【環境】
Windows Server 2008 R2
【経緯】
JP1で以下のイベントを抑止しようとしています。
実際に、下記のイベントが発生しているサーバーで抑止を行う前に評価環境で評価を行い、抑止できることを確認したいと考えております。発生頻度は1日に1回だけで、このイベントを抑止してもほかのイベントで確認できるため抑止しても問題はありません。
-----------------------------------------------------------------------------
種類：警告
ソース：Tcpip
イベントID：4227
説明：
選択したローカルエンドポイントは、同じリモートエンドポイントに接続するために最近使用されたため、 TCP/IP は発信接続を確立できませんでした。
一般にこのエラーが発生するのは、複数の発信接続が高速 に開始および終了されることにより、すべての利用可能なローカル ポートがふさがってしまい、TCP/IPが発信接続のためにローカルポートを再利用することを強いられる場合です。
データ破損のリスクを最小化するために、TCP/IP 標準では、特定のローカルエンドポイントから特定のリモートエンドポイントに連続した複数の接続を確立する際に、それぞれの接続間に最小限の時間間隔を空けることを要求しています。
------------------------------------------------------------------------------
イベントメッセージに表示されているソース「Tcpip」をWrite-EventLogコマンドで発行する場合、実際のイベントソースは「Microsoft-Windows-TCPIP」であることを下記の手順で確認しました。
評価環境でテストイベントを発行したところ、イベントソース「Microsoft-Windows-TCPIP」が見つからないというメッセージが表示されました。
そのため、評価環境のサーバーのレジストリ「LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog\」配下に「Microsoft-Windows-TCPIP」はありませんでした。
実際に「種類：警告 ソース：Tcpip イベントID：4227」のイベントが発生しているサーバーについても同様にレジストリ「LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog\」配下に「Microsoft-Windows-TCPIP」はありませんでした。
------------------------------------------------------------------------------
〈手順〉
(1).イベントビューアーを起動します。
(2).イベントビューアーより「システム」を選択後、右クリックを行い、コンテキストメニューより「現在のログをフィルター」を選択。
(3).「現在のログをフィルター」にてイベントソースが「TCPIP」を選択して、「OK」ボタンを押下。
(4).そうすると、上部に「フィルター：ログ：System ソース：Microsoft-Windows-TCPIP」が表示されるので、PowerShellのWrite-EventLogコマンドを使用して発行する場合、イベントソースを「Microsoft-Windows-TCP」にすればよいことが確認することができます。
-------------------------------------------------------------------------------
【ご教示頂きたい点】
① 「種類：警告 ソース：Tcpip イベントID：4227」のイベントが発生しているサーバーは、メッセージDLLが読み込まれているため、メッセージが表示されていると思われますが、レジストリ「LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog\」配下のどのキーでメッセージDLLが定義されていますでしょうか。
また、メッセージDLLのファイル名をお教えいただけますでしょうか。
② 評価環境で「種類：警告 ソース：Tcpip イベントID：4227」のイベントを発生させる場合、レジストリ「LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog\」配下に「Microsoft-Windows-TCPIP」がないため、Eventcreateコマンドを実行すれば、レジストリ「LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog\」配下に「Microsoft-Windows-TCPIP」が追加されるため、Write-EventLogを使用して「種類：警告
ソース：Tcpip イベントID：4227」を発生させることができます。
しかし、「Microsoft-Windows-TCPIP」の「EventMessageFile」が「%systemroot%system32\eventcreate.exe」になってしまいます。
その後、テストイベントではない本当の「種類：警告 ソース：Tcpip イベントID：4227」のイベントが発生した場合、「Microsoft-Windows-TCPIP」の「EventMessageFile」が「%systemroot%system32\eventcreate.exe」は本来のメッセージDLLに置き換わりますでしょうか。
それともそのままでしょうか。