XML-запрос журнала событий не работает

Question

XML-запрос журнала событий не работает

Я искал запрос, чтобы действовать в качестве триггера в планировщике задач. Я хочу перезапустить VPN, если он заканчивается RASClient (EventID 20226) по любой причине, кроме кода 631 (порт был закрыт пользователем)

Я нашел запрос, который предоставил Presser

<QueryList>
  <Query Id="0" Path="Application">
    <Select Path="Application">*[System[Provider[@Name='RasClient'] and (EventID=20226)]] and *[EventData[Data[4]='829' or '629']]</Select>
  </Query>
</QueryList>

и хотя он находит окончания (20226), он находит только те, которые вызваны кодом 829 или 629. Однако существуют десятки или возможные коды ошибок, и добавление каждого из них, связанного с "или", делает эту модель громоздкой.

Я попытался использовать неравную команду (!=), Но не смог заставить ее работать. Я даже нашел пост, где Оуэн рекомендовал упростить вышеуказанный запрос, используя

<QueryList>
  <Query Id="0" Path="Application">
    <Select Path="Application">*[System[Provider[@Name='RasClient'] and (EventID=20226 or EventID=20227)]] and *[EventData[Data[4]!='631']]</Select>
  </Query>
</QueryList>

Тем не менее, этот запрос не возвращает результатов, поэтому я считаю, что где-то должен быть логический недостаток.

Второй запрос ближе к тому, что я ищу, поскольку он включает в себя EventID 20226 и 20227, но я все же хотел бы исключить код 631 из запроса.

Сейчас я использую

<QueryList>
      <Query Id="0" Path="Application">
        <Select Path="Application">*[System[Provider[@Name='RasClient'] and (EventID=20226 or EventID=20227)]]</Select>
      </Query>
</QueryList>

Конечно, это все еще перезапускает мой VPN, даже если я отключаюсь, но это временный обходной путь, пока я не найду лучший запрос. На данный момент, если я отключаюсь вручную, я использую Ctrl-C, чтобы прервать сценарий от повторного подключения.

Кто-нибудь есть какие-либо предложения о том, как написать этот запрос, чтобы включить любой EventID20226, который имеет любой код ошибки, кроме 631?

0

xml query events viewer

Источник

Kilauone 13 сен '15 в 21:50

1 ответ

Другие вопросы по тегам xml query events viewer

Kilauone 14 сен '15 в 15:02 2015-09-14 15:02 · Answer 1 · 2015-09-14 15:02

Я думаю, что нашел ответ. Вместо использования сравнения "не равно" (!=) Просто примите все события с EventID=20226 или EventID=20227. Затем подавьте те события, которые имеют EventID=20226 с элементом данных '631'.

Это хорошо работает, поскольку с rasClient связано около 150 кодов ошибок ( https://support.microsoft.com/en-us/kb/163111).

Вот запрос, который я придумал. Тестирование в программе просмотра событий; кажется, соответствует всем необходимым критериям.

<QueryList>
  <Query Id="0" Path="Application">
    <Select Path="Application">*[System[Provider[@Name='RasClient'] and (EventID=20226 or EventID=20227)]] </Select>
    <Suppress Path="Application">*[System[Provider[@Name='RasClient'] and (Level=4 or Level=0) and (EventID=20226)]]and *[EventData[Data[4]='631']]
</Suppress>
  </Query>
</QueryList>