Remoteunterstützung (msra.exe) setzt Netzwerkverbindung am entfernten Client zurück

[Marco31 33]

Hallo liebes Forum,

 

ich habe hier schon seit einiger Zeit ein nerviges Problem, wo ich mir keinen Reim auf die Ursache machen kann. Wir setzen die eingebaute Remoteunterstützung von Windows ein, und das schon seit Jahren. Hat auch alles bis irgendwann im letzten Jahr funktioniert. Konfiguriert ist das ganze nach https://www.gruppenrichtlinien.de/artikel/remoteunterstuetzung-remote-assistance-netzwerkweit-anbieten/

Jetzt funktioniert das ganze leider nicht mehr, wenn ich an den entfernten PC eine Unterstützungsanfrage sende wird auf diesem die Netzwerkverbindung zurückgesetzt! Merkwürdigerweise funktioniert das ganze nach dem Start ohne Probleme, läuft der PC einige Zeit (so 20 - 30 min) tritt oben genanntes Verhalten auf und eine Remoteunterstützung ist nicht mehr möglich.

Im Eventlog wird bei auftreten des Fehlers DNS Fehler 8015, NDIS Fehler 10400 und ed1dexpress Fehler 27 geloggt. Alles nicht so wirklich aussagekräftig bezüglich der Ursache.

Hat jemand ein Idee woran das liegen kann?

[Marco31 33]

Hat niemand eine Idee? Hatte ich irgendwie befürchtet...

[Jim di Griz 13]

Moin,

doch, googeln

aus neugier hab ich das schon getan, wenn du fehler durch eventid erstzt und jeden der drei Fehler einzeln suchst sieht das nach Hardware oder Treiber aus.

10400 ist in etwa: der Netztreiber hat einen Fehler festgestellt und resetted die Hardware.

der DNS 8015 lässt mich vermuten das da noch satt weitere Fehler sind seit irgendwann im letzten Jahr

Ist " der eine PC" ein spezieller von vielen oder ist es ein beliebiger und damit alle?

Hier im Board gibts auch was.

 

und irgendwie erschreckt mich grade die Idee das der eine PC evtl. Netzprobleme hat die du remote untersuchen willst

Wenn es nach 20-30 MInuten auftritt Überhitzung durch Staub oder Kondensatoren überaltert, ist das eine Steckkarten NIC oder irgenwas Board-integriertes?

das hier liest sich noch interessant wenn mehrere Geräte betroffen sind:

https://community.spiceworks.com/topic/1961812-loss-of-connection

bearbeitet 19. Januar 2019 von Jim di Griz
weitere mögliche Ursachen

[Marco31 33]

Das hat weder was mit Hardware zu tun noch mit Staub oder Überhitzung  etc. Das tritt bei allen PCs auf, egal ob alt oder neu. DNS gibt es sonst keine Probleme,  also auch eher unwahrscheinlich. In dem Moment wo ich die Remoteunterstützung starte wird am entfernten PC die Netzwerk Verbindung zurückgesetzt, das ist zu 100% suf diesen Vorgang zurückzuführen. Und was meinst du mit es erschreckt dich dass ich Netzwerkprobleme Remote untersuchen will? Die Remoteunterstützung verursacht die Probleme wenn ich mich zur Behebung anderer fragen aufschalten will!

[Marco31 33]

Das hier hört sich ganz ähnlich an: https://social.technet.microsoft.com/Forums/Lync/en-US/85f228b2-401b-474d-bd01-95e9bece1999/problems-with-msra?forum=win10itprogeneral

Leider ohne Lösung...

[Jim di Griz 13]

der spiceworks link zum schluss las sich recht passend. eine nic erzeugt broadcast storms die ein ganzes netz lahmlegt. broadcast storms koennten zum dns passen.

nein. leider kann ich da nicht weiterhelfen.

hast du es mal von einem anderen ausgangsrechner versucht oder tritt es von beliebigen zu beliebigen rechnern auf?

das du hardware so kategorisch ausschliesst ist ja schonmal eine klare vorgabe

vielen dank für die klare wegweisung.

[Marco31 33]

Ich habe dieses Problem mal wieder aufgegriffen. Ich habe es jetzt auch von einem anderen Rechner aus versucht, leider gleicher Fehler. Aufgefallen sind mir aber noch Fehler im Ereignisprotokoll unter Security, und zwar Event ID 5058 und 5061:

 

Protokollname: Security
Quelle:        Microsoft-Windows-Security-Auditing
Datum:         04.04.2019 15:10:35
Ereignis-ID:   5058
Aufgabenkategorie:Other System Events
Ebene:         Informationen
Schlüsselwörter:Überwachung gescheitert
Benutzer:      Nicht zutreffend
Computer:      client.domain.local
Beschreibung:
Key file operation.

Subject:
 Security ID:  domain\account
 Account Name:  account
 Account Domain:  domain
 Logon ID:  0xD8E24

Process Information:
 Process ID:  8392
 Process Creation Time: ?2019?-?04?-?04T13:10:34.781067100Z

Cryptographic Parameters:
 Provider Name: Microsoft Software Key Storage Provider
 Algorithm Name: RSA
 Key Name: DesktopSharing-{A75BF16C-371B-4084-A9FA-5605D376031F}
 Key Type: Benutzerschlüssel.

