Análise do erro "995 the I/O operation has been aborted because of either a thread exit or an application request"

Introdução

Este artigo visa orientar o administrador do ISA Server e/ou Forefront TMG a entender como analisar o erro "995 the I/O operation has been aborted because of either a thread exit or na application request" e entender possíveis causas para o mesmo ocorrer.

Lembrando que este erro pode ter diversas causas e este artigo não irá conter o workaround para todas, visto que a situação varia de acordo com o ambiente.

Em que situação o erro pode acontecer

Acessos a sites e/ou conexões via SSL (HTTPS) e também em conexões VPN L2TP, SSTP ou PPTP

Porque este erro ocorre

Este problema pode ocorrer por diversos motivos, porém, os mais prováveis são:

Ambientes antigos de ISA Server 2006 (ainda existentes em muitos clientes) nos quais não foram aplicados todos as atualizações necessárias e a falta das mesmas pode incorrer neste e em muitos outros problemas. Portanto é altamente recomendado que, na impossibilidade da migração do ambiente, que todas as atualizações do produto estejam em dia no ambiente. O último hotfix do ISA coloca o produto na versão 5.0.5723.526. Veja todos os updates e hot fix do ISA Server clicando aqui.

Para quem teve problemas com Dynamic Caching em março de 2012, foi disponibilizado um fix para correção que muda a versão do produto para 5.0.5723.527, que pode ser adquirido aqui. 

Time out da conexão quando chega ao destino por diversos motivos.

Problemas de certificado digital para que a conexão possa ser estabelecida. Mais comuns são falhas ou falta do certificado root no cliente e/ou proxy server para que haja na confiança na entidade certificadora. Este problema pode ocorrer no momento em que a conexão tenta verificar a autenticidade deste certificado e não consegue.

Cenário real

O cenário abaixo ocorreu em um cliente no dia 15/07/2014. Os desenvolvedores de uma determinada consultoria que estão alocados no cliente precisavam se conectar ao ambiente do fornecedor para acesso a informações pertinentes ao trabalho que estão desenvolvendo.

Para tanto foi criada uma VPN PPTP a fim de proporcionar a eles este acesso e assim terem como se conectar ao ambiente.

No momento em que a conexão VPN era iniciada o cliente no desktop exibia um erro genérico (Erro 800). Usando uma máquina de testes foi verificado nos log´s do ISA Server o seguinte erro abaixo:

Figura 1 - Tela do erro Status 995

Para certificação de que o problema era do próprio ambiente foi feito uma tentativa de conexão via Telnet no IP de destino pela porta 443 e, a partir do servidor TMG o acesso era completado com sucesso.

Neste ponto foi feito a coleta de dados com Network Monitor na estação e no servidor, o qual nos retornou uma linha em que algo estava errado com o certificado que estabelecia a conexão entre as pontas.

O primeiro passo a verificar foi determinar se o servidor e a estação possuíam em sua lista de certificados, o root da entidade certificadora que emitia o certificado usado pelo destino. Após verificação do mesmo no Snap-In "Certificates" verificamos que o mesmo estava lá porém, as log´s do Netmon ainda apontavam para um erro de certificado.

Ao retornar ao servidor de proxy achamos por bem rever a query montada para análise deste tráfego e vimos que estavam sendo monitorados apenas os IP´s de origem e destino. Decidimos expandir mais a monitoração da Query para que só fosse monitorado o tráfego de origem.

Em uma segunda tentativa na qual o erro foi simulado, recebemos, além do erro 995, um "Failed Connection" do TMG para o site da empresa GeoTrust (entidade certificadora que emitia o certificado para a estrutura da VPN no destino):

Figura 2 - erro no acesso ao site da geotrust para validação do root

Como o tráfego ao site http://rapidssl-aia.geotruts.com/rapidssl.crt não se completava, o primeiro acesso a VPN não poderia ser completado.

Para solucionar o problema, foi adicionado o domínio *.geotrust.com na mesma regra que viabilizada o acesso VPN.

Após essa alteração, o acesso dos usuários a VPN no destino foi concluído com sucesso.

Conclusão

Este artigo mostrou as causas e formas de análise do erro  "995 the I/O operation has been aborted because of either a thread exit or na application request" ,

Vale mais uma vez ressaltar que este problema pode ter diversas causas e o conteúdo apresentado neste artigo explana alguns métodos de análise e resolução, sendo que o mesmo deve ser analisado de forma particular caso a caso.