Consulta con el equipo de Windows : Debug

Windows 2008 – evento 49

esplat — Fri, 30 Jan 2009 15:16:01 GMT

Con Windows 2008, aparece un nuevo evento que nos avisa de que el archivo de paginación no tienen el tamaño suficiente como para que se genere un fichero de dump en caso de crash del sistema.

Event ID: 49

Source: volmgr

Level: Error

Description: Configuring the Page File for crash dump failed. Make sure there is a page file on the boot partition and that is large enough to contain all physical memory.

Si os encontráis con este evento lo primero es revisar que el tamaño del archivo de paginación para asegurarnos que su tamaño es de al menos el tamaño de la memoria +50 Mb.

Si a pesar de esto sigue apareciendo el evento, es posible que nos encontremos ante un problema con el componente Crashdmp.sys. reportado en el articulo siguiente.

950858 Dedicated dump files are unexpectedly truncated to 4 GB on a computer that is running Windows Server 2008 or Windows Vista and that has more than 4 GB of physical memory

http://support.microsoft.com/default.aspx?scid=kb;EN-US;950858

Un saludo, Paloma García

Técnico de Soporte Microsoft Premier

Cómo habilitar Trace Logging para distintos componentes en Windows Vista/Windows Server 2008

esplat — Tue, 16 Sep 2008 13:37:00 GMT

Hola, soy Tolu Igbon, del equipo de Directorio Activo. Hoy vamos a hablar sobre cómo habilitar trace logging para diferentes componentes relacionados con Directorio Activo tanto en Windows Vista como en Windows Server 2008.

La herramienta Tracelog: http://msdn.microsoft.com/en-us/library/ms797927.aspx se introdujo con el kit de recursos de Windows 2000.

Esta utilidad permite habilitar “event trace logging”, (un especie de logging detallado) de distintos componentes de Windows a la hora de intentar resolver problemas (por ejemplo autenticación Kerberos, acceso LDAP, etc).

Para interpretar los “event trace logs” (.etl) generados se necesitan otras herramientas como:

Tracerpt: http://technet.microsoft.com/en-us/library/cc732700.aspx
Tracefmt: http://msdn.microsoft.com/en-us/library/ms797564.aspx ,
Traceview: http://msdn.microsoft.com/en-us/library/ms797981.aspx o
Tracedmp: http://www.microsoft.com/downloads/details.aspx?familyid=8B7EE632-FB8C-4770-BF37-EED586469B2F&displaylang=en

La novedad real para Vista/2008 es que ha aumentado de manera significativa el numero de proveedores con los cuales podemos realizar este tipo de “logging”.

Aquí os proporcionamos unos ejemplos de cómo generar logging para componentes relacionados con Directorio Activo.

Cliente LDAP

En primer lugar, creamos una nueva clave de registro:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\ ldap\Tracing\ProcessName

ProcessName es el nombre del proceso que queremos “tracear” (por ejemplo MMC.exe).

Dentro de esta clave, podemos crear un valor opcional de tipo DWORD llamado PID. (Si establecemos este valor a un PID concreto, solo se traceará la instancia de la aplicación con este PID).

Para habilitar el tracing, ejecutamos el siguiente comando:

tracelog.exe -start <sessionname> -guid #<guid for ldap tracing provider> -f <filename> -flag <traceFlags>

sessionname es un nombre arbitrario que utilizamos para identificar la session de tracing (tendremos que hacer referencia al mismo identificador cuando terminemos la sesión).

El GUID para el proveedor de tracing LDAP es "099614a5-5dd7-4788-8bc9-e29f43db28fc".

filename especifica el archive de registro donde se generarán los logs.

traceFlags puede ser una combinación de los siguientes valores:

DEBUG_TRACE1

0x00000001

DEBUG_TRACE2

0x00000002

DEBUG_REFCNT

0x00000004

DEBUG_HEAP

0x00000008

DEBUG_CACHE

0x00000010

DEBUG_SSL

0x00000020

DEBUG_SPEWSEARCH

0x00000040

DEBUG_SERVERDOWN

0x00000080

DEBUG_CONNECT

0x00000100

DEBUG_RECONNECT

0x00000200

DEBUG_RECEIVEDATA

0x00000400

DEBUG_BYTES_SENT

0x00000800

DEBUG_EOM

0x00001000

DEBUG_BER

0x00002000

DEBUG_OUTMEMORY

0x00004000

DEBUG_CONTROLS

0x00008000

DEBUG_BYTES_RECEIVED

0x00010000

DEBUG_CLDAP

0x00020000

DEBUG_FILTER

0x00040000

DEBUG_BIND

0x00080000

DEBUG_NETWORK_ERRORS

0x00100000

DEBUG_SCRATCH

0x00200000

DEBUG_PARSE

0x00400000

DEBUG_REFERRALS

0x00800000

DEBUG_REQUEST

0x01000000

DEBUG_CONNECTION

0x02000000

DEBUG_INIT_TERM

0x04000000

DEBUG_API_ERRORS

0x08000000

DEBUG_ERRORS

0x10000000

Para detener el tracing, ejecutamos el siguiente comando:

tracelog.exe -stop <sessionname>

Ejemplo práctico

Un administrador recibe un error inesperado en una aplicación que establece contraseñas para cuentas de Usuario.

Decide habilitar tracing para APP1.exe mediante los siguientes pasos:

1. Crear la clave de registro

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\ ldap\Tracing\App1.exe

y habilitar una session de tracing mediante el siguiente comando:

C:\>tracelog.exe -start ldaptrace -guid #099614a5-5dd7-4788-8bc9-e29f43db28fc -f .\ldap.etl -flag 0x80000

2. Una vez ejecutado este comando, se escribirán mensajes de tipo DEBUG_BIND en el log .\ldap.etl.

3. Ejecutamos App1.exe para reproducir el comportamiento inesperado.

4. Detenemos la session de tracing:

C:\>tracelog.exe -stop ldaptrace

5. Eliminamos la clave HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\ ldap\Tracing\App1.exe para que ningún otro usuario pueda obtener información de tracing de App1.exe.

6. Utilizamos otra herramienta como Tracerpt.exe para interpreter la información del log de tracing generado:

C:\>tracerpt.exe .\ldap.etl -o -report

Autenticación Kerberos

Habilitar el “tracing detallado” de kerberos mediante el siguiente comando

tracelog.exe -kd -rt -start kerb -guid #6B510852-3583-4e2d-AFFE-A67F9F223438 -f .\kerb.etl -flags 0x43 -ft 1

Para detener el logging, una vez reproducido el problema, ejecutar el siguiente comando:

tracelog.exe -stop kerb

Autenticación NTLM

Para habilitar el logging:

tracelog.exe -kd -rt -start ntlm -guid #5BBB6C18-AA45-49b1-A15F-085F7ED0AA90 -f .\ntlm.etl -flags 0x15003 -ft 1

Para detener el logging:

tracelog -stop ntlm

KDC

Para habilitar logging en el KDC (el servicio de validación y distribución de tickets kerberos en un DC):

tracelog.exe -kd -rt -start kdc -guid #1BBA8B19-7F31-43c0-9643-6E911F79A06B -f .\kdc.etl -flags 0x803 -ft 1

Para detener el logging:

tracelog.exe -stop kdc

Usando el editor del registro

Tambien podemos habilitar el logging a través del registro de Windows:

Method

Registry key setting

NTLM

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0

· Value name: NtLmInfoLevel

· Value type: DWORD

· Value data: c0015003

Kerberos

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters

· Value name: KerbDebugLevel

· Value type: DWORD

· Value data: c0000043

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos

· Value name: LogToFile

· Value type: DWORD

· Value data: 00000001

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters

· Value name: LogToFile

· Value type: DWORD

· Value data: 00000001

KDC

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc

· Value name: KdcDebugLevel

· Value type: DWORD

· Value data: c0000803

Ubicación de los ficheros de salida

Si habilitamos el logging mediante tracelog.exe se generarán los archivos correspondientes de registro, kerb.etl/kdc.etl/ntlm.etl en el directorio desde donde hemos ejecutado el comando

Si lo hemos habilitado en el registro, los archivos se generarán en las siguientes ubicaciones:

NTLM: %systemroot%\tracing\msv1_0
Kerberos: %systemroot%\tracing\kerberos
KDC: %systemroot%\tracing\kdcsvc

Esperamos que esta información os pueda resultar de utilidad a la hora de buscar las posibles causas de problemas relacionados con Directorio Activo.

