[NickM]

Ваша тема?

Постоянные попытки подключения на сервер с локальной машины

[Maza11]

Ваша тема? »

ситуация примерно такая же, только у меня он сам к себе подключается причем по IPv6
может от Acrobat DC или Microsoft Office процесс какой-то, там оно и службы и много чего своего ставить при установке, всякие Adobe.ARM и OfficeClickToRun в процессах висят же.
Через FRST отчет сделал, почитал его, понятнее не стало.

Если известная примерная дата через 15 минут с точностью до 1-2 секунд, может можно мониторинг какой-то запустить и отследить кто именно в ту секунду обращался к lsas.exe
обращения были в
[22.11.2024 22:20:29]
[22.11.2024 22:35:29]
[22.11.2024 22:50:29]
[22.11.2024 23:05:30]

[Maza11]

запустил TCPLogView и NetworkTrafficView от NirSoft
Аудит отказа произошел в 24.11.2024 15:35:56
Local Address : 192.168.XX.2 локальный адрес этого сервера
Remote Address : 192.168.XX.1 адрес домена контроллера

LOG

Код:

==================================================
Event Time        : 24.11.2024 15:35:56
Event Type        : Open
Local Address     : 192.168.XX.2
Remote Address    : 192.168.XX.1
Remote Host Name  : DC.домен.ком
Local Port        : 57022
Remote Port       : 135
Process ID        : 660
Process Name      : lsass.exe
Process Path      : C:\Windows\System32\lsass.exe
Process User      : NT AUTHORITY\SYSTEM
Remote IP Country : 
==================================================

==================================================
Event Time        : 24.11.2024 15:35:56
Event Type        : Open
Local Address     : 192.168.XX.2
Remote Address    : 192.168.XX.1
Remote Host Name  : DC.домен.ком
Local Port        : 57023
Remote Port       : 49701
Process ID        : 660
Process Name      : lsass.exe
Process Path      : C:\Windows\System32\lsass.exe
Process User      : NT AUTHORITY\SYSTEM
Remote IP Country : 
==================================================

==================================================
Event Time        : 24.11.2024 15:35:56
Event Type        : Open
Local Address     : ::1
Remote Address    : ::1
Remote Host Name  : ИмяСервера.домен.ком
Local Port        : 57019
Remote Port       : 0
Process ID        : 304
Process Name      : svchost.exe
Process Path      : C:\Windows\System32\svchost.exe
Process User      : NT AUTHORITY\NETWORK SERVICE
Remote IP Country : 
==================================================

только в событиях
Порт источника: 57020
А в логе 57019, но время совпадает, с портом 57020 записей нет в логе

Еще один лог в 16:05:56, здесь порт 57040 совпадает с портом в журнале событий

LOG

Код:

==================================================
Event Time        : 24.11.2024 16:05:56
Event Type        : Open
Local Address     : ::1
Remote Address    : ::1
Remote Host Name  : ИмяКомпа.домен.ком
Local Port        : 49671
Remote Port       : 0
Process ID        : 2904
Process Name      : svchost.exe
Process Path      : C:\Windows\System32\svchost.exe
Process User      : NT AUTHORITY\NETWORK SERVICE
Remote IP Country : 
==================================================

==================================================
Event Time        : 24.11.2024 16:05:56
Event Type        : Open
Local Address     : ::1
Remote Address    : ::1
Remote Host Name  : ИмяКомпа.домен.ком
Local Port        : 57039
Remote Port       : 0
Process ID        : 304
Process Name      : svchost.exe
Process Path      : C:\Windows\System32\svchost.exe
Process User      : NT AUTHORITY\NETWORK SERVICE
Remote IP Country : 
==================================================

==================================================
Event Time        : 24.11.2024 16:05:56
Event Type        : Open
Local Address     : ::1
Remote Address    : ::1
Remote Host Name  : ИмяКомпа.домен.ком
Local Port        : 57040
Remote Port       : 0
Process ID        : 304
Process Name      : svchost.exe
Process Path      : C:\Windows\System32\svchost.exe
Process User      : NT AUTHORITY\NETWORK SERVICE
Remote IP Country : 
==================================================

==================================================
Event Time        : 24.11.2024 16:05:56
Event Type        : Close
Local Address     : ::1
Remote Address    : ::1
Remote Host Name  : ИмяКомпа.домен.ком
Local Port        : 49671
Remote Port       : 0
Process ID        : 2904
Process Name      : svchost.exe
Process Path      : C:\Windows\System32\svchost.exe
Process User      : NT AUTHORITY\NETWORK SERVICE
Remote IP Country : 
==================================================

