Windows Server 2025 / Mendiagnosis peristiwa server dan kegagalan layanan

Untuk mendiagnosis kegagalan server, hubungkan gejala pengguna dan waktunya dengan peristiwa terkait serta keadaan layanan. Satu ID peristiwa atau daftar layanan berhenti belum membuktikan penyebab. Bandingkan dengan operasi normal sebelum mengubah pengaturan.

Catat gejala, waktu, dan perubahan terakhir

Jika folder bersama tidak dapat diakses, catat klien, akun, jalur tepat, pesan kesalahan, dan waktunya. Periksa apakah semua pengguna atau hanya satu identitas terdampak serta apakah layanan lain pada komputer ikut gagal. Catat pembaruan dan perubahan konfigurasi tanpa langsung menganggapnya penyebab. Jalankan kueri berikut pada server yang diperiksa, misalnya FS1, melalui Windows PowerShell; jangan keliru menjalankannya pada komputer administrasi:

hostname
Get-Date
Get-TimeZone
Get-CimInstance Win32_OperatingSystem | Select-Object LastBootUpTime

hostname menunjukkan komputer konsol ini; Get-Date dan Get-TimeZone membantu membaca waktu serta zonanya, sedangkan LastBootUpTime menunjukkan boot sistem terakhir. Cocokkan waktu pengguna dan peristiwa, khususnya saat membandingkan beberapa komputer, tanpa langsung mengubah jam. Pastikan juga komputer yang dipilih pada setiap konsol jarak jauh. Peringatan sekali saat boot tidak sama dengan kegagalan berulang pada saat insiden.

Batasi interval pada Event Viewer

1. Buka eventvwr.msc dan pastikan komputer yang dipilih pada pohon. Periksa Windows Logs → System serta Application sesuai gejala.
2. Pilih log dan saring rentang sebelum dan sesudah insiden. Pilih tingkat relevan tanpa selamanya mengeluarkan peristiwa informasional dari penyelidikan.
3. Baca penyedia, ID, waktu, dan pesan bersama-sama. Nomor yang sama dari penyedia lain dapat berarti hal berbeda. Buka Details untuk menyimpan data khusus peristiwa.
4. Untuk peran terdampak, periksa Applications and Services Logs → Microsoft → Windows serta kanal terkait. Domain Name System (DNS) untuk nama domain, GroupPolicy untuk kebijakan grup, dan SMBServer untuk berbagi file adalah contoh; kanal tepat bergantung pada komponen yang terpasang.
5. Bandingkan peristiwa sebelum dan sesudah kegagalan. Dari panel tindakan, simpan peristiwa relevan dalam EVTX, format log peristiwa Windows, dengan komputer, penyedia, dan rentangnya. Tangkapan layar terpotong bukan pengganti data asli.

Jumlah kesalahan saja tidak mengukur dampak layanan. Peristiwa informasional dapat menjelaskan urutan startup atau perubahan, sehingga tetap penting meskipun penyaringan awal berfokus pada peringatan dan kesalahan. Jangan menghapus log agar pesan lama hilang: bukti akan berkurang tanpa memperbaiki penyebab. Untuk akses file ditolak, bedakan izin dan negosiasi keamanan melalui diagnosis penandatanganan dan enkripsi SMB. SMB adalah Server Message Block, protokol berbagi file.

Gunakan kueri PowerShell dengan batas

Contoh berikut pada Windows PowerShell administrator di server membaca paling banyak 50 peristiwa terbaru tingkat kritis, kesalahan, atau peringatan dari System, sejak satu jam sebelum filter ditetapkan. Referensi filter Get-WinEvent menjelaskan FilterHashtable. Terapkan batas saat mengambil data, bukan mengambil seluruh log komputer terlebih dahulu:

$eventFilter = @{
    LogName = 'System'
    StartTime = (Get-Date).AddHours(-1)
    Level = 1,2,3
}
Get-WinEvent -FilterHashtable $eventFilter -MaxEvents 50 |
    Select-Object TimeCreated,ProviderName,Id,LevelDisplayName,Message

Hasil memuat waktu, penyedia, ID, tingkat, dan pesan. Level=1,2,3 tidak memasukkan peristiwa informasional; batas MaxEvents=50 dapat melewatkan awal kegagalan jika ada banyak catatan dalam satu jam itu. Sesuaikan StartTime dan, jika perlu akhir interval, EndTime pada tabel filter secara sengaja. Tidak ada peristiwa yang cocok bukan bukti layanan peristiwa rusak. Bedakan hasil tersebut dari akses ditolak atau nama log yang salah. Pertahankan EVTX asli; untuk ekspor teks, jaga pengodean serta baris baru pesan, bukan hanya potongan yang tampak di tabel konsol.

