Windows XP "como servidor" desconecta a todos

temaqueja · #1 (**permalink**) 11/05/2009, 17:33

Hola estoy al borde del colapso por el siguiente problema q no se como vino a caerme encima ya que hace 2 semanas todo estaba muy bien, y disculpen por el post tan extenso::

como inició::Tengo en donde trabajo un pc con windows xp profesional sp-3 y totalmente actualizado que hace las veces de servidor de archivos para un antiguo programa en foxpro (aloja las bases de datos en archivos dbf y cdx en una carpeta compartida), archivos en excel que se abren en modo compartido y servidor de intranet (con easyphp que incluye apache, php y mysql).

Soy consciente de la limitación de XP en el sentido que sólo permite 10 usuario a la vez, en realidad los usuarios son solamente 8.

Hace un par de semanas el servidor desconectó de la red a todos los usuario sin razon aparente y no permitió conexiones por red hasta que lo reinicié; revisando que pasó encontré en el registro lo siguiente:

Cita:

Tipo de suceso: Advertencia
Origen del suceso: Srv
Categoría del suceso: Ninguno
Id. suceso: 2027
Fecha: 27/04/2009
Hora: 10:17:08 a.m.
Usuario: No disponible
Equipo: SERVI
Descripción:
El servidor ha detectado un posible ataque de rechazo de servicio originado por haberse consumido todos los elementos de trabajo. Algunas conexiones se anularon como medida de protección. Si esto no está ocurriendo, incremente el valor de MaxWorkItems del servidor o deshabilite la detección DoS. Este suceso no se registrará otra vez durante 24 horas.

Para obtener más información, vea el Centro de ayuda y soporte técnico en http://go.microsoft.com/fwlink/events.asp.
Datos:
0000: 00 00 00 00 01 00 50 00 ......P.
0008: 00 00 00 00 eb 07 00 80 ....ë..?
0010: 00 00 00 00 22 00 00 c0 ...."..À
0018: 00 00 00 00 00 00 00 00 ........
0020: 00 00 00 00 00 00 00 00 ........

Luego encontré que 4 de las 8 pcs habían sido infectadas por un virus que entre otras perlas se replicaba por la red e infectaba incluso archivos EXE.

Como esta ahora Y POR FIN EL PROBLEMA!
un par de amanecidas, las 4 pcs formateadas y actualizadas, las demas revisadas incluyendo el servidor y TODAVIA

sigue desconectando por lo menos una vez al dia a todos los usuarios juntos... ahora cada vez que lo hace aparece este log:

Cita:

Tipo de suceso: Advertencia
Origen del suceso: Srv
Categoría del suceso: Ninguno
Id. suceso: 2022
Fecha: 06/05/2009
Hora: 10:08:53 a.m.
Usuario: No disponible
Equipo: SERVI
Descripción:
El servidor no pudo encontrar una conexión libre 3 veces en los últimos 60 segundos. esto indica una punta en el tráfico de red. Si esto sucede frecuentemente debería incrementar el número mínimo de conexiones para agregar más espacio en cabeza. para hacer esto, modifique las conexiones libres mínimas y las máximas para Servidor de Lan Manager en el registro.

Para obtener más información, vea el Centro de ayuda y soporte técnico en http://go.microsoft.com/fwlink/events.asp.
Datos:
0000: 00 00 00 00 03 00 48 00 ......H.
0008: 00 00 00 00 e6 07 00 80 ....æ..?
0010: 00 00 00 00 9a 00 00 c0 ....?..À
0018: 00 00 00 00 00 00 00 00 ........
0020: 00 00 00 00 00 00 00 00 ........

