首页 新闻 会员 周边 捐助

WindowsServer2008无法远程登录

-1
悬赏园豆：100 [已解决问题] 解决于 2012-10-10 20:40

一台笔记本，一台台式机，台式机用远程桌面登录笔记本。前几天都好好的，今天忽然不行了。现象是连接上之后立即断开（没有出现远程桌面）。查看笔记本的日志，登录事件之后立即出现一个注销事件。自己远程自己也不行。
下面是日志内容。计算机名等信息为了安全我修改过了。跪拜求教啊~
日志名称: Security
来源: Microsoft-Windows-Security-Auditing
日期: 2012/9/28 16:29:17
事件 ID: 4634
任务类别: 注销
级别: 信息
关键字: 审核成功
用户: 暂缺
计算机: ComputerName
描述:
已注销帐户。

主题:
安全 ID: ComputerName\UserName
帐户名: UserName
帐户域: ComputerName
登录 ID: 0x1a9d509

登录类型: 3

在登录会话被破坏时生成此事件。可以使用登录 ID 值将它和一个登录事件准确关联起来。在同一台计算机上重新启动的区间中，登录 ID 是唯一的。
事件 Xml:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
  <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
  <EventID>4634</EventID>
  <Version>0</Version>
  <Level>0</Level>
  <Task>12545</Task>
  <Opcode>0</Opcode>
  <Keywords>0x8020000000000000</Keywords>
  <TimeCreated SystemTime="2012-09-28T08:29:17.909094300Z" />
  <EventRecordID>119487</EventRecordID>
  <Correlation />
  <Execution ProcessID="724" ThreadID="6736" />
  <Channel>Security</Channel>
  <Computer>ComputerName</Computer>
  <Security />
  </System>
  <EventData>
  <Data Name="TargetUserSid">S-1-5-21-2867234305-2086358227-3696711272-1007</Data>
  <Data Name="TargetUserName">UserName</Data>
  <Data Name="TargetDomainName">ComputerName</Data>
  <Data Name="TargetLogonId">0x1a9d509</Data>
  <Data Name="LogonType">3</Data>
  </EventData>
</Event>

日志名称: Security
来源: Microsoft-Windows-Security-Auditing
日期: 2012/9/28 16:29:16
事件 ID: 4624
任务类别: 登录
级别: 信息
关键字: 审核成功
用户: 暂缺
计算机: ComputerName
描述:
已成功登录帐户。

主题:
安全 ID: NULL SID
帐户名: -
帐户域: -
登录 ID: 0x0

登录类型: 3

新登录:
安全 ID: ComputerName\UserName
帐户名: UserName
帐户域: ComputerName
登录 ID: 0x1a9d509
登录 GUID: {00000000-0000-0000-0000-000000000000}

进程信息:
进程 ID: 0x0
进程名: -

网络信息:
工作站名: ComputerName
源网络地址: -
源端口: -

详细身份验证信息:
登录进程: NtLmSsp  
身份验证数据包: NTLM
传递服务: -
数据包名(仅限 NTLM): NTLM V2
密钥长度: 128

在创建登录会话后在被访问的计算机上生成此事件。

“主题”字段指明本地系统上请求登录的帐户。这通常是一个服务(例如 Server 服务)或本地进程(例如 Winlogon.exe 或 Services.exe)。

