Sammenfatning
MS05-019-sikkerhedsopdateringen ændrer operativsystemets metode til validering af ICMP-anmodninger (Internet Control Message Protocol). Denne sikkerhedsopdatering forhindrer ICMP-baserede angreb. I visse tilfælde kan denne sikkerhedsopdatering dog medføre, at computerens netværksforbindelse mistes. I denne artikel beskrives tre metoder, som du kan bruge til at forsøge at forhindre, at computerens netværksforbindelse mistes, når MS05-019-sikkerhedsopdateringen installeres.
Introduktion
I denne artikel beskrives de anbefalede TCP/IP-indstillinger til WAN-links (Wide Area Network) med en MTU-størrelse (Maximum Transmission Unit) på mindre end 576.
Yderligere Information
Vigtigt! I det følgende finder du en fremgangsmåde til redigering af registreringsdatabasen. Der kan dog opstå alvorlige problemer, hvis registreringsdatabasen ikke redigeres korrekt. Du skal derfor være meget omhyggelig med at følge den angivne fremgangsmåde. Som en ekstra sikkerhed bør du oprette en sikkerhedskopi af registreringsdatabasen, før du redigerer den. Det giver dig mulighed for at gendanne registreringsdatabasen, hvis der opstår problemer. Du kan finde flere oplysninger om, hvordan du sikkerhedskopierer og gendanner registreringsdatabasen, ved at klikke på nedenstående artikelnummer for at få vist artiklen i Microsoft Knowledge Base:
322756 Sådan sikkerhedskopieres, redigeres og gendannes registreringsdatabasen i Windows XP og Windows Server 2003
MS05-019-sikkerhedsopdateringen ændrer operativsystemets metode til validering af ICMP-anmodninger (Internet Control Message Protocol). Denne sikkerhedsopdatering begrænser den laveste MTU-størrelse til 576 byte. MTU-størrelsen er begrænset for at forhindre et ICMP-baseret angreb. Et ICMP-baseret angreb kan reducere MTU-størrelsen til en meget lav værdi. En meget lav MTU-størrelse kan forårsage en alvorlig nedgang i ydeevnen.
En MTU-størrelse, der er begrænset til 576 byte, kan imidlertid påvirke visse WAN-scenarier, f.eks. satellitforbindelser. I disse WAN-scenarier er MTU-størrelsen muligvis mindre end 576. I disse WAN-scenarier mistes netværksforbindelsen muligvis. Du kan bruge værktøjer som f.eks. Netværksovervågning til at opdage, om du oplever sådanne scenarier, ved at analysere en netværkssporing. Hvis de destinationer, som netværksforbindelsen er mistet til, har en meddelelse, der ikke kan nås af en ICMP-destination med en Next Hop-MTU-værdi på mindre end 576, oplever du sådanne scenarier.
I disse specielle tilfælde skal du overveje at følge en af følgende anbefalinger.
Bemærk! Du bør ikke følge følgende anbefalinger, hvis du ikke oplever nogen af scenarierne. Følgende anbefalinger kan reducere netværkets hastighed.
Metode 1: Aktiver PMTU-registrering af sorte huller (Path Maximum Transfer)
Hvis du aktiverer PMTU-funktionen til registrering af sorte huller (Path Maximum Transfer Unit) , sender TCP dig segmenter uden bitten Ingen fragmentering. TCP forsøger at sende disse segmenter, hvis flere genafsendelser af et segment ikke bekræftes. Hvis et segment derefter bekræftes, vil den maksimale segmentstørrelse (MSS) blive formindsket, og Ingen fragmentering-bitten vil blive aktiveret i fremtidige pakker på forbindelsen.
Denne metode er den foretrukne, fordi pakkestørrelsen kun formindskes for det problematiske segment. Registrering af sorte huller øger det maksimale antal genafsendelser for et bestemt segment.
Følg disse trin for at aktivere PMTU-registrering af sorte huller:
-
Klik på Start, klik på Kør, skriv regedit, og klik derefter på OK.
-
Find følgende nøgle i registreringsdatabasen:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
-
Peg på Ny i menuen Rediger, og klik derefter på DWORD-værdi.
-
Skriv EnablePMTUBHDetect, og tryk derefter på ENTER.
-
Klik på Rediger i menuen Rediger.
-
Skriv 1 i feltet Værdidata, og klik derefter på OK.
-
Luk Registreringseditor, og genstart computeren.
Metode 2: Deaktiver PMTU-registrering
Hvis du deaktiverer PMTU-registrering, sender TCP kun pakker, der har en MTU-størrelse på 576 og ikke indeholder bitten Ingen fragmentering. Dette gør det muligt for routerne at fragmentere pakken og sende den på tværs af netværkene.
Denne metode påvirker alle pakker, der sendes til alle destinationer. Ydeevnen vil som oftest ligge på acceptable niveauer ved en pakkestørrelse på 576. Ydeevnen vil dog være lavere, end hvis PMTU-registrering var aktiveret, og metoden understøttede en MTU-størrelse, der var større end 576.
Udfør følgende trin for at deaktivere PMTU-registrering:
-
Klik på Start, klik på Kør, skriv regedit, og klik derefter på OK.
-
Find følgende nøgle i registreringsdatabasen:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
-
Peg på Ny i menuen Rediger, og klik derefter på DWORD-værdi.
-
Skriv EnablePMTUDiscovery, og tryk derefter på ENTER.
-
Klik på Rediger i menuen Rediger.
-
Skriv 0 i feltet Værdidata, og klik derefter på OK.
-
Luk Registreringseditor, og genstart computeren.
Metode 3: Angiv MTU-størrelsen for netværksgrænsefladen manuelt
Hvis du angive MTU-størrelsen for en netværksgrænseflade manuelt, tilsidesætter denne indstilling MTU-standardstørrelsen for netværksgrænsefladen. MTU-størrelsen er den maksimale pakkestørrelse i byte, som transporten overfører via det underliggende netværk.
Denne metode påvirker pakker, der sendes til alle destinationer, og kan påvirke ydeevnen væsentligt, afhængigt af den angivne MTU-størrelse.
Følg disse trin for at angive MTU-størrelsen for netværksgrænsefladen:
-
Klik på Start, klik på Kør, skriv regedit, og klik derefter på OK.
-
Find følgende nøgle i registreringsdatabasen:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\<ID for network interface>
-
Peg på Ny i menuen Rediger, og klik derefter på DWORD-værdi.
-
Skriv MTU, og tryk derefter på ENTER.
-
Klik på Rediger i menuen Rediger.
-
Skriv værdien for MTU-størrelsen i feltet Værdidata, og klik derefter på OK.
-
Luk Registreringseditor, og genstart computeren.
Referencer
Du kan finde flere oplysninger ved at klikke på nedenstående artikelnummer for at få vist artiklen i Microsoft Knowledge Base:
898060 Installation af sikkerhedsopdatering MS05-019 eller Windows Server 2003 Service Pack 1 kan betyde, at netværksforbindelsen mellem klienter og servere afbrydes
Du finder flere oplysninger om TCP/IP ved at besøge følgende Microsoft TechNet-websted:
Oversigt over netværk og TCP/IP
http://technet2.microsoft.com/windowsserver/en/library/be2b68c1-a279-417b-976a-16601b98447a1033.mspx