Tolu Igbon

¿Cómo configurar mi máquina para obtener un Dump de memoria?

esplat — Fri, 22 Aug 2008 10:50:00 GMT

En un porcentaje elevado de los casos de soporte es necesaria la obtención, o el análisis, de un volcado de memoria de la máquina para llegar a conocer quien o quienes pueden ser los responsables de una caída inesperada de la máquina, un bloqueo o una degradación en su rendimiento.

Lo mas conveniente es tener el servidor configurado de forma que, en caso de caída inesperada, se genere un volcado automático y este pueda ser analizado con posterioridad.

Para configurar la máquina habremos de seguir los siguientes pasos:

Cómo seleccionar opciones de volcado de memoria

Se pueden generar tres tipos de archivos de volcado de memoria. Seleccione uno antes de desencadenar el archivo de volcado manualmente. Para ello, siga estos pasos:

1. Haga clic con el botón secundario del ratón en Mi PC y, a continuación, haga clic en Propiedades.

2. En la ficha Opciones avanzadas, haga clic en el botón Configuración de Inicio y recuperación.

3. Haga clic en Escribir información de depuración y, a continuación, seleccione Volcado de memoria completa o la opción que deseemos configurar.

También podemos configurar aquí donde quedará guardado el fichero definitivo.

Hemos de tener en cuenta que se generará un fichero temporal en la unidad de sistema, y durante el inicio de la máquina, tras el volcado, este fichero pasará a la ubicación indicada en esta opción, por lo que deberemos de tenerlo en cuenta a la hora de administrar el espacio en disco.

Por esto es muy importante tener al menos un archivo de paginación con el tamaño de la memoria física en la unidad de sistema, si se encuentra en otra unidad no podrá generar el temporal no obteniendo el volcado.

Estas mismas opciones están en el registro, en la clave HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl

Con los valores:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\CrashControl
CrashDumpEnabled REG_DWORD 0x0 = None
CrashDumpEnabled REG_DWORD 0x1 = Complete memory dump
CrashDumpEnabled REG_DWORD 0x2 = Kernel memory dump
CrashDumpEnabled REG_DWORD 0x3 = Small memory dump (64KB)

Algunos valores adicionales CrashControl:

0x0 = Disabled
0x1 = Enabled
AutoReboot REG_DWORD 0x1
DumpFile REG_EXPAND_SZ %SystemRoot%\Memory.dmp
LogEvent REG_DWORD 0x1
MinidumpDir REG_EXPAND_SZ %SystemRoot%\Minidump
Overwrite REG_DWORD 0x1
SendAlert REG_DWORD 0x1

Se necesita un reinicio para habilitar las opciones configuradas con antelación.

Obtenido de:

307973 How to configure system failure and recovery options in Windows

http://support.microsoft.com/default.aspx?scid=kb;EN-US;307973

254649 Overview of memory dump file options for Windows Server 2003, Windows XP, and Windows 2000

http://support.microsoft.com/default.aspx?scid=kb;EN-US;254649

274598 Complete memory dumps are not available on computers that have 2 or more gigabytes of RAM

http://support.microsoft.com/default.aspx?scid=kb;EN-US;274598

En los casos en que se queda la máquina bloqueada se puede generar un volcado mediante el teclado que nos permita analizar que estaba haciendo en el momento de cuelgue y cuál puede ser el causante.

También se puede emplear para comprobar si el volcado se realiza correctamente en caso de no estar seguros que este correctamente configurado, la forma de configurarlo está reflejado en el artículo siguiente.

Habilitar el Scroll Lock dump –

Para lanzar el volcado de memoria se deberá pulsar la siguiente combinación de teclas:

CTRL+SCROLL LOCK+SCROLL LOCK

Esta opción se habilita en un equipo que utiliza un teclado PS/2, siguiendo estos pasos:

1.Inicie el Editor del Registro.