“登录类型”字段指明发生的登录种类。最常见的类型是 2 (交互式)和 3 (网络)。

“新登录”字段会指明新登录是为哪个帐户创建的，即登录的帐户。

“网络”字段指明远程登录请求来自哪里。“工作站名”并非总是可用，而且在某些情况下可能会留为空白。

“身份验证信息”字段提供关于此特定登录请求的详细信息。
-“登录 GUID”是可以用于将此事件与一个 KDC 事件关联起来的唯一标识符。
-“传递服务”指明哪些直接服务参与了此登录请求。
- “数据包名”指明在 NTLM 协议之间使用了哪些子协议。
-“密钥长度”指明生成的会话密钥的长度。如果没有请求会话密钥则此字段为 0。
事件 Xml:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
  <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
  <EventID>4624</EventID>
  <Version>0</Version>
  <Level>0</Level>
  <Task>12544</Task>
  <Opcode>0</Opcode>
  <Keywords>0x8020000000000000</Keywords>
  <TimeCreated SystemTime="2012-09-28T08:29:16.088990200Z" />
  <EventRecordID>119486</EventRecordID>
  <Correlation />
  <Execution ProcessID="724" ThreadID="6736" />
  <Channel>Security</Channel>
  <Computer>ComputerName</Computer>
  <Security />
  </System>
  <EventData>
  <Data Name="SubjectUserSid">S-1-0-0</Data>
  <Data Name="SubjectUserName">-</Data>
  <Data Name="SubjectDomainName">-</Data>
  <Data Name="SubjectLogonId">0x0</Data>
  <Data Name="TargetUserSid">S-1-5-21-2867234305-2086358227-3696711272-1007</Data>
  <Data Name="TargetUserName">UserName</Data>
  <Data Name="TargetDomainName">ComputerName</Data>
  <Data Name="TargetLogonId">0x1a9d509</Data>
  <Data Name="LogonType">3</Data>
  <Data Name="LogonProcessName">NtLmSsp </Data>
  <Data Name="AuthenticationPackageName">NTLM</Data>
  <Data Name="WorkstationName">ComputerName</Data>
  <Data Name="LogonGuid">{00000000-0000-0000-0000-000000000000}</Data>
  <Data Name="TransmittedServices">-</Data>
  <Data Name="LmPackageName">NTLM V2</Data>
  <Data Name="KeyLength">128</Data>
  <Data Name="ProcessId">0x0</Data>
  <Data Name="ProcessName">-</Data>
  <Data Name="IpAddress">-</Data>
  <Data Name="IpPort">-</Data>
  </EventData>
</Event>

日志名称: Security
来源: Microsoft-Windows-Security-Auditing
日期: 2012/9/28 16:29:16
事件 ID: 4672
任务类别: 特殊登录
级别: 信息
关键字: 审核成功
用户: 暂缺
计算机: ComputerName
描述:
为新登录分配了特殊权限。

主题:
安全 ID: ComputerName\UserName
帐户名: UserName
帐户域: ComputerName
登录 ID: 0x1a9d509

特权: SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeLoadDriverPrivilege
SeBackupPrivilege
SeRestorePrivilege
SeDebugPrivilege
SeSystemEnvironmentPrivilege
SeImpersonatePrivilege
事件 Xml:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
  <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
  <EventID>4672</EventID>
  <Version>0</Version>
  <Level>0</Level>
  <Task>12548</Task>
  <Opcode>0</Opcode>
  <Keywords>0x8020000000000000</Keywords>
  <TimeCreated SystemTime="2012-09-28T08:29:16.088990200Z" />
  <EventRecordID>119485</EventRecordID>
  <Correlation />
  <Execution ProcessID="724" ThreadID="6736" />
  <Channel>Security</Channel>
  <Computer>ComputerName</Computer>
  <Security />
  </System>
  <EventData>
  <Data Name="SubjectUserSid">S-1-5-21-2867234305-2086358227-3696711272-1007</Data>
  <Data Name="SubjectUserName">UserName</Data>
  <Data Name="SubjectDomainName">ComputerName</Data>
  <Data Name="SubjectLogonId">0x1a9d509</Data>
  <Data Name="PrivilegeList">SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeLoadDriverPrivilege
SeBackupPrivilege
SeRestorePrivilege
SeDebugPrivilege
SeSystemEnvironmentPrivilege
SeImpersonatePrivilege</Data>
  </EventData>
</Event>

日志名称: Security
来源: Microsoft-Windows-Security-Auditing
日期: 2012/9/28 16:29:16
事件 ID: 4672
任务类别: 特殊登录
级别: 信息
关键字: 审核成功
用户: 暂缺
计算机: ComputerName
描述:
为新登录分配了特殊权限。

主题:
安全 ID: ComputerName\UserName
帐户名: UserName
帐户域: ComputerName
登录 ID: 0x1a9d509

