[W2K3]Timeout waiting for a transaction response

[Turdie]

Vandaag kwam ik op een server van ons het volgende event tegen, de eventlog stond er echt helemaal vol me

Event Type: Error
Event Source: Service Control Manager
Event Category: None
Event ID: 7011
User: N/A
Description:
Timeout (30000 milliseconds) waiting for a transaction response from the RpcSs service.

EventID.net zei dit:
As per Microsoft: "The specified service did not respond to a control request (such as pause, continue, interrogate, or stop) from Service Control Manager within the specified time. The service might be stuck in a loop or waiting on a system resource, such as additional memory.
To determine why the service is unresponsive, do the following:
- Verify that the service is configured correctly.
- Verify that the system is in a healthy state, for example, it is not running low on resources"

Maar geen melding specifiek voor de RPC service.

Dingen die ik daarna heb gecontroleert:

• Service was goed ingesteld, vergeleken met een andere server die dezelfde configuratie had qua OS.De service zelf was ook gewoon gestart
• Het systeem was op dat moment goed, niet low aan z'n resources en had voldoende memory en cpu voorhanden, ook was het niet aan het pagen.
• Wat performance counters aangezet, maar die gaven ook geen raar real-time beelt. Ik heb een standaard template met counters over memory, disk ,cpu wat ik standaard in de performance monitor laadt.

Op een gegeven moment zag ik de CPU wel schommelen tussen de 40 en 60% maar dat is goed lijkt mij.
Ook gedroeg de RPC service zich normaal, en zag ik geen rare schommelingen als ik naar het proces keek of rare spikes. Als je op Google zoekt en in MS KB kom je niks op deze specifieke melding tegen, dus ik vroeg me af of iemand hier weet wat het betekent, voor mij is dit echt een raadsel.

Waar heb ik gezocht:

Google.nl
MS KB (en ook de Premier Portal, kan ik niet naar linken is afgeschermd met MS Passport)
En natuurlijk EventID.net maar die heb ik al vermeld

Nou heb ik in de vier jaar dat ik Windows beheer doe, nog nooit deze melding gezien. Ik vroeg dus eigenlijk wat deze melding precies betekent, probeert iemand bijvoorbeeld het RPC Proces te stoppen (en dat kan natuurlijk niet)? Of kan dit andere oorzaken hebben. Overigens was deze melding na een server reboot niet meer actief, dat vind ik nog vreemder.

[ Voor 5% gewijzigd door Turdie op 09-09-2009 21:58 ]

[elevator]

Volgens http://technet.microsoft.com/en-us/library/cc958869.aspx is het de SCM die met het service gedeelte van de specifieke service wil praten, feitelijk kan dat dus betekenen dat de service danwel inhoudlijk niet meer reageert (maar je zei dat hij dat wel deed) of zo druk bezig is met z'n feitelijke taken dat hij niet goed reageert op z'n SCM antwoorden.

Persoonlijk zou ik gokken dat je server op een of andere manier met Rpc requests heel druk bezig was (heb je toevallig gekeken of er veel connecties openstonden op je server?) en dat er een monitoring tool draait die regelmatig een interrogate of gelijkaardigs stuurt naar de SCM waar hij dus niet op kan reageren.

[Turdie]

elevator schreef op woensdag 09 september 2009 @ 22:08:
Volgens http://technet.microsoft.com/en-us/library/cc958869.aspx is het de SCM die met het service gedeelte van de specifieke service wil praten, feitelijk kan dat dus betekenen dat de service danwel inhoudlijk niet meer reageert (maar je zei dat hij dat wel deed) of zo druk bezig is met z'n feitelijke taken dat hij niet goed reageert op z'n SCM antwoorden.

Persoonlijk zou ik gokken dat je server op een of andere manier met Rpc requests heel druk bezig was (heb je toevallig gekeken of er veel connecties openstonden op je server?) en dat er een monitoring tool draait die regelmatig een interrogate of gelijkaardigs stuurt naar de SCM waar hij dus niet op kan reageren.

Nee geen connecties bekeken, als ik melding nog een keer zie terugkomen zal ik daar zeker eens diep naar gaan kijken. Zou het een virus of een exploit kunnen zijn die dit soort gedrag activeert? Als een monitoring tool dat zou doen, zou ik ook op mijn andere 1500 server moeten zien, want die hebben allemaal dezelfde config met dezelfde monitoring, en ook qua OS (IBM Tivoli Monitoring). Het vreemde dat ik rond die tijd niks spanneds zie in de Application Logs en ook zie ik geen rare meldingen er tussen door komen.

[ Voor 10% gewijzigd door Turdie op 09-09-2009 22:30 ]

[elevator]

Ik zeg niet dat ik denk dat het door de monitoring komt - ik denk (! ) dat je service dusdanig druk is, dat de SCM er niet meer mee kan communiceren. Normaal hoeft de SCM dat ook niet te doen tenzij er een specifieke actie is op de service, die specifieke actie kan dan weer getriggered worden door je monitoring tool omdat die wil weten of de service nog draait