Indirizzo IP client non valido nell'ID evento di sicurezza 4624 in Windows 7 e Windows Server 2008 R2

Questo articolo fornisce una risoluzione a un problema a causa del quale vengono generati l'evento 4624 e un indirizzo IP e un numero di porta client non validi quando un computer client tenta di accedere a un computer host che esegue RDP 8.0.

Si applica a: Windows Server 2008 R2 Service Pack 1, Windows 7 Service Pack 1
Numero KB originale: 3097467

Sintomi

Si supponga che l'aggiornamento RDP (Remote Desktop Protocol) 8.0 per Windows 7 e Windows Server 2008 R2 (KB2592687) sia installato e abilitato tramite le impostazioni dei criteri. Quando il desktop remoto di un utente accede a tale computer, viene registrato l'ID evento di sicurezza 4624 e viene visualizzato un indirizzo IP e un numero di porta client non validi, come indicato di seguito:

Nome log: Sicurezza
Origine: Microsoft-Windows-Security-Auditing
Data: 14/09/2015 16:10:36
ID evento: 4624
Categoria attività: Accesso
Livello: Informazioni
Parole chiave: Audit SuccessUser: N/A
Computer: <computerFQDN>
Descrizione:
È stato eseguito l'accesso a un account.

Oggetto:
ID di sicurezza: SYSTEM
Nome account: < MachineName>$
Dominio account: <DomainName>
ID accesso: 0x3e7

Tipo di accesso: 10

Nuovo accesso: ID di sicurezza: < NomeDominio>\<nomeutente>
Nome account: < UserName>
Dominio account: <DomainName>
ID accesso: 0x35137
GUID di accesso: {00000000-0000-0000-0000-000000000000}

Informazioni sul processo:
ID processo: 0x7cc
Nome processo: C:\Windows\System32\winlogon.exe

Informazioni di rete:
Nome workstation:nomecomputer<>
Indirizzo di rete di origine: 244.230.0.0
Porta di origine: 0

Informazioni dettagliate sull'autenticazione:
Processo di accesso: User32
Pacchetto di autenticazione: Negotiate
Servizi transitati: -
Nome pacchetto (solo NTLM): -
Lunghezza chiave: 0

Questo evento viene generato quando viene creata una sessione di accesso. Viene generato nel computer a cui è stato eseguito l'accesso.
I campi oggetto indicano l'account nel sistema locale che ha richiesto l'accesso. Si tratta in genere di un servizio come il servizio Server o un processo locale, ad esempio Winlogon.exe o Services.exe. Il campo tipo di accesso indica il tipo di accesso che si è verificato. I tipi più comuni sono 2 (interattivo) e 3 (rete). Il campo tipo di accesso indica il tipo di accesso che si è verificato. I tipi più comuni sono 2 (interattivo) e 3 (rete). I campi Nuovo accesso indicano l'account per il quale è stato creato il nuovo accesso, ad esempio l'account connesso. I campi di rete indicano dove ha avuto origine una richiesta di accesso remoto. Il nome della workstation non è sempre disponibile e può essere lasciato vuoto in alcuni casi.

I campi delle informazioni di autenticazione forniscono informazioni dettagliate su questa richiesta di accesso specifica.

• Il GUID di accesso è un identificatore univoco che può essere usato per correlare questo evento a un evento KDC.
• I servizi transitati indicano quali servizi intermedi hanno partecipato a questa richiesta di accesso.
• Il nome del pacchetto indica quale sottoprogetto è stato usato tra i protocolli NTLM.
• La lunghezza della chiave indica la lunghezza della chiave di sessione generata. Questo valore sarà 0 se non è stata richiesta alcuna chiave di sessione.

Causa

Questo problema si verifica a causa di una modifica del codice in RDP 8.0. In RDP 8.0 l'indirizzo IP del client viene archiviato in una struttura WTS_SOCKADDR. Ciò differisce da RDP 7.0 (la versione RDP predefinita in Windows 7 e Windows Server 2008 R2).

In Windows 8 e Windows Server 2012 (e versioni successive di Windows), la logica del codice per la registrazione di questo evento viene riscritta in base alla nuova progettazione. Ciò impedisce che si verifichi questo problema.

Risoluzione

Per risolvere questo problema, aggiornare il computer di destinazione RDP a Windows 8 o Windows Server 2012 (o versione successiva). In alternativa, disabilitare RDP 8.0 in Windows 7 o Windows Server 2008 R2.

Ulteriori informazioni

Questo problema può verificarsi anche se si usa un componente RDP di terze parti per accedere a Windows 7 o Windows Server 2008 R2 quando tale componente di terze parti usa la stessa struttura WTS_SOCKADDR. In questo caso, prendere in considerazione l'aggiornamento del sistema operativo o contattare il provider di componenti per assistenza.