* Todas las pcs con antivirus Nod32 actualizado
* Todas las pcs con windows xp profesional sp-3 actualizadas
* Las 8 pcs comparten 6 usuarios (4 tienen su propio usuario y otras 4 comparten 2 usuarios)

BrujoNic · #2 (**permalink**) 11/05/2009, 19:01

Los problemas que a mi parecer veo, son los siguientes:

Windows XP, no fué diseñado para trabajar como servidor.
El mensaje de error te lo dice bien, claro. Al parecer se a tratado de atacar al XP (NO servidor) por varios puertos y por protección, ha bloqueado cualquier tipo de acceso.
Si varios equipos se infectaron, debes complementar el antivirus con otros programas para asegurarte que ya no están infectados. Debes recordar que NO EXISTE UN ANTIVIRUS 100% SEGURO. Espero que tengas registrado esos antivirus LEGALMENTE, si no es así, eso también es un problema.

Tomando en cuenta esos elementos y si te gusta experimentar, yo te recomendaría poner como servidor de aplicaciones, alguna distribución de Linux como Ubuntu. Compartes el directorio donde se encuentra la aplicación por medio de SAMBA, no vas a verte limitado a la cantidad de accesos que tiene windows XP en un grupo de trabajo, vas a poder tener tu aplicación web trabajando sin problemas y lo mas importante, te vas a asegurar que no se contamine de virus.

Si queres continuar tal y como estas, te recomiendo lo que te puse arriba... asegurarte que TODOS los equipos estén limpios de virus. Utiliza el Ccleaner, Spy&Bot y para una mayor seguridad de desinfección, desactiva en todos la opción de restaurar el sistema, ya que ahora, muchos virus se alojan ahí y como es una sección protegida de windows, NO se eliminan los virus.

Cuando ejecutes esas herramientas que te estoy recomendando, te recomiendo que lo hagas en modo seguro para evitar que el virus o lo que sea se active.

temaqueja · #3 (**permalink**) 11/05/2009, 20:30

Cita:

Iniciado por BrujoNic

Los problemas que a mi parecer veo, son los siguientes:

Windows XP, no fué diseñado para trabajar como servidor.
El mensaje de error te lo dice bien, claro. Al parecer se a tratado de atacar al XP (NO servidor) por varios puertos y por protección, ha bloqueado cualquier tipo de acceso.
Si varios equipos se infectaron, debes complementar el antivirus con otros programas para asegurarte que ya no están infectados. Debes recordar que NO EXISTE UN ANTIVIRUS 100% SEGURO. Espero que tengas registrado esos antivirus LEGALMENTE, si no es así, eso también es un problema.

......

Si queres continuar tal y como estas, te recomiendo lo que te puse arriba... asegurarte que TODOS los equipos estén limpios de virus. Utiliza el Ccleaner, Spy&Bot y para una mayor seguridad de desinfección, desactiva en todos la opción de restaurar el sistema, ya que ahora, muchos virus se alojan ahí y como es una sección protegida de windows, NO se eliminan los virus.

Cuando ejecutes esas herramientas que te estoy recomendando, te recomiendo que lo hagas en modo seguro para evitar que el virus o lo que sea se active.

Muchas gracias por responder, entiendo que xp no es un servidor propiamente, el problema del ataque ya se solucionó, sin embargo quedo la secuela (mira en el segundo "quote" que ahi es donde está actualmente el problema) como ya lo indiqué todas las pcs tienen el antivirus actualizado, y las implicadas por el virus han sido formateadas desde cero.

Tienes razón en que pueda existir un virus o un rootkit que el nod no detecte, en todo caso en el "seudo" servidor no hay gran cosa y no hay un solo ejecutable en las carpetas compartidas, solo la data de un simple sistema de punto de venta (presupuestos y facturacion) y hojas de excel. Voy a pasar el ccleaner y el spybot en cada pc una a una como indicas a ver si sacan algo.

A si, me olvidaba::: Restaurar sistema esta desactivado en todas las pc (ya sufri los virus q regresan en el proximo reinicio alguna vez).

