☰

시간별 치명적인 창 경고

tag-icon • tag-icon windows ssl windows-server-2012-r2 windows-event-log eventviewer
시간별 치명적인 창 경고

내 Windows Server 2012 R2(업그레이드 예정) 중 하나에서 내 이벤트 로거가 다음으로 채워졌습니다.

  • 36887 A fatal alert was received from the remote endpoint. The TLS protocol defined fatal alert code is 40.소스가 포함된 이벤트 IDSchannel

이는 대략 매시간(+/- 수십초)마다 발생하며 2022년 11월 10일 오후 1시에 처음 로그온되었습니다. 마지막 Windows 업데이트는 2022년 11월 9일에 발생했습니다.

Windows 로그 > 시스템 아래에 표시됩니다.

2022년 11월 8일에도 비슷한 오류가 발견되었습니다.

  • 36882 The certificate received from the remote server was issued by an untrusted certificate authority. Because of this, none of the data contained in the certificate can be validated. The SSL connection request has failed. The attached data contains the server certificate.소스가 포함된 이벤트Schannel

  • 36888 A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 48. The Windows SChannel error state is 552.소스가 포함된 이벤트Schannel

모든 이벤트 ID가 발생하기 몇 초 전에 또 다른 주목할만한 패턴은 다음 36887과 같습니다.

  • 7036 The WinHTTP Web Proxy Auto-Discovery Service service entered the running state.소스의 이벤트Service Control Manager

오류를 재현할 수 있는지 확인하기 위해 WinHTTP 및 모든 종속 서비스를 중지했다가 시작해 보았지만 소용이 없었습니다. 또한 실패 시간 동안 연결을 모니터링하기 위해 Wireshark를 사용했습니다. 내가 찾은 가장 가까운 일치 항목은 치명적인 경고(핸드셰이크 실패)가 있는 20.121.85.115(Microsoft IP)였습니다.

일부 시간별 Windows 서비스가 잘못된 SSL 인증서를 사용하여 일부 Microsoft IP를 호출하고 있다고 생각합니다. 나는 단지 무엇을 말할 수 없습니다.

이 오류를 해결하는 방법에 대한 아이디어가 있습니까?

답변1

CAPI 로그를 활성화하면 신뢰할 수 없는 인증서에 대한 자세한 정보를 얻을 수 있습니다. 로그는 기본적으로 비활성화되어 있으며 로그를 마우스 오른쪽 버튼으로 클릭하여 활성화할 수 있습니다.

애플리케이션 및 서비스/Microsoft/Windows/CAPI2/운영

일반적으로 인증서 주체 이름과 지문이 있습니다. 샘플은 아래와 같습니다.

최신 Microsoft CA에서 발급된 인증서가 사용되고 호스트에 업데이트된 루트 또는 중간 CA 인증서가 설치되어 있지 않을 수도 있습니다.

Windows는 새 인증서나 업데이트된 인증서를 자동으로 다운로드하려고 시도합니다. 해당 기능이 비활성화되거나(자동 루트 인증서 업데이트 끄기) 액세스가 차단된 경우 인증서를 다운로드하고 자동 업데이트를 위해 공유에 저장해야 할 수도 있습니다.

신뢰할 수 있는 루트 및 허용되지 않는 인증서 구성
https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/dn265983(v=ws.11)

Certutil을 사용하면 그룹 정책에 따라 배포할 네트워크 공유를 채우기 위한 인증서를 다운로드할 수 있습니다.

Certutil -syncWithWU \\Server1\CTL

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-CAPI2" Guid="{5bbca4a8-b209-48dc-a8c7-b23d3e5216fb}" />
    <EventID>30</EventID>
    <Version>0</Version>
    <Level>2</Level>
    <Task>30</Task>
    <Opcode>0</Opcode>
    <Keywords>0x4000000000000001</Keywords>
    <TimeCreated SystemTime="2022-11-18T14:15:15.4126330Z" />
    <EventRecordID>26</EventRecordID>
    <Correlation ActivityID="{bfcbf0f2-f4ee-0002-66f1-cbbfeef4d801}" />
    <Execution ProcessID="636" ThreadID="14532" />
    <Channel>Microsoft-Windows-CAPI2/Operational</Channel>
    <Computer>XXX</Computer>
    <Security UserID="S-1-5-18" />
  </System>
  <UserData>
    <CertVerifyCertificateChainPolicy>
      <Policy type="CERT_CHAIN_POLICY_MICROSOFT_ROOT" constant="7" />
      <Certificate fileRef="AD81722A9E0E6394748343D025887D9285AE95D9.cer" subjectName="cxcs.microsoft.net" />
      <CertificateChain chainRef="{73D8FB26-4CD0-4E8D-BBCE-1095FA7EC749}" />
      <Flags value="0" />
      <Status chainIndex="0" elementIndex="2" />
      <EventAuxInfo ProcessName="lsass.exe" />
      <CorrelationAuxInfo TaskId="{D6FE4576-970E-4588-B77A-718E2027EFF0}" SeqNumber="1" />
      <Result value="800B0109">A certificate chain processed, but terminated in a root certificate which is not trusted by the trust provider.</Result>
    </CertVerifyCertificateChainPolicy>
  </UserData>
</Event>

관련 정보