特权: SeSecurityPrivilege
SeBackupPrivilege
SeRestorePrivilege
SeTakeOwnershipPrivilege
SeDebugPrivilege
SeSystemEnvironmentPrivilege
SeLoadDriverPrivilege
SeImpersonatePrivilege
事件 Xml:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
  <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
  <EventID>4672</EventID>
  <Version>0</Version>
  <Level>0</Level>
  <Task>12548</Task>
  <Opcode>0</Opcode>
  <Keywords>0x8020000000000000</Keywords>
  <TimeCreated SystemTime="2012-09-28T08:29:16.087990200Z" />
  <EventRecordID>119484</EventRecordID>
  <Correlation />
  <Execution ProcessID="724" ThreadID="6736" />
  <Channel>Security</Channel>
  <Computer>ComputerName</Computer>
  <Security />
  </System>
  <EventData>
  <Data Name="SubjectUserSid">S-1-5-21-2867234305-2086358227-3696711272-1007</Data>
  <Data Name="SubjectUserName">UserName</Data>
  <Data Name="SubjectDomainName">ComputerName</Data>
  <Data Name="SubjectLogonId">0x1a9d509</Data>
  <Data Name="PrivilegeList">SeSecurityPrivilege
SeBackupPrivilege
SeRestorePrivilege
SeTakeOwnershipPrivilege
SeDebugPrivilege
SeSystemEnvironmentPrivilege
SeLoadDriverPrivilege
SeImpersonatePrivilege</Data>
  </EventData>
</Event>

日志名称: Security
来源: Microsoft-Windows-Security-Auditing
日期: 2012/9/28 16:29:16
事件 ID: 4776
任务类别: 凭据验证
级别: 信息
关键字: 审核成功
用户: 暂缺
计算机: ComputerName
描述:
计算机试图验证帐户的凭据。

验证包: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
登录帐户: UserName
源工作站: ComputerName
错误代码: 0x0
事件 Xml:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
  <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
  <EventID>4776</EventID>
  <Version>0</Version>
  <Level>0</Level>
  <Task>14336</Task>
  <Opcode>0</Opcode>
  <Keywords>0x8020000000000000</Keywords>
  <TimeCreated SystemTime="2012-09-28T08:29:16.087990200Z" />
  <EventRecordID>119483</EventRecordID>
  <Correlation />
  <Execution ProcessID="724" ThreadID="6736" />
  <Channel>Security</Channel>
  <Computer>ComputerName</Computer>
  <Security />
  </System>
  <EventData>
  <Data Name="PackageName">MICROSOFT_AUTHENTICATION_PACKAGE_V1_0</Data>
  <Data Name="TargetUserName">UserName</Data>
  <Data Name="Workstation">ComputerName</Data>
  <Data Name="Status">0x0</Data>
  </EventData>
</Event>

我是刘斌的主页 我是刘斌 | 初学一级 | 园豆：102
提问于：2012-10-06 20:25
< >
分享
最佳答案
1

服务器上安装了什么杀毒软件，什么安全软件？可能是他们影响了。

收获园豆：100
dashuigang | 菜鸟二级 |园豆：312 | 2012-10-09 12:03

就装了一个瑞星杀毒

我是刘斌 | 园豆：102 (初学一级) | 2012-10-09 20:50

建议卸载试试看。我遇到过类似问题，卸载了杀毒软件就好了，后来就安装了symantec的sep客户端。

dashuigang | 园豆：312 (菜鸟二级) | 2012-10-10 09:51

@dashuigang: 你就是我的神啊。。。。。

膜拜一下orz

我是刘斌 | 园豆：102 (初学一级) | 2012-10-10 20:39
其他回答(2)
0

看起来似乎是以正常的方式注销出去的。

 

建议在实体机器上启动到安全模式下检查系统。若有重要服务运行，请用安全审计工具审查系统开放端口等。

 

没有在MSDN及互联网找到相关信息。但似乎有一些人和你遇到同样的问题，在最近。

荣耀属于跪拜猫 | 园豆：832 (小虾三级) | 2012-10-06 22:57
0

台式机是什么操作系统。

娃哈哈ABC | 园豆：202 (菜鸟二级) | 2012-10-09 10:55

都是windowsServer2008R2

支持(0) 反对(0) 我是刘斌 | 园豆：102 (初学一级) | 2012-10-09 20:50
清除回答草稿
   您需要登录以后才能回答，未注册用户请先注册。