==================================================
Event Time        : 24.11.2024 16:05:56
Event Type        : Close
Local Address     : ::1
Remote Address    : ::1
Remote Host Name  : ИмяКомпа.домен.ком
Local Port        : 57040
Remote Port       : 0
Process ID        : 304
Process Name      : svchost.exe
Process Path      : C:\Windows\System32\svchost.exe
Process User      : NT AUTHORITY\NETWORK SERVICE
Remote IP Country : 
==================================================

==================================================
Event Time        : 24.11.2024 16:05:56
Event Type        : Open
Local Address     : 192.168.XX.2
Remote Address    : 192.168.XX.1
Remote Host Name  : DC.домен.ком
Local Port        : 57042
Remote Port       : 135
Process ID        : 660
Process Name      : lsass.exe
Process Path      : C:\Windows\System32\lsass.exe
Process User      : NT AUTHORITY\SYSTEM
Remote IP Country : 
==================================================

==================================================
Event Time        : 24.11.2024 16:05:56
Event Type        : Open
Local Address     : 192.168.XX.2
Remote Address    : 192.168.XX.1
Remote Host Name  : DC.домен.ком
Local Port        : 57043
Remote Port       : 49701
Process ID        : 660
Process Name      : lsass.exe
Process Path      : C:\Windows\System32\lsass.exe
Process User      : NT AUTHORITY\SYSTEM
Remote IP Country : 
==================================================

насколько я понимаю, происходит доменная синхронизация по IPv4 успешно, потом по IPv6 он зачем-то обращается сам к себе и происходит отказ с соответствующей записью, правильно?
Как ее отключить, если IPv6 не используется и нужно ли это.

Есть вот такая статья
Руководство по настройке IPv6 в Windows для опытных пользователей
https://learn.microsoft.com/ru-ru/tr...pv6-in-windows

где в реестре отключают и настраивают IPv6

Код:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\
Название: DisabledComponents

Без вашего совета я не полезу туда бездумно отключать все подряд.
Тем более я не знаю какой из нужных параметров выбрать.
Напомню что в настройках флаг IPv6 cнят в Ethernet соединении, но оно к себе как локалхост почему все равно обращается по IPv6

[Maza11]

Отключил IPv6 через реестр DisabledComponents - FF
стало обращаться к 127.0.0.1 вместо ::1 также после обращения к DC каждые 15 минут
[spoiler=LOG]

Код:

==================================================
Event Time        : 24.11.2024 21:28:10
Event Type        : Close
Local Address     : 127.0.0.1
Remote Address    : 127.0.0.1
Remote Host Name  : ИмяКомпа.домен.ком
Local Port        : 49676
Remote Port       : 49891
Process ID        : 3024
Process Name      : svchost.exe
Process Path      : C:\Windows\System32\svchost.exe
Process User      : NT AUTHORITY\NETWORK SERVICE
Remote IP Country : 
==================================================

==================================================
Event Time        : 24.11.2024 21:28:10
Event Type        : Close
Local Address     : 127.0.0.1
Remote Address    : 127.0.0.1
Remote Host Name  : ИмяКомпа.домен.ком
Local Port        : 49891
Remote Port       : 49676
Process ID        : 344
Process Name      : svchost.exe
Process Path      : C:\Windows\System32\svchost.exe
Process User      : NT AUTHORITY\NETWORK SERVICE
Remote IP Country : 
==================================================

скрин

[Maza11]

Отслеживал через Process Monitor
дата 25.11.2024 18:29:16 порт источника 51015
Что-то очень похожее на сервер терминалов.
Если я правильно отследил цепочку
(WinServ2019 если что является сервером терминалов сам себе, лицензирование на устройство, было прописано localhost)

Код:

C:\Windows\System32\svchost.exe -k termsvcs -s TermService
C:\Windows\system32\svchost -k TSLicensing

а перед этими записями было обращение в порт 51014

Код:

C:\Windows\system32\svchost.exe -k RPCSS -p

В политиках компьютера
Сетевая безопасность: уровень проверки подлинности LAN Manager - Send NTLMv2 response only. Refuse LM& NTLM.
Require user authentication for remote connections by using Network Level Authentication (NLA) - Отключен
сервер работает менее 120 дней и постоянных лицензий на устройство еще не выдал

скрины Process Monitor и сервера терминалов

Можете помочь?

[Maza11]

в Средство диагностики лицензирования удаленных рабочих столов на вкладке действия под localhost есть Предоставьте учетные данные, что это такое, из-за чего у меня могут происходить эти записи отказа доступа?
Если обычный NTLM запрещен, а разрешен только NTLMv2, а он сам к себе как localhost по NTLM обращается и получает отказ, по настройкам групповых политик домена Send NTLMv2 response only. Refuse LM& NTLM., разрешать NTLM траффик не вариант.

[Maza11]

решил вопрос, не правильно был прописан сервер лицензий
в домене его нужно указывать как имясервера.домен.ком, а не localhost как в рабочей группе