Como eliminar o Event 1014 (Name Resolution Timed Out) no Windows Server 2022 isolado da Internet

Servidores Windows Server 2022 que operam em redes isoladas continuam a registar o alerta “Event 1014 – Name resolution timed out”. Este artigo mostra, de forma prática e detalhada, como eliminar essas mensagens sem sacrificar a segurança nem as funções essenciais da infraestrutura.

Índice

Por que o Event 1014 aparece em servidores offline?

Mesmo quando desprovidos de acesso à Internet, vários componentes do Windows tentam contactar serviços externos da Microsoft para:

Verificar updates (Windows Update, Defender, catálogos de drivers).
Reportar telemetria ou diagnóstico (CEIP, Customer Experience Improvement Program).
Validar licenciamento (ativação KMS/MAK, Live ID, Store).
Aferir conectividade (NCSI – Network Connectivity Status Indicator).

Se o DNS interno não responde pelo domínio público solicitado, a consulta expira após 15 s e o sistema regista EVENT_ID 1014 (DNS Client Events). Em ambientes altamente regulamentados, esses avisos enchem o Event Viewer, dificultando auditorias e mascarando falhas críticas.

Estratégia geral de mitigação

Antes de agir, defina a política corporativa para :

Identificar quais componentes realmente precisam de saída externa.
Isolar ou silenciar somente o tráfego desnecessário.
Monitorizar o ambiente após cada alteração para evitar efeitos colaterais.

As seis abordagens a seguir podem ser aplicadas individualmente ou em combinação. Comece sempre pelas menos intrusivas e avance de forma gradual, testando em laboratório ou num servidor de homologação.

Matriz de soluções rápidas

N.º	Medida	Como implementar	Observações
1	Desativar ou ajustar serviços que fazem chamadas externas	Windows Update → apontar a máquina para um WSUS interno ou importar Security Updates via `DISM /Add‑Package`. Telemetria → GPO: Computer Configuration ▸ Administrative Templates ▸ Windows Components ▸ Data Collection and Preview Builds ▸ Allow Telemetry = 0 (Security). Licenciamento → definir servidor KMS em GPO ou habilitar AVMA (Automatic Virtual Machine Activation) em hosts Hyper‑V.	Causa a maior redução de tráfego DNS externo.
2	Bloquear saídas no firewall	No Windows Defender Firewall with Advanced Security: New-NetFirewallRule -DisplayName "Bloqueia Domínios MS" -Direction Outbound ` ‑Action Block -RemoteAddress 0.0.0.0/0 -Protocol TCP Ou crie regra mais fina bloqueando `*.windows.net`, `login.live.com`, etc.	Zero tráfego, mas impede ativação/updates se algum dia forem necessários.
3	Introduzir entradas no hosts	`# C:\Windows\System32\drivers\etc\hosts 127.0.0.1 login.live.com 127.0.0.1 dfsrmreports.blob.core.windows.net 127.0.0.1 dns.msftncsi.com`	Fácil de testar; manutenção manual em cada servidor.
4	Afundar no DNS (sinkhole)	Num servidor DNS interno Microsoft: `Add-DnsServerPrimaryZone -Name "windows.net" -ZoneFile "windows.net.dns" Add-DnsServerResourceRecordA -ZoneName "windows.net" -Name "login" -IPv4Address 0.0.0.0`	Centraliza gestão; evita mexer em SOs individuais.
5	Auditar tarefas agendadas e serviços	No Task Scheduler filtre por Microsoft ▸ Windows ▸ Application Experience e desative Microsoft Compatibility Appraiser. Em `services.msc`, defina DiagTrack para Disabled.	Remove causas ocultas de chamadas externas.
6	Monitorizar para confirmar	`Get-DnsClientCache` → analisa entradas mais recentes. Wireshark / Microsoft Network Monitor para isolar processos (filter: dns && ip.addr==destino). `Get-DnsServerDiagnostics` para estatísticas em tempo real.	Permite medir “antes e depois” e provar eficácia.

Passo a passo detalhado

1 Desativar componentes específicos

A maioria dos alertas vêm de Windows Update Client (wuauserv) e do serviço de telemetria (DiagTrack). Ao usar WSUS:

Abra Group Policy Management e edite a GPO da OU dos servidores.
Navegue até Computer Configuration ▸ Policies ▸ Administrative Templates ▸ Windows Components ▸ Windows Update.
Configure Specify intranet Microsoft update service location apontando para http://srv‑wsus:8530.
Altere Automatic Updates detection frequency para 22 horas (valor não crítico).

Caso não exista WSUS, desative completamente o serviço:

sc.exe config wuauserv start= disabled
sc.exe stop wuauserv

2 Bloquear com precisão no Firewall

Regra recomendada via PowerShell DSC:

FirewallRule OutBlockMS {
  Name                  = 'Out‑Block‑MS‑Domains'
  Direction             = 'Outbound'
  Action                = 'Block'
  RemoteAddress         = 'login.live.com, dns.msftncsi.com, windowsupdate.microsoft.com'
  Protocol              = 'TCP'
}

Documente exceções em arquivo CSV para auditoria.

3 Utilizar o arquivo hosts como “cinto de segurança”

Em ambientes com poucos hosts (filiais, DMZ), editar hosts é rápido. Automatize com PowerShell Remoting:

$entries  = @(
  '127.0.0.1 login.live.com',
  '127.0.0.1 settings-win.data.microsoft.com'
)
Invoke-Command -ComputerName $servers -ScriptBlock {
  param($e) Add-Content -Path "$env:SystemRoot\System32\drivers\etc\hosts" -Value $e
} -ArgumentList $entries

4 Implementar DNS Sinkhole corporativo

Vantagens:

Gestão central (uma única lista negra).
Logs no servidor DNS ajudam em auditorias ISO 27001.
Flexível — resposta NXDOMAIN ou redireção para IP de bloqueio (página de aviso).

Exemplo BIND 9:

zone "login.live.com" { type master; file "/etc/bind/db.blackhole"; };

/etc/bind/db.blackhole

@   IN  SOA ns.blackhole. admin.blackhole. 1 3600 900 604800 86400
@   IN  NS  ns.blackhole.
@   IN  A   0.0.0.0

5 Caça aos “talkative services”

Nem todos os agendadores são óbvios. Execute:

Get-ScheduledTask | Where-Object {$_.Description -like 'telemetry'}

Desabilite os que não afetam SLA internos.

6 Confirmar a eliminação dos eventos

Limpe o Log: Event Viewer ▸ Windows Logs ▸ DNS Client Events ▸ Clear Log…
Reinicie o serviço Dnscache (ipconfig /flushdns não apaga log).
Aguarde 24 h; se Event 1014 não reaparecer, a mitigação é satisfatória.

Desativar o Network Connectivity Status Indicator (NCSI)

NCSI faz HTTP GET para www.msftconnecttest.com/connecttest.txt. Em redes isoladas, esses testes são inúteis.

reg add "HKLM\SYSTEM\CurrentControlSet\Services\NlaSvc\Parameters\Internet" `
  /v EnableActiveProbing /t REG_DWORD /d 0 /f

Reinicie o serviço NlaSvc ou o servidor.

Automatizar tudo com GPO e PowerShell

Para médias e grandes empresas:

Crie Starter GPO “WS2022 – No External DNS”.
Insira configurações de Telemetria, WSUS, NCSI e Firewall num único pacote.
Utilize PowerShell Desired State Configuration para cisão de responsabilidades entre operações e segurança.

Exemplo de bloco DSC reutilizável:

Configuration NoExtDNS {
  Node $AllNodes.Where{$_.Role -eq 'Server'}.NodeName {
    Registry DisableNCSI {
      Key   = 'HKLM:\SYSTEM\CurrentControlSet\Services\NlaSvc\Parameters\Internet'
      Value = 'EnableActiveProbing'
      Ensure= 'Present'
      Data  = 0
      Type  = 'Dword'
    }
    xDNSServerAddress SetDNS {
      Address        = '10.0.0.10'
      InterfaceAlias = 'Ethernet*'
    }
  }
}

Boas práticas de auditoria e change management

Lembre-se de:

Documentar todas as alterações em sistema de tickets (ITIL Change Record).
Versão de backups do hosts, políticas e scripts.
Atualizar procedimentos operacionais padrão (SOP) e diagramas de rede.
Informar equipes terceiras que monitoram a infraestrutura — logs “mais limpos” podem mascarar falhas reais.

Perguntas frequentes (FAQ)

O bloqueio afeta a ativação de licenças por KMS?

Não, desde que o servidor possa alcançar o seu KMS interno (TCP/1688). Se usar ativação MAK ou digital, mantenha uma exceção de saída temporária.

Posso simplesmente ignorar os eventos 1014?

Tecnicamente sim, mas eles dificultam a análise de logs e podem esconder problemas reais de DNS interno.

O Event 1014 consome recursos?

O impacto de CPU/RAM é mínimo; o incômodo principal é log spam e a possível percepção de “erros” em auditorias.

Conclusão

A combinação de desligar serviços desnecessários, afundar domínios no DNS, bloquear no firewall e auditar tarefas garante que servidores Windows Server 2022 em redes fechadas operem sem ruído de logs. Ao seguir este guia, você elimina o Event 1014 de forma sustentável e mantém o ambiente enxuto, documentado e em conformidade com políticas de segurança.

Como eliminar o Event 1014 (Name Resolution Timed Out) no Windows Server 2022 isolado da Internet

Por que o Event 1014 aparece em servidores offline?