журнала:   Application
Источник:      Dwminit
Дата:          15.12.2021 16:35:08
Код события:   0
Категория задачи:Отсутствует
Уровень:       Предупреждение
Ключевые слова:Классический
Пользователь:  Н/Д
Компьютер:     santa1c.okg.local
Описание:
Процесс диспетчера окон рабочего стола завершил работу (код выхода процесса: 0xe0464645, количество перезапусков: 1, ИД основного устройства отображения: RDPUDD Chained DD).
Xml события:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Dwminit" />
    <EventID Qualifiers="32770">0</EventID>
    <Level>3</Level>
    <Task>0</Task>
    <Keywords>0x80000000000000</Keywords>
    <TimeCreated SystemTime="2021-12-15T13:35:08.789926800Z" />
    <EventRecordID>5480</EventRecordID>
    <Channel>Application</Channel>
    <Computer>santa1c.okg.local</Computer>
    <Security />
  </System>
  <EventData>
    <Data>0xe0464645</Data>
    <Data>1</Data>
    <Data>RDPUDD Chained DD</Data>
  </EventData>
</Event>

Имя журнала:   Application
Источник:      Application Error
Дата:          15.12.2021 16:34:07
Код события:   1000
Категория задачи:(100)
Уровень:       Ошибка
Ключевые слова:Классический
Пользователь:  Н/Д
Компьютер:     santa1c.okg.local
Описание:
Имя сбойного приложения: dwm.exe, версия: 10.0.17763.831, метка времени: 0xd5c9fdea
Имя сбойного модуля: KERNEL32.DLL, версия: 10.0.17763.2300, метка времени: 0x1ad52138
Код исключения: 0xe0464645
Смещение ошибки: 0x0000000000017974
Идентификатор сбойного процесса: 0x6a04
Время запуска сбойного приложения: 0x01d7f1b7cb76d42b
Путь сбойного приложения: C:Windowssystem32dwm.exe
Путь сбойного модуля: C:WindowsSystem32KERNEL32.DLL
Идентификатор отчета: 3135b12a-73de-40e0-8358-aa779d9668f4
Полное имя сбойного пакета: 
Код приложения, связанного со сбойным пакетом: 
Xml события:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Application Error" />
    <EventID Qualifiers="0">1000</EventID>
    <Level>2</Level>
    <Task>100</Task>
    <Keywords>0x80000000000000</Keywords>
    <TimeCreated SystemTime="2021-12-15T13:34:07.616725100Z" />
    <EventRecordID>5477</EventRecordID>
    <Channel>Application</Channel>
    <Computer>santa1c.okg.local</Computer>
    <Security />
  </System>
  <EventData>
    <Data>dwm.exe</Data>
    <Data>10.0.17763.831</Data>
    <Data>d5c9fdea</Data>
    <Data>KERNEL32.DLL</Data>
    <Data>10.0.17763.2300</Data>
    <Data>1ad52138</Data>
    <Data>e0464645</Data>
    <Data>0000000000017974</Data>
    <Data>6a04</Data>
    <Data>01d7f1b7cb76d42b</Data>
    <Data>C:Windowssystem32dwm.exe</Data>
    <Data>C:WindowsSystem32KERNEL32.DLL</Data>
    <Data>3135b12a-73de-40e0-8358-aa779d9668f4</Data>
    <Data>
    </Data>
    <Data>
    </Data>
  </EventData>
</Event>

Имя журнала:   Application
Источник:      Microsoft-Windows-Winlogon
Дата:          15.12.2021 16:39:02
Код события:   6005
Категория задачи:Отсутствует
Уровень:       Предупреждение
Ключевые слова:Классический
Пользователь:  Н/Д
Компьютер:     santa1c.okg.local
Описание:
Подписчик уведомлений winlogon <SessionEnv> тратит слишком много времени на обработку события уведомления (Disconnect).
Xml события:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Winlogon" Guid="{DBE9B383-7CF3-4331-91CC-A3CB16A3B538}" EventSourceName="Wlclntfy" />
    <EventID Qualifiers="32768">6005</EventID>
    <Version>0</Version>
    <Level>3</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x80000000000000</Keywords>
    <TimeCreated SystemTime="2021-12-15T13:39:02.872670000Z" />
    <EventRecordID>5494</EventRecordID>
    <Correlation />
    <Execution ProcessID="0" ThreadID="0" />
    <Channel>Application</Channel>
    <Computer>santa1c.okg.local</Computer>
    <Security />
  </System>
  <EventData>
    <Data>SessionEnv</Data>
    <Data>Disconnect</Data>
    <Binary>8603FE7F</Binary>
  </EventData>
</Event>