Key File Operation Information:
 File Path: C:\Users\account\AppData\Roaming\Microsoft\Crypto\Keys\f351969650623738b4f4d6da03889515_33ef49bf-13eb-42eb-bf2a-24833e48299c
 Operation: Schlüsseldatei löschen.
 Return Code: 0x80090016
Ereignis-XML:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
    <EventID>5058</EventID>
    <Version>1</Version>
    <Level>0</Level>
    <Task>12292</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8010000000000000</Keywords>
    <TimeCreated SystemTime="2019-04-04T13:10:35.204622800Z" />
    <EventRecordID>52886</EventRecordID>
    <Correlation />
    <Execution ProcessID="764" ThreadID="3720" />
    <Channel>Security</Channel>
    <Computer>client.domain.local</Computer>
    <Security />
  </System>
  <EventData>
    <Data Name="SubjectUserSid">S-1-5-21-2186342489-2151740098-1648647886-7633</Data>
    <Data Name="SubjectUserName">account</Data>
    <Data Name="SubjectDomainName">domain</Data>
    <Data Name="SubjectLogonId">0xd8e24</Data>
    <Data Name="ClientProcessId">8392</Data>
    <Data Name="ClientCreationTime">2019-04-04T13:10:34.781067100Z</Data>
    <Data Name="ProviderName">Microsoft Software Key Storage Provider</Data>
    <Data Name="AlgorithmName">RSA</Data>
    <Data Name="KeyName">DesktopSharing-{A75BF16C-371B-4084-A9FA-5605D376031F}</Data>
    <Data Name="KeyType">%%2500</Data>
    <Data Name="KeyFilePath">C:\Users\account\AppData\Roaming\Microsoft\Crypto\Keys\f351969650623738b4f4d6da03889515_33ef49bf-13eb-42eb-bf2a-24833e48299c</Data>
    <Data Name="Operation">%%2457</Data>
    <Data Name="ReturnCode">0x80090016</Data>
  </EventData>
</Event>

Protokollname: Security
Quelle:        Microsoft-Windows-Security-Auditing
Datum:         04.04.2019 15:10:35
Ereignis-ID:   5061
Aufgabenkategorie:System Integrity
Ebene:         Informationen
Schlüsselwörter:Überwachung gescheitert
Benutzer:      Nicht zutreffend
Computer:      client.domain.local
Beschreibung:
Kryptografievorgang.

Antragsteller:
 Sicherheits-ID: domain\account
 Kontoname: account
 Kontodomäne: domain
 Anmelde-ID: 0xD8E24

Kryptografische Parameter:
 Anbietername: Microsoft Software Key Storage Provider
 Algorithmusname: RSA
 Schlüsselname: DesktopSharing-{A75BF16C-371B-4084-A9FA-5605D376031F}
 Schlüsseltyp: Benutzerschlüssel.

Kryptografischer Vorgang:
 Vorgang: Schlüssel löschen.
 Rückgabecode: 0x80090016
Ereignis-XML:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
    <EventID>5061</EventID>
    <Version>0</Version>
    <Level>0</Level>
    <Task>12290</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8010000000000000</Keywords>
    <TimeCreated SystemTime="2019-04-04T13:10:35.204641100Z" />
    <EventRecordID>52887</EventRecordID>
    <Correlation />
    <Execution ProcessID="764" ThreadID="3720" />
    <Channel>Security</Channel>
    <Computer>client.domain.local</Computer>
    <Security />
  </System>
  <EventData>
    <Data Name="SubjectUserSid">S-1-5-21-2186342489-2151740098-1648647886-7633</Data>
    <Data Name="SubjectUserName">account</Data>
    <Data Name="SubjectDomainName">domain</Data>
    <Data Name="SubjectLogonId">0xd8e24</Data>
    <Data Name="ProviderName">Microsoft Software Key Storage Provider</Data>
    <Data Name="AlgorithmName">RSA</Data>
    <Data Name="KeyName">DesktopSharing-{A75BF16C-371B-4084-A9FA-5605D376031F}</Data>
    <Data Name="KeyType">%%2500</Data>
    <Data Name="Operation">%%2482</Data>
    <Data Name="ReturnCode">0x80090016</Data>
  </EventData>
</Event>

 

Vielleicht hat ja jemand noch eine Idee.

[Marco31 33]

So, das Rätsel ist wohl gelöst. Der Virenscanner (G Data Business) war der Schuldige. Da war für die Clients die Option "Verhaltensüberwachung" aktiviert, die hat anscheinend sehr allergisch auf die Remoteunterstützung reagiert. Nach Deaktivierung der Option funktioniert die Remoteunterstützung wieder.

Warum aber eine Funktion des Virenscanners hier die Netzwerkverbindung zurückgesetzt hat, darüber kann man wohl nur spekulieren...

Vielleicht sollte man den Ansatz "Windows Defender reicht aus" mal im Auge behalten...

[v-rtc 88]

Ist keine Seltenheit  und kommt auch bei anderen AV vor. Was auch immer die im Strom riechen.

Defender hat mittlerweile auch zugelegt, daher denke ich werden die "Ausnahmen" an Bedeutung gewinnen.

 

Markiere gerne deine Antwort als Antwort

bearbeitet 9. April 2019 von v-rtc