Me gustaria saber de alguna herramienta o comando que me permita registrar lo que pasa en la red minuto a minuto, he revisado el visor de sucesos de todas las pcs y ninguna se queja de problemas con la red.

temaqueja · #4 (**permalink**) 11/05/2009, 20:42

Cita:

Iniciado por BrujoNic

Tomando en cuenta esos elementos y si te gusta experimentar, yo te recomendaría poner como servidor de aplicaciones, alguna distribución de Linux como Ubuntu. Compartes el directorio donde se encuentra la aplicación por medio de SAMBA, no vas a verte limitado a la cantidad de accesos que tiene windows XP en un grupo de trabajo, vas a poder tener tu aplicación web trabajando sin problemas y lo mas importante, te vas a asegurar que no se contamine de virus.

Tengo una experiencia minima instalando linux (opciones x defecto y poco mas) el tema que me marea para pasarlo a linux (si no se soluciona voy a tener q formatear y reinstalar d cualquier forma) es que este seudo server tiene 2 impresoras conectadas con una tarjeta de expansion y de que el programa del año de la pera hecho en foxpro busca y asume las impresoras como lpt1 y lpt2 y creo q en linux no se llaman asi y se tienen que montar y no se cuanto mas de lo que no conosco

¿crees que en mi condicion de novato pueda levantar samba e impresoras?

con el intranet en lamp no tendria problemas, ya lo he hecho antes.

BrujoNic · #5 (**permalink**) 12/05/2009, 10:58

Si estás de acuerdo con lo que te puse de que no hay un antivirus 100% seguro, ya vas por buen camino.

Debes recordar que aunque fueron 4 equipos los infectados, estos están en una red y todos de ven como uno, o sea, los demás pudieron verse también afectados.

Como consejo, te diría que revisaras CADA EQUIPO pero SIN CONEXIÓN DE RED, ya que el o los virus, al verse atacado, pueden estar brincando de equipo en equipo para protegerse.

Esas herramientas que te estoy recomendando, tampoco te van a eliminar cualquier cosa que infecte los equipos pero son alternativas de ayuda.

Sobre montar un equipo con alguna distribución Linux, no te voy a decir que es fácil ni difícil, pero si te gusta investigar, si te puedo decir que te va a ser relativamente fácil ya que hay muchísima información en internet.

El problema con las impresoras, creo que no lo tendrías ninguno solo que debes averiguarte si esos modelos de impresoras no son tan viejos para que se vean de forma transparente o si debes realizar una configuración más manual.

Con respecto a los puertos LPT1, 2, etc. Se exactamente a qué te referís, pero creo que ya tenes experiencia de que si una impresora está compartida por red, al conectarla en otro equipo, le podes decir que use determinado puerto y este puede ser cualquier LPT, o sea, CERO problemas en los clientes.

Con SAMBA, es simplemente instalar el servicio, buscar la carpeta a compartir, darle los permisos de lectura escritura, crear los usuarios SAMBA y registrar los equipos cliente XP. Son sencillos pasos que si investigas, te darás cuenta que no nada del otro mundo.

Eso es a groso modo si te decides a cambiar.

Entre las distribuciones Linux que he probado, para mi la más amigable para usuario final, es *buntu (Ubuntu/Kubuntu). Ubuntu es más liviana.

temaqueja · #6 (**permalink**) 12/05/2009, 11:42

Si lo que pasa es que las impresoras son accedidas directamente por el programa el foxpro (tendria que ver como programaron para que desde cualquier pc se mande a imprimir a las impresoras conectadas al servidor y como para elegir una u otra de acuerdo a lo que se esta imprimiendo) tengo el codigo fuente pero es como jugar con el jarrón de mi bisabuela (XD asusta romperlo!).

Una cosa mas... le quite el dhcp a todas las pcs asi q ya las ip son fijas; conoces algun programa para auditar la red? es decir que me ayude a averiguar de donde sale el trafico que de pronto satura la red al que se refiere el mensaje:

Cita:

El servidor no pudo encontrar una conexión libre 3 veces en los últimos 60 segundos. esto indica una punta en el tráfico de red. Si esto sucede frecuentemente debería incrementar el número mínimo de conexiones para agregar más espacio en cabeza.

Todavia me cabe en la cabeza la posibilidad de que el switch o el router puedan estar malogrados.