Bedakan keadaan, startup, dan dependensi layanan

Buka services.msc dan temukan layanan tertentu. Pada Properties, periksa keadaan, jenis startup, akun logon, dan opsi pemulihan; catat nilai awal. Jangan memulai setiap layanan berhenti: sebagian berjalan sesuai permintaan atau pemicu, sedangkan lainnya hanya ada jika perannya terpasang. Gunakan nama internal yang bisa berbeda dari nama tampilan. W32Time, layanan Windows Time, digunakan di sini hanya sebagai contoh kueri:

Get-Service -Name W32Time
Get-Service -Name W32Time -RequiredServices
Get-Service -Name W32Time -DependentServices
Get-CimInstance Win32_Service -Filter "Name='W32Time'" | Select-Object Name,State,StartMode,StartName

Kelas Win32_Service membedakan State sebagai keadaan saat ini, StartMode sebagai mode startup, dan StartName sebagai akun yang menjalankan layanan. StartName bukan nama komputer dan tidak menampilkan kata sandi. Pilihan kolom ini tidak menunjukkan seluruh pengaturan startup tertunda, pemicu, atau tindakan pemulihan. Periksa rincian itu sebelum menyimpulkan bahwa layanan berhenti harus selalu aktif. Kueri W32Time yang berhasil pun tidak mendiagnosis seluruh sinkronisasi waktu domain.

Perintah ini membaca W32Time tanpa memulai atau mengubahnya. RequiredServices menampilkan layanan yang dibutuhkan W32Time; DependentServices menampilkan layanan yang bergantung pada W32Time. Referensi Get-Service membedakan kedua arah tersebut. Daftar kosong dapat menjadi hasil yang sah. Bandingkan Status dengan State dari kueri konfigurasi; Running menunjukkan layanan berjalan, bukan otomatis berarti pekerjaan pengguna berhasil.

Mengubah jenis startup berbeda dari memulai atau memulai ulang sekali. Jika layanan segera berhenti, cocokkan waktunya dengan kesalahan akun, konfigurasi, izin, atau dependensi daripada terus mengulang restart tanpa diagnosis. Tindakan pada tab Recovery dapat memicu percobaan ulang yang memengaruhi urutan pengamatan. Kata sandi akun layanan bersama mungkin digunakan komputer atau tugas lain; meresetnya tanpa meninjau pemakai dapat memperluas kegagalan. Jangan menghentikan W32Time pada domain hanya untuk mendemonstrasikan konsep ini.

Simpan bukti sebelum perubahan terarah

1. Simpan log dan pengaturan awal layanan, termasuk startup, identitas, serta pemulihan. Sebelum dibagikan, periksa nama internal, jalur, akun, dan isi pesan; lindungi berkas asli dan buat salinan yang sudah disunting untuk pihak luar.
2. Tentukan hipotesis yang hendak diuji dengan start atau restart, pengguna serta layanan bergantung yang terdampak, dan waktu pelaksanaannya. Jika cakupan atau cara pemulihan belum jelas, lanjutkan penyelidikan sebelum mengubah.
3. Terapkan hanya perubahan yang beralasan pada layanan terkait. Bandingkan keadaan dan peristiwa pada interval yang sama; jangan sekaligus mengubah startup, kredensial, dependensi, dan aturan akses.
4. Ulangi operasi semula dari klien serta akun yang sama, misalnya membaca file bersama yang sama. Status Running saja tidak membuktikan akses tersebut berhasil.
5. Jika hipotesis tidak terbukti, pulihkan hanya nilai yang Anda ubah dan catat, lalu periksa dampaknya. Batasi langkah berikut berdasarkan bukti baru, tanpa mereset seluruh opsi ke nilai bawaan yang diasumsikan.

Mengubah Windows Remote Management (WinRM), pengelolaan jarak jauh Windows, atau layanan akses lain dapat memutus sesi Anda sendiri. Siapkan akses konsol dan cara mengembalikan keadaan sebelum intervensi. Jangan memulai dengan menghapus log, me-restart semua layanan, atau me-reboot server. Bukti penyelesaian adalah pengulangan operasi semula dengan klien, akun, dan jalur yang sama: hasil harus sesuai harapan dan peristiwa kegagalan terkait tidak terus muncul. Konsol yang tampak tanpa kesalahan saja belum cukup.