Имя журнала:   Application
Источник:      Microsoft-Windows-Winlogon
Дата:          15.12.2021 16:40:56
Код события:   6006
Категория задачи:Отсутствует
Уровень:       Предупреждение
Ключевые слова:Классический
Пользователь:  Н/Д
Компьютер:     santa1c.okg.local
Описание:
Подписчик уведомлений winlogon <SessionEnv> потратил 173 сек. на обработку события уведомления (Disconnect).
Xml события:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Winlogon" Guid="{DBE9B383-7CF3-4331-91CC-A3CB16A3B538}" EventSourceName="Wlclntfy" />
    <EventID Qualifiers="32768">6006</EventID>
    <Version>0</Version>
    <Level>3</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x80000000000000</Keywords>
    <TimeCreated SystemTime="2021-12-15T13:40:56.599588600Z" />
    <EventRecordID>5497</EventRecordID>
    <Correlation />
    <Execution ProcessID="0" ThreadID="0" />
    <Channel>Application</Channel>
    <Computer>santa1c.okg.local</Computer>
    <Security />
  </System>
  <EventData>
    <Data>SessionEnv</Data>
    <Data>173</Data>
    <Data>Disconnect</Data>
    <Binary>801AA79D</Binary>
  </EventData>
</Event>

Имя журнала:   Application
Источник:      Microsoft-Windows-Winlogon
Дата:          15.12.2021 16:53:15
Код события:   6000
Категория задачи:Отсутствует
Уровень:       Сведения
Ключевые слова:Классический
Пользователь:  Н/Д
Компьютер:     santa1c.okg.local
Описание:
Ошибка обработки события уведомления из-за недоступности подписчика уведомлений winlogon <WSearch>.
Xml события:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Winlogon" Guid="{DBE9B383-7CF3-4331-91CC-A3CB16A3B538}" EventSourceName="Wlclntfy" />
    <EventID Qualifiers="32768">6000</EventID>
    <Version>0</Version>
    <Level>4</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x80000000000000</Keywords>
    <TimeCreated SystemTime="2021-12-15T13:53:15.037791100Z" />
    <EventRecordID>5510</EventRecordID>
    <Correlation />
    <Execution ProcessID="0" ThreadID="0" />
    <Channel>Application</Channel>
    <Computer>santa1c.okg.local</Computer>
    <Security />
  </System>
  <EventData>
    <Data>WSearch</Data>
    <Binary>D9060000</Binary>
  </EventData>
</Event>

Имя журнала:   Application
Источник:      Microsoft-Windows-Winlogon
Дата:          15.12.2021 16:40:58
Код события:   6001
Категория задачи:Отсутствует
Уровень:       Предупреждение
Ключевые слова:Классический
Пользователь:  Н/Д
Компьютер:     santa1c.okg.local
Описание:
Ошибка обработки события уведомления подписчика уведомлений winlogon <Sens>.
Xml события:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Winlogon" Guid="{DBE9B383-7CF3-4331-91CC-A3CB16A3B538}" EventSourceName="Wlclntfy" />
    <EventID Qualifiers="32768">6001</EventID>
    <Version>0</Version>
    <Level>3</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x80000000000000</Keywords>
    <TimeCreated SystemTime="2021-12-15T13:40:58.146634000Z" />
    <EventRecordID>5500</EventRecordID>
    <Correlation />
    <Execution ProcessID="0" ThreadID="0" />
    <Channel>Application</Channel>
    <Computer>santa1c.okg.local</Computer>
    <Security />
  </System>
  <EventData>
    <Data>Sens</Data>
    <Binary>F0030000</Binary>
  </EventData>
</Event>

