Работает служба профилей пользователей при входе на RDS ферму

Добрый день! Уважаемые читатели и гости IT блога Pyatilistnik.org. Продолжаем с вами рассматривать интересные случаи в работе терминальных служб. В сегодняшней заметке я вам расскажу, о ситуации, когда при входе на удаленный рабочий стол, у вас долго висит надпись "Работает служба профилей пользователей" и пользователь минут 5-10 не может попасть на свой рабочий стол. Думаю мой практический опыт окажется для многих полезным и поможет сэкономить кучу нервом и времени.

Описание ситуации

И так есть RDS ферма на Windows Server 2012 R2 в отказоустойчивом режиме. Два посредника подключений (Connection Broker) и 15 хостов подключений (Session Host). В какой-то момент времени стали поступать жалобы на то, что пользователи долго не могут попасть на свои столы и есть трудности. При попытке зайти под тестовой учетной записью я увидел вот такую картину. После ввода логина и пароля у меня после авторизации стало висеть уведомление, что работает служба профилей пользователей. Выглядит это вот так.

В английском варианте, это выглядит вот так "Please wait for the user Profile Service".

Надпись с ползунком прокрутки может висеть так минут 5-10, после чего может пустить пользователя на удаленный рабочий стол, или же выкинуть с ошибкой:

Решение проблемы

Ранее я уже помнил данную службу, когда у меня была ошибка при входе "Служба профилей пользователей препятствует входу в систему в Windows 7". Там была проблема с поврежденным, локальным профилем. Но на RDS ферме использовались исключительно перемещаемые профили и если они повреждались, то ошибка была "Служба профилей пользователя не удалось войти в систему". Так как этих ошибок не было, то вывод был очевидный, что с перемещаемыми профилями все в порядке. После успешного логина, я попробовал выполнить выход из системы, в результате чего я получил ошибку:

Ошибка показала, что не смогла завершить сохранение данных перемещаемого профиля на файловом сервере. Сами данные хранились на файловом кластере из двух нод. Обе ноды работают на операционной системе Windows Server 2016. Подключившись к каждой из них я обнаружил, что загрузка моего процессора составляла 100%, в следствии чего проседала производительность всего сервера и в том числе и сетевых карт, так как CPU участвует в обработке сетевого трафика. У меня была версия Symantec Endpoint Protection 14.0 RU1 MP2 build 3929.

Как видите процесс Symantec Service Framework кушает очень много процессорных мощностей. С данным глюком антивируса Symantec или Norton я уже встречался ранее, еще на 12 версии, там так же присутствовала проблема с загрузкой CPU или вообще пропадала сеть. В 14-й версии данный косяк так же присутствует, этому как я выяснил посвящена целая ветка на форуме разработчика (https://community.norton.com/en/forums/norton-security-causing-high-cpu-usage). Кстати такое же поведение вы можете легко встретить и у антивируса Norton Security, от тех же разработчиков.

Так как у меня не было возможности перезагрузить оба сервера, в виду того что был час пик и физические сервера долго потом прогружаются, было принято решение удалить антивирус Symantec Endpoint Protection 14, без перезагрузки. Сделать, это можно из окна "Программы и компоненты", открыть которое можно введя в окне "Выполнить" волшебную фразу appwiz.cpl.

Как только это было сделано, то большинство пользователей успешно стали подключаться к терминальным службам.

Если у пользователей появляются ошибки вида "Не удается завершить требуемую операцию, поскольку RDP службы заняты", то вам придется сбросить текущие подключения к базе данных ваших посредников по подключению (Connection Broker) и по очереди их перезагрузить. Подробнее и с картинками смотрите по ссылке.

или "The task you are trying to do can't be completed because Remote Desctop Services is currently bysy. Please try again in a few minutes. Other users should still be able to log on"

Высокая нагрузка на сеть

Когда я разворачивал RDS HA на базе Windows Server 2019, то в качестве места, где будут хранится пользователи я выбрал технологию перемещаемых профилей, которые в момент входа на RDSH хост, копировались с файловой шары. Если у вас данный хост будет иметь проблемы с ресурсами, то вы будите видеть на экране входа "Работает служба профилей пользователей". Вот реальный пример ситуации, с утра начались массовые жалобы, что у людей начали появляться временные профили или же "Не удается завершить требуемую операцию".

Я помнил, что такое поведение RDS чаще всего связано, когда не получается за определенное время загрузить на RDSH хост профиль пользователя, и операция завершается по тайм ауту. Естественно я полез по RDP на сервер, где располагались профили пользователей и в систему мониторинга. На сервере я обнаружил, что антивирус Касперского двумя своими процессами "Kaspersky Anti-Virus worker process" скушал мощности процессора CPU на 100%, в свою очередь, это сильно замедлило скорость сети.

Открыв диспетчер задач я увидел, что сетевой интерфейс загружен на 100% почти 10GB/с.

Посмотрев детально куда идет трафик я увидел, что это RDSH хосты.

Система мониторинга показала слишком завышенный всплеск сетевой активности на сервере

Посмотрев статистику за неделю, видно, что пики были меньше и не такие продолжительные.

В итоге на время я вам советую отключить антивирус Касперского, а затем обновить на нем модули и базы, должно помочь. Надеюсь. что моя небольшая заметка помогла вам диагностировать долго висящую надпись "Работает служба профилей пользователей" при подключении к удаленному рабочему столу в RDS ферме. С вами был Иван Семин, автор и создатель IT блога Pyatilistnik.org.