Ошибка 0x00000027 при синем экране на терминальном сервере

Добрый день! Уважаемые читатели и гости одного из крупнейших блогов по системному администрированию Pyatilistnik.org. В прошлый раз мы разобрали, как устанавливается Windows Server 2019 с последующей базовой настройкой, на текущий момент, это флагманская ОС у компании Microsoft. В сегодняшней публикации мы рассмотрим, причину синего экрана с кодом ошибки RDP-FILE-SYSTEM (rdbss.sys) и номером 0x00000027, которая у меня произошла на одном из хостов RDS фермы Windows Server 2012 R2.

Описание синего экрана RDP-FILE-SYSTEM

Как я и писал выше у меня есть RDS ферма из 20 хостов, в какой-то момент от системы мониторинга пришло уведомление, что один из терминалов стал неактивен. Когда я зашел в окно консоли данной виртуальной машины я обнаружил вот такое сообщение:

Если посмотреть логи Windows через просмотр событий или через Windows Admin Center, то можно обнаружить событие с кодом 1001.

Устраняем ошибку 0x00000027

Так как в моей системе после любого синего экрана создается дамп памяти, то я легко могу его прочитать. Не так давно я вам показывал, как искать причины синего экрана и рассказывал, как с помощью утилиты Microsoft Kernel Debugger, которая нам уже помогала в случаях:

• STOP 0x00000050
• Синий экран dpc watchdog violation
• Whea uncorrectable error
• HAL INITIALIZATION FAILED

Что такое rdbss.sys?

Как видно из отчета, вся проблема с драйвером rdbss.sys. The Redirected Drive Buffering SubSystem (rdbss.sys) - это драйвер подсистемы перенаправленного диска. Подсистема перенаправленной дисковой буферизации (RDBSS) предоставляется в виде драйвера файловой системы режима ядра, который входит в состав операционной системы, и в качестве статической библиотеки rdbsslib.lib, которая входит в комплект драйверов Windows (WDK). Статическая библиотека дублирует код в драйвере режима ядра rdbss.sys .

Первоначальная схема состояла в том, что все сетевые мини-редиректоры будут динамически связываться с драйвером ядра rdbss.sys. Драйверы, которые динамически связаны с rdbss.sys , называются немонолитными драйверами. Однако эта функция никогда не была полностью реализована, поэтому только сетевой мини-перенаправитель Microsoft SMB динамически связывается с rdbss.sys и является немонолитным драйвером. Все остальные сетевые мини-редиректоры, включая другие перенаправители Microsoft, включенные в операционную систему, связаны с библиотекой rdbsslib.lib и статически содержат тот же код, что и драйвер ядра rdbss.sys. Хотя один и тот же исходный код RDBSS используется как в драйвере rdbss.sys, так и в файле rdbsslib.lib библиотеки, размер монолитного сетевого драйвера мини-перенаправителя больше, так как большая часть кода в rdbss.sys включена в каждый драйвер.

Причин по которым данный драйвер может повести себя некорректно не много и чаше всего они связаны с:

• Утилитой FAR Manager из которой вы на RDS хосте обращаетесь к своим локальным дискам \\tsclient
• Перемещаемые профили
• Обновления Windows
• Несоответствие версий SMB
• Вирус и вредоносное ПО
• BIOS и драйверы

Первым делом, когда вы получили синий экран смерти с RDP-FILE-SYSTEM (rdbss.sys) и номером 0x00000027, я вам советую перевести ваш RDSH хост в режим стока, чтобы к нему никто больше не мог подключаться, на время вашего ремонта. Компания Microsoft, вроде бы отчиталась, что данную ошибку они решили аж в 2018 году, выпустив обновление. Поэтому первым делом я вам советую произвести установку обновлений. Так как у меня, это Windows Server 2012 R2, то я открываю "окно Выполнить" и ввожу wuapp.

Производите поиск доступных обновлений, в моем примере нашлось 37 обновлений, их стоит установить.

Следующим этапом после перезагрузки сервера, я бы попробовал проверить данный сервер на наличие проблем с системными файлами их их повреждением, ошибками на исках. Откройте командную строку от имени администратора и введите команду, которая все сделает красиво:

Первой у нас отработает утилита SFC, она проверит нашу систему на предмет битых файлов и постарается их восстановить. Хочу отметить, что процесс не быстрый и может занимать минут 15-20. Как видно из моего скриншота, поврежденное хранилище компонентов успешно восстановлено.

Далее у нас вступает в работу утилита DISM. На конечном этапе нам необходимо перезагрузить сервер, чтобы утилита CHKDSK смогла проверить системный диск на наличие ошибок.

Если у вас после обновлений и проверки целостности системных файлов, все продолжают появляться синие экраны с ошибкой 0x00000027, то пробуем обновить драйвера. Если физический сервер, то заходите на сайт производителя и скачиваете все или можете установить сразу скопом. Если у вас виртуальная машина, как и у меня на гипервизоре VMware ESXI 6.5, то попробуйте установить свежую версию VMTools драйверов интеграции. Так же я вам советую загрузиться в безопасном режиме Windows и проверить на наличие вирусов вашу систему.

Синий экран RDP-FILE-SYSTEM из-за сторонних программ

Продолжив изучать данную ошибку 0x00000027, я наткнулся на ветку обсуждения на сайте Mirosoft, где обсуждалось, что данный BSOD был вызван утилитой FAR Manager.

Со стороны FAR Manager ситуация такова, что он активно использует Native API, и для операций с каталогами использует не классические функции модуля kernel32 (FindFirstFile/FindNextFile), а функции модуля ntdll (NtQueryDirectoryFile). Возможно, здесь и получается какая-то неожиданная комбинация параметров/вызовов, которую разработчики rdbss.sys не учли (система падает на NtClose, когда идёт очистка открытого объекта файла).

Еще я находил случаи, когда старое приложение NetWorx с фильтром TDI вызывало синий экран 0x00000027. Обязательно проверьте логи вашего антивируса если он есть, так как они любят встраивать свои драйвера в сетевой стек Windows. Надеюсь, что вам поможет, это решить данную проблему с синим экраном. С вами был Иван Семин, автор и создатель IT портала Pyatilistnik.org.