2.Busque la siguiente sub clave del Registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\i8042prt\Parameters

3.En el menú Edición, haga clic en Agregar valor y agregue la entrada siguiente del Registro:

Nombre: CrashOnCtrlScroll
Tipo de datos: REG_DWORD
Valor: 1

4.Cierre el Editor del Registro y reinicie el equipo

Para el caso de teclado USB se precisa una versión especial del driver Kbdhid.sys, el cual solo está desarrollado para sistemas servidor y disponible como hotfix.

En el momento que se pulse la combinación aparecerá nuestra querida pantalla azul con el siguiente mensaje:

*** STOP: 0x000000E2 (0x00000000,0x00000000,0x00000000,0x00000000)
The end-user manually generated the crashdump.

Habrá que esperar a que el contador llegue a cien y se reinicie la maquina (en caso de estar seleccionado el reinicio en las opciones del volcado) para que se genere el volcado complete de memoria al disco.

244139 Windows feature lets you generate a memory dump file by using the keyboard

http://support.microsoft.com/default.aspx?scid=kb;EN-US;244139

Cuando no se genera el volcado a pesar de estar la máquina correctamente configurada es muy importante revisar que no tenga configurado o habilitado opciones como Automatic System Restart (ASR) de Compact o elementos similares de otros proveedores, estos se suelen administrar desde las opciones de la BIOS de la máquina.

También se tiene que cumplir la siguiente condición en cuanto a la configuración del disco y el archivo de paginación:

Si se selecciona la opción volcado de memoria completa, se debe tener en el volumen de arranque del sistema un archivo de paginación que sea suficiente para contener toda la memoria física RAM mas 1MB (megabyte). Por defecto el volcado de memoria completa se escribe en el fichero %SystemRoot%\Memory.dmp.

Esto es debido a que en la partición del sistema se aloja el fichero temporal donde se vuelca la memoria hasta el inicio de la máquina y copiado a la unidad seleccionada en las propiedades de la máquina.

Se pueden realizar las mismas opciones para las máquinas virtuales, en este articulo se especifica cómo hacerlo para Virtual Server 2005.

928839 How to use the keyboard to generate a memory dump file on a Virtual Server 2005 guest computer

http://support.microsoft.com/default.aspx?scid=kb;EN-US;928839

Toda esta información aplica a las versiones de W2000, Windows 2003 y Windows 2008 Server.

Espero que esta información facilite la obtención de datos para poder solucionar situaciones que, en algunos casos, resultan críticas para una empresa.

Raúl del Moral Guirado

Técnico de Soporte Premier

DEBUG_TRACE1	0x00000001
DEBUG_TRACE2	0x00000002
DEBUG_REFCNT	0x00000004
DEBUG_HEAP	0x00000008
DEBUG_CACHE	0x00000010
DEBUG_SSL	0x00000020
DEBUG_SPEWSEARCH	0x00000040
DEBUG_SERVERDOWN	0x00000080
DEBUG_CONNECT	0x00000100
DEBUG_RECONNECT	0x00000200
DEBUG_RECEIVEDATA	0x00000400
DEBUG_BYTES_SENT	0x00000800
DEBUG_EOM	0x00001000
DEBUG_BER	0x00002000
DEBUG_OUTMEMORY	0x00004000
DEBUG_CONTROLS	0x00008000
DEBUG_BYTES_RECEIVED	0x00010000
DEBUG_CLDAP	0x00020000
DEBUG_FILTER	0x00040000
DEBUG_BIND	0x00080000
DEBUG_NETWORK_ERRORS	0x00100000
DEBUG_SCRATCH	0x00200000
DEBUG_PARSE	0x00400000
DEBUG_REFERRALS	0x00800000
DEBUG_REQUEST	0x01000000
DEBUG_CONNECTION	0x02000000
DEBUG_INIT_TERM	0x04000000
DEBUG_API_ERRORS	0x08000000
DEBUG_ERRORS	0x10000000