Имя журнала:   Application
Источник:      Microsoft-Windows-Winlogon
Дата:          15.12.2021 16:40:57
Код события:   6004
Категория задачи:Отсутствует
Уровень:       Предупреждение
Ключевые слова:Классический
Пользователь:  Н/Д
Компьютер:     santa1c.okg.local
Описание:
Ошибка обработки критического события уведомления подписчика уведомлений winlogon <TermSrv>.
Xml события:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Winlogon" Guid="{DBE9B383-7CF3-4331-91CC-A3CB16A3B538}" EventSourceName="Wlclntfy" />
    <EventID Qualifiers="32768">6004</EventID>
    <Version>0</Version>
    <Level>3</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x80000000000000</Keywords>
    <TimeCreated SystemTime="2021-12-15T13:40:57.630952700Z" />
    <EventRecordID>5499</EventRecordID>
    <Correlation />
    <Execution ProcessID="0" ThreadID="0" />
    <Channel>Application</Channel>
    <Computer>santa1c.okg.local</Computer>
    <Security />
  </System>
  <EventData>
    <Data>TermSrv</Data>
    <Binary>CA080000</Binary>
  </EventData>
</Event>

и как от этого г*а избавиться(на каждого пользователя по 11 служб, у меня 20 пользователей)? Может быть такие проблемы из-за этих служб?

• Edited by

  Wednesday, December 15, 2021 3:03 PM

Hi,

Based on my research, Event ID 6001,6004,6005,6006 are related with the network connection and logon process. So I would like to confirm if there
are some logon scripts applied to this machine and the policy “Run logon scripts synchronously” is enabled. If so, please temporarily disable the policy or remove the logon scripts to check the result. Also there is a big possibility if the NIC
driver is not installed properly on the Terminal Server, I suggest that you do upgrade your NIC driver to the latest one and make sure it’s compatible with the Windows Server 2008.

Meanwhile, the following suggestion is for the others Event ID 10010 and 10023

DCOM Event ID 10010

Cause

1. NTFS permissions have been locked down.

2. Dll’s have become unregistered (check to see if they are corrupted).

3. The service failed to start or is at either starting/Stopping state (hung).

4. An application tries to restart the service repeatedly.

5. Bug in the 3rd party or custom application.

6. RPC service has «Allow Service to Interact with Desktop» checked.

7. A dependant service starts before the service throwing the error.

8. Permission of application is set incorrectly.

Resolution

1. Check the Check NTFS permissions (DCOM) .

2. With the AppGUID, find what application it is and try Re-registering exe’s (DCOM)

3. Stop and try restarting the service.

4. Disable 3rd party services and startup items, go thru the process of elimination.

5. Check for an update from the software vendor.

6. Uncheck the «Allow Service to Interact with Desktop» within the RPC service and reboot.

7. 193888 How to Delay Loading of Specific Services
http://support.microsoft.com/?id=193888 .

8. Check the DCOM Check NTFS permissions (DCOM) specific to the application.

Event ID 10023 — COM Security Policy Configuration

Check the server’s security policy

Update the security policy settings on the server to allow the requested operation to complete. The text of the event message may provide details to help
you configure the security policy. Use the Component Services administrative tool to update the server’s security policy to allow the requested operation to complete.

To perform this procedure, you must have membership in
Administrators, or you must have been delegated the appropriate authority.

To open Component Services and find the server’s security properties:

1. Click
   Start, and then click Run.
2. Type
   comexp.msc, and then click OK. If the User Account Control dialog box appears, confirm that the action it displays is what you want, and then click
   Continue.
3. To locate your computer, click
   Component Services, click Computers, and then click
   My Computer.
4. Right-click
   My Computer, click Properties, and then click the
   COM Security tab.
5. Under
   Access Permissions, click Edit Limits to check and, if necessary, change the
   Access Permissions limits on applications that determine their own permissions.
   

Under
Launch and Activation Permissions, click Edit Limits to check and, if necessary, change the absolute limit on component launch and activation permissions.

1. Use
   Edit Default for each item to adjust Access Permissions and
   Launch and Activation Permissions to allow the requested operation to complete.
   

For more information:

http://technet.microsoft.com/en-us/library/cc774175(WS.10).aspx

Thanks.

• Marked as answer by

  Thursday, February 24, 2011 5:10 AM