[NT4] Memleak, tenminste daar lijkt het op

[Verwijderd]

Sinds +/- zondagochtend was onze Exchange machine niet meer bereikbaar, HTTP 500's, exchange gaf geen antwoord etc.

Ik heb er vanochtend naar gekeken, maar ik kon niet inloggen. (herkende users niet meer, terwijl het ook een BDC is)
toen maar gereset en hij was weer up, tot zover weinig aan de hand.

toen ik uit ging zoeken hoe dat kwam, kwam ik de volgende rare dingen tegen:

- Het leek er eerst op dat de HD waar de swapfile op staat vol was gelopen, getuige de volgende entry's uit de eventlog:


Syslog

ID 2016
The server was unable to allocate virtual memory.


Toen ik wat verder ging neuzen ging ik daar toch aan twijfelen, omdat de System en App logs compleet getrashed waren, ze gaan nu maar 1 dag terug. dus ik kan
ook niet meer zien wat er rond het tijdstip van niet-meer-bereikbaar-zijn is gebeurd. de security log was nog wel intact, behalve de gebruikelijke raad-het-admin-password-entrys zaten er sinds 05/10, 7:40 ook 'IUSR_X cannot login, unexpected errors' in. ik schat dat sindsdien de memleak(?) was begonnen.

Wat ook raar is, is hetvolgende event:

Applog:

6/10/03 8:27

The description for Event ID ( 9997 ) in Source ( MSExchangeMTA ) cannot be found. The local computer may not have the necessary registry information or message DLL files to display messages from a remote computer. The following information is part of the event: File: 'G:\MTA\src\emsmta\sysglue\sbmifwnt.c', line: 1720, MTAtid: 3, NTtid: 394, GetDiskFreeSpace() Returned Error: 1450(0x000005aa).

Het maffe is dus, die server heeft helemaal geen G: schijf.

K'heb ook nog de SCSI Array-Log bekeken; helemaal niks.

K'heb al gegoogled en op technet gekeken, maar daar zit allemaal onrelevante informatie tussen (TCP stacks, worker units, etc.)

Ik vertrouw het zaakje niet echt want a: die machine heeft normaal gesproken uptimes van maanden, en is nog nooit onderuit gegaan en b: het is gebeurd in het weekend, wanneer er practisch niet op word gewerkt.

Heeft iemand dit ook eens meegemaakt, en kan hier een lichtje op schijnen?

specs:
NT4 SP6a, Exchange 5.5 SP4, BDC
P2 233 (oud beestje)
384 Mb ram
SCSI raid-5 array
Vrije schuifruimte (normaal gesproken) swap: 2 Gb, Exchange: 4 Gb
Behalve exchange draait er nog McAfee Groupshield op en Tiny Firewall.

[elevator]

Er is achteraf heel weinig van te zeggen - zeker als je event log helemaal leeg is. Deze server is niet direct gekoppeld aan het internet? (eventueel een exploit oid)

Verwijderd schreef op 06 oktober 2003 @ 11:57:
Het maffe is dus, die server heeft helemaal geen G: schijf.

Dat is normaal - de file waarnaar hij verwijst is eigenlijk de sourcecode file waarin de fout zich voorgedaan heeft. Die error 1450 is ook normaal en is gewoon een insufficient resource error.

Al met al lijkt het inderdaad op ergens iets misgegaan is qua geheugen - dus volgelopen oid.

[mutsje]

ik denk dat Windows gewoon over de rooie is gegaan. Ik heb dit vergelijkbare soms op een Windows NT4 PDC die als file/print server fungeert en je kunt inloggen maar vervolgens krijg je enkel de groene achtergrond. Je kunt via task manager explorer.exe starten maar dat heeft geen zin...machine hangt gewoon... Het vreemde is mensen kunnen gewoon aanmelden en werken op netwerkschijven.. geen event's maar ding hangt zichzelf gewoon op.

als wat jij hebt vaak gaat gebeuren moet je inderdaad gaan onderzoeken door bijvoorbeeld een werkstation er naast te zetten en dan performance monitor starten en de server monitoren (en loggen natuurlijk)

[Verwijderd]

mutsje schreef op 06 October 2003 @ 13:55:
...

als wat jij hebt vaak gaat gebeuren moet je inderdaad gaan onderzoeken door bijvoorbeeld een werkstation er naast te zetten en dan performance monitor starten en de server monitoren (en loggen natuurlijk)

Ik gooi het ook maar op een vage flip van NT, maar dit is de eerste keer in jaren.