BrujoNic · #7 (**permalink**) 12/05/2009, 13:06

je je, creo que te seguis confundiendo con respecto a las impresoras.

Te lo explico de esta forma SIN TOMAR EL CUENTA EL PC DONDE ESTAN CONECTADAS Y COMPARTIDAS.

PC S haciendo funciones de servidor... Tiene una carpeta con la aplicación y las impresoras compartidas.

PCs clientes: Tiene un mapeo a la carpeta donde está la aplicación y un acceso directo para iniciarla. Además, tiene 2 impresoras remotas conectadas a las cuales, al momento de conectarlas para que queden en el cliente, le indico qué puerto deben usar (LPT1, LPT2, etc).

Si te fijas ahí, NO tenes que tocar nada en la programación actual de ese programa desarrollado en fox, debido a que, a como lo expusiste arriba, solo imprime por LPT1 o LPT2 y al tener capturadas las impresoras en los clientes con LPT1 o LPT2, sería completamente transparente, me explico?

Ese mensaje que te está dando el PC S, es muy normal cuando la red no está muy estable y al perder alguno de los equipos la conexión y volver a establecerla, para ese PC S, es como una conexión nueva y va incrementando el número de conexiones concurrentes, llegando a sobrepasar las 10 y por lo tanto, no va a darle servicio a ese PC.

Problemas del switch o router??? Eso depende de:

¿Las conexiones son cableadas?
¿Las conexiones son inalámbricas (wireless)?
¿Las conexiones son mixtas (cable e inalámbricas)?
¿El cableado está bien?

Hace muchos años, trabajé con aplicaciones Xbase (dbase, foxprolan, clipper). Entre ellas, me quedé por estabilidad, comodidad y un poco más de seguridad en los archivos índices, con Clipper.

Cuando los índices en Fox, llegan a un tamaño determinado, estos se llegan a degradar o pierden alguna información la cual realmente se encuentra en los DBF.

Espero que tengas una rutina de reindexación.

temaqueja · #8 (**permalink**) 12/05/2009, 20:15

no lo programé yo, pero entiendo el lenguaje... por otro lado chismeando encontre que el programa utiliza varios archivos bat para setear las impresoras con net use dependiendo de lo que se imprime. una pregunta: samba tambien incluye servidor de impresoras de forma que las pcs windows clientes las vean como \\serve\impre1 y \\serve\impre1? sino como se llama el software que hace eso? ... justo en este momento estoy probando a instalar debian + samba en una laptop a manera de práctica o precalentamiento para intentarlo con el pcs.

Cita:

Ese mensaje que te está dando el PC S, es muy normal cuando la red no está muy estable y al perder alguno de los equipos la conexión y volver a establecerla, para ese PC S, es como una conexión nueva y va incrementando el número de conexiones concurrentes, llegando a sobrepasar las 10 y por lo tanto, no va a darle servicio a ese PC.

ese es el problema que inicio todo esto!!! pero no pierde uno o dos pc... BOTA A TODOS A LA VEZ!! espero q un servidor samba pueda manejar esa situación.

BrujoNic · #9 (**permalink**) 12/05/2009, 23:50

Esos bat que tenes y estas viendo, de a fijo es para ejecutarse en los clientes y deben decir algo como esto:

Asignar impresora a LPT1: NET USE LPT1: \\NombrePC\NombreImpresora /yes
Borrar impresora LPT1: NET USE LPT1: /Delete

Con solo ejecutar ese comando en los clientes, las impresoras serán conectadas con el puerto LPT1 asignado y como el programa se va a ejecutar en el cliente, NO debes tocar el código porque ya está programado.

Gracias a don Bill Gate y Micro$oft, cuando llega al límite de 10 conexiones, por lo que leo, va a tirarte o bloquearte todo.

Existe en google un supuesto parche para eliminar ese límite pero como no es de Micro$oft tendrías que usarlo bajo tu propio riesgo.

Busca en google algo como superar el límite de 10 conexiones en windows xp.