☰

每小時致命窗口警報

tag-icon • tag-icon windows ssl windows-server-2012-r2 windows-event-log eventviewer
每小時致命窗口警報

在我的一台 Windows Server 2012 R2（即將升級）上，我的事件記錄器已充滿

  • 事件 ID36887 A fatal alert was received from the remote endpoint. The TLS protocol defined fatal alert code is 40.和來源Schannel

它大約每小時發生一次（+/- 幾十秒），並於 2022 年 10 月 11 日下午 1 點首次登入。上次 Windows 更新發生在 2022 年 11 月 9 日。

它會在“Windows 日誌”>“系統”下彈出。

我也在 2022 年 11 月 8 日註意到類似的錯誤

  • 事件36882 The certificate received from the remote server was issued by an untrusted certificate authority. Because of this, none of the data contained in the certificate can be validated. The SSL connection request has failed. The attached data contains the server certificate.與來源Schannel

  • 事件36888 A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 48. The Windows SChannel error state is 552.與來源Schannel

每個事件 ID 之前幾秒的另一個值得注意的模式36887是

  • 事件7036 The WinHTTP Web Proxy Auto-Discovery Service service entered the running state.來源Service Control Manager

我嘗試停止並啟動 WinHTTP 和任何依賴的服務，看看是否可以重現該錯誤，但無濟於事。我還使用 Wireshark 來監視故障期間的連線。我發現的最接近的匹配是 20.121.85.115（Microsoft IP），帶有致命警報（握手失敗）。

我相信某些每小時運行的 Windows 服務正在使用無效的 SSL 憑證呼叫某些 Microsoft IP。我只是不知道是什麼。

有什麼想法如何解決此錯誤？

答案1

您可以透過啟用 CAPI 日誌來取得有關不受信任憑證的更多資訊。預設情況下，日誌是停用的，您可以右鍵單擊它來啟用日誌。

應用程式和服務/Microsoft/Windows/CAPI2/操作

它通常包含證書主題名稱和指紋。下面是一個範例。

可能使用的是較新的 Microsoft CA 所發出的證書，而您的主機未安裝更新的根或中間 CA 證書。

Windows 嘗試自動下載新的或更新的憑證。如果該功能已停用（關閉自動根憑證更新）或存取被阻止，則可能需要下載憑證並將其放在共用上以進行自動更新。

配置受信任的根和不允許的憑證
https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/dn265983(v=ws.11)

Certutil 可用於下載憑證以填入網路共用以透過群組原則進行散佈。

Certutil -syncWithWU \\Server1\CTL

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-CAPI2" Guid="{5bbca4a8-b209-48dc-a8c7-b23d3e5216fb}" />
    <EventID>30</EventID>
    <Version>0</Version>
    <Level>2</Level>
    <Task>30</Task>
    <Opcode>0</Opcode>
    <Keywords>0x4000000000000001</Keywords>
    <TimeCreated SystemTime="2022-11-18T14:15:15.4126330Z" />
    <EventRecordID>26</EventRecordID>
    <Correlation ActivityID="{bfcbf0f2-f4ee-0002-66f1-cbbfeef4d801}" />
    <Execution ProcessID="636" ThreadID="14532" />
    <Channel>Microsoft-Windows-CAPI2/Operational</Channel>
    <Computer>XXX</Computer>
    <Security UserID="S-1-5-18" />
  </System>
  <UserData>
    <CertVerifyCertificateChainPolicy>
      <Policy type="CERT_CHAIN_POLICY_MICROSOFT_ROOT" constant="7" />
      <Certificate fileRef="AD81722A9E0E6394748343D025887D9285AE95D9.cer" subjectName="cxcs.microsoft.net" />
      <CertificateChain chainRef="{73D8FB26-4CD0-4E8D-BBCE-1095FA7EC749}" />
      <Flags value="0" />
      <Status chainIndex="0" elementIndex="2" />
      <EventAuxInfo ProcessName="lsass.exe" />
      <CorrelationAuxInfo TaskId="{D6FE4576-970E-4588-B77A-718E2027EFF0}" SeqNumber="1" />
      <Result value="800B0109">A certificate chain processed, but terminated in a root certificate which is not trusted by the trust provider.</Result>
    </CertVerifyCertificateChainPolicy>
  </UserData>
</Event>

相關內容