Event ID 36 TerminalServices-LocalSessionManager: RDS отключен — диагностика
Симптомы отключения службы RDP (Event ID 36)
В операционном журнале LocalSessionManager регистрируется запись Event ID 36: Remote Desktop Services has been disabled. Сразу после фиксации события все существующие сеансы удаленных пользователей могут завершиться, а новые подключения отклоняются с ошибкой «Удаленный рабочий стол отключен».
| Симптом | Последствия для администратора |
|---|---|
| Отказ подключения по RDP | Клиент MSTSC возвращает ошибку «Remote Desktop cannot connect to the remote computer» |
| Закрытие порта TCP 3389 | Сетевой сокет переходит в состояние CLOSED или фильтруется |
| Сброс параметра реестра | Ключ fDenyTSConnections принимает значение 1 |
Пошаговое восстановление RDP при ошибке Event ID 36
Событие 36 возникает при установке запрета на удаленные подключения через свойства системы, применение доменной групповой политики (GPO) или запуск скриптов hardening-защиты.
- Включите разрешение входящих подключений RDP через PowerShell:
# Разрешение подключений удаленного рабочего стола:
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name 'fDenyTSConnections' -Value 0 -Type DWord
# Перезапуск службы Remote Desktop Services:
Restart-Service -Name TermService -Force- Проверьте влияние доменных групповых политик (GPO):
# Диагностика примененных политик RDP:
gpresult /h C:\gpreport.html
# Принудительное обновление политик:
gpupdate /force- Проверьте параметр GPO «Разрешить пользователям удаленное подключение»: откройте
gpedit.mscи перейдите по пути: Конфигурация компьютера > Административные шаблоны > Компоненты Windows > Службы удаленных рабочих столов > Узел сеансов удаленных рабочих столов > Соединения. Убедитесь, что параметр «Разрешить пользователям удаленное подключение с использованием служб удаленных рабочих столов» включен (Enabled).
Внимание: Если на сервере работает локальный агент стороннего антивируса или EDR, убедитесь, что функция «Host Isolation» (Изоляция узла) не была активирована по ошибке, так как она принудительно генерирует Event ID 36.
Частые вопросы (FAQ)
Почему служба RDP отключается сама после перезагрузки?
В 99% случаев это вызвано доменной политикой GPO, которая циклически переписывает ключ реестра fDenyTSConnections в значение 1.
Как подключиться к серверу для исправления, если RDP заблокирован?
Используйте удаленный PowerShell (Enter-PSSession -ComputerName ИмяСервера) или консоль гипервизора (VMware vSphere, Hyper-V Manager, Proxmox).
Влияет ли Event ID 36 на локальный вход в консоль сервера?
Нет, локальный вход через монитор/клавиатуру или через KVM-консоль гипервизора продолжает функционировать штатно.
Какая служба отвечает за генерацию события Event 36?
Служба Local Session Manager (LSM), работающая внутри системного процесса svchost.exe/TermService.