[2008R2 TS] svchost crasht na ~1 dag uptime

[Hero of Time]

Sinds deze week hebben we op onze Terminal Server een probleempje met een aantal services. Het host proces wat hiervoor verantwoordelijk is crasht om onbekende reden. Als ik de server herstart, dan gaat het een dag goed, maar de volgende is het weer stuk.

Event Viewer laat dit zien:

Faulting application name: svchost.exe_ProfSvc, version: 6.1.7600.16385, time stamp: 0x4a5bc3c1
Faulting module name: ntdll.dll, version: 6.1.7601.17725, time stamp: 0x4ec4aa8e
Exception code: 0xc0000374
Fault offset: 0x00000000000c40f2
Faulting process id: 0x498
Faulting application start time: 0x01cdc75a0f469380
Faulting application path: C:\Windows\system32\svchost.exe
Faulting module path: C:\Windows\SYSTEM32\ntdll.dll
Report Id: fd5cf116-344b-11e2-b6a1-02904f18696c

Drie seconde daarvoor staat er deze warning:

Folder redirection policy application has been delayed until the next logon because the group policy logon optimization is in effect.

Lijkt mij niet zo spannend, die komt vaker voor en heeft eerder niet voor problemen gezorgd.

Ik heb mij suf gezocht met termen als "crash svchost ntdll.dll" en "restart group policy client access denied", maar kan niet echt veel vinden hierover, alleen maar oude antwoorden die niet veel duidelijkheid verschaffen of veel grotere problemen schetsen dan wat wij hebben (o.a. Exchange crasht en RDP onbereikbaar). Niets wat wij hebben.
Eigenlijk is het enige wat wij hebben, is dat de W7 basic thema niet meer werkt terwijl Themes service draait (herstarten helpt ook niet) en de gebruikers zitten opgescheept met het Classic thema. Niet elke gebruiker verliest z'n thema. Bij de eerste keer dat het gebeurde had ik 'm nog gewoon beschikbaar, ook na opnieuw aanmelden.

Omdat ik afgelopen vrijdag updates heb geïnstalleerd verdenk ik die, maar andere servers met dezelfde updates geven geen enkel probleem. Ik heb ook gekeken wat er bij de updates werd opgelost en niets gaf iets aan wat met de services te maken heeft voor zover ik zie. De Event Viewer geeft onder System alle services die spontaan zijn gestopt hierdoor. Als ik ga kijken wat de status ervan is, dan is er een die ik niet kan stoppen of herstarten, terwijl 't de status "Started" heeft. Dit is de Group Policy Client. Herstarten via een admin command prompt geeft permission denied.
Na deze crash krijg ik ook veel meldingen over GPO die niet meer correct werkt, zoals:

The Group Policy Client Side Extension Deployed Printer Connections may have caused the Group Policy Service to terminate unexpectedly. To prevent further failures in the Group Policy Service, this extension has been temporarily disabled until after the next system restart. Group Policy settings managed by this extension may no longer be enforced until the system is restarted. The vendor of this extension should be contacted if this issue recurs.

Het herstarten van de server is momenteel de enige oplossing om de boel weer aan de praat te krijgen zoals het hoort, maar dat is niet ideaal en zeker geen oplossing, omdat het na iets meer dan een dag later weer gebeurt. Het is nu twee keer eerder gebeurt, maandag om 23:10 en afgelopen nacht om 3:26.


Hopelijk heeft iemand een beter idee dan ik. Alle updates verwijderen van vrijdag is niet mijn plan, zeker omdat het om een productieserver gaat en het uitzoeken van de schuldige update kost gigantisch veel tijd. Bovendien heb ik mijn twijfels of het wel door de updates komt, omdat andere servers geen problemen geven. Er is ook niets verandert aan de configuratie of policies (de laatste wijziging was gisteren, voor de eerste crash).
Voor de duidelijkheid, alles lijkt nog gewoon te werken, behalve Group Policies en thema's voor de meeste gebruikers.

[CMD-Snake]

svchost.exe is nogal generiek. Die crasht vaak omdat iets anders crasht en dit effect heeft op svchost.exe.

Dit Technet artikel lijkt wel sterk op jouw probleem:
http://technet.microsoft....ry/cc727258(v=WS.10).aspx

Alternatief zou je nog kunnen proberen met Process Monitor dieper te kijken in je svchost instances of je daar iets kan vinden.

[CMD-Snake]

Hero Of Time schreef op donderdag 22 november 2012 @ 17:01:
Eigenlijk is het enige wat wij hebben, is dat de W7 basic thema niet meer werkt terwijl Themes service draait (herstarten helpt ook niet) en de gebruikers zitten opgescheept met het Classic thema. Niet elke gebruiker verliest z'n thema. Bij de eerste keer dat het gebeurde had ik 'm nog gewoon beschikbaar, ook na opnieuw aanmelden.

Even nog twee losse gedachtes:

Je hebt de desktop experience rol geïnstalleerd? Er was laatst ook een recommended patch waarin een update zat van WDDM 1.1 naar WDDM 1.2. Mogelijk dat deze voor kuren zorgt?

En hoe is het eigenlijk met antimalware op je TS? Een svchost probleem kan ook soms duiden op malware.

[Hero of Time]

Hmmja, ik zal morgen even een lijstje posten met alle services die op hun bek zijn gegaan door het crashen van 't proces. Het is apart dat het nu opeens gebeurt, er is niets verandert aan de policies en ze zijn allemaal van MS zelf. Bijna allemaal eigenlijk, ik heb een paar instellingen voor Firefox die ik doorvoer.

Je hebt pas de W7 Basic thema als je User Experience hebt aangezet, dus ja, die is geïnstalleerd Als het komt door WDDM update, dan moet die vrijdag mee zijn gegaan, maar verklaart niet waarom-ie het hele weekend prima doet, en maandagavond op z'n bek gaat. Dan woensdag prima functioneert, tot midden in de nacht. Ik zou juist verwachten dat het helemaal niet werkt, of plat gaat tijdens werk. En dan ook niet alle overige services meenemen, maar alleen de Windows Themes service.

De server draait overigens als VM in XenServer, met bijbehorende tools. Ook al een paar maanden onveranderd.