Die CPU-Auslastung kann mehr als 50 Prozent betragen, wenn ein ISA Server 2004-Computer unter hohen Lastbedingungen arbeitet

Problembeschreibung

Wenn ein Microsoft Internet Security and Acceleration Server (ISA) 2004-basierter Computer unter hohen Auslastungsbedingungen arbeitet, kann es zu einer hohen CPU-Auslastung kommen. Beispielsweise kann die CPU-Auslastung auf dem ISA Server-Computer mehr als 50 Prozent betragen.

Ursache

Dieses Verhalten kann aufgrund der TCP/IP-Einstellung für maximale Übertragungseinheit (Maximum Transmission Unit, MTU) auftreten, die während der ISA Server-Installation angewendet wird. Um zu verhindern, dass ein Angreifer den MTU-Wert ändert, deaktiviert ISA Server 2004 die Pfad-MTU-Erkennung (PMTU). Diese Einstellung ist im Microsoft-Sicherheitsbulletin MS05-019 dokumentiert. Besuchen Sie die folgende Microsoft-Website, um dieses Bulletin anzuzeigen:

http://www.microsoft.com/technet/security/Bulletin/MS05-019.mspxHinweise

Standardmäßig verwendet Windows eine MTU-Einstellung von 1.480 Byte und akzeptiert ICMP-Nachrichten (Internet Control Message Protocol), die kleinere Paketgrößen anfordern.
Wenn die MTU-Ermittlung auf einem Windows-basierten Server deaktiviert ist, verwendet der Server eine MTU-Einstellung von 576 Byte.

Fehlerbehebung

Warnung Schwerwiegende Probleme können auftreten, wenn Sie die Registrierung mithilfe des Registrierungs-Editors oder mit einer anderen Methode falsch ändern. Diese Probleme erfordern möglicherweise, dass Sie Ihr Betriebssystem neu installieren. Microsoft kann nicht garantieren, dass diese Probleme gelöst werden können. Ändern Sie die Registrierung auf eigenes Risiko. Führen Sie die folgenden Schritte aus, um das Verhalten zu beheben, das durch die MTU-Einstellung verursacht wird, die während der ISA Server-Installation konfiguriert wurde. Wichtig Sie müssen diese Registrierungsänderung vornehmen, wenn Sie Windows Server 2003 Service Pack 1 (SP1) oder den im folgenden Microsoft Knowledge Base-Artikel beschriebenen Hotfix installiert haben:

898060 Die Netzwerkkonnektivität zwischen Clients und Servern schlägt möglicherweise fehl, nachdem Sie das Sicherheitsupdate MS05-019 oder Windows Server 2003 Service Pack 1 installiert haben

Klicken Sie auf Starten, klicken Sie auf Ausführen, geben Sie regeditein, und klicken Sie dann auf OK.
Klicken Sie mit der rechten Maustaste auf den folgenden Registrierungsunterschlüssel:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\EnablePMTUDiscoveryWerttyp: REG_DWORDValue: 0, 1 (False, True)ISA-Standardwert: 0 (False)Hinweis Wenn der Eintrag EnablePMTUDiscovery nicht verfügbar ist, erstellen Sie den Eintrag.
Legen Sie ggf. den Wert gemäß den folgenden Informationen fest oder ändern Sie ihn:
- Wert = 1 Wenn Sie EnablePMTUDiscovery auf 1 festlegen, versucht TCP, entweder die MTU oder die größte Paketgröße im Pfad eines Remotehosts zu ermitteln. TCP kann die Fragmentierung an Routern im Pfad entfernen, der Netzwerke verbindet, die verschiedene MTUs verwenden. TCP macht dies, indem es den Pfad MTU erkennt und TCP-Segmente auf diese Größe beschränkt. Die Fragmentierung wirkt sich negativ auf den TCP-Durchsatz aus.
- Wert = 0 Wenn Sie EnablePMTUDiscovery auf 0 festlegen, wird eine MTU von 576 Bytes für alle Verbindungen verwendet, die nicht mit Hosts im lokalen Subnetz verknüpft sind. Wenn Sie diesen Wert nicht auf 0 setzen, kann ein Angreifer den MTU-Wert auf einen sehr kleinen Wert erzwingen und den Stapel überarbeiten. Anmerkungen
  - Wenn Sie EnablePMTUDiscovery auf 0 festlegen, sind TCP/IP-Leistung und Durchsatz betroffen. Sie müssen sich des Leistungsdurchsatzes voll bewusst sein, bevor Sie diesen Wert auf 0 setzen.
  - Wenn Sie ISA Server 2004 oder ISA Server 2004 Service Pack 1 installieren, wird dieser Wert ebenfalls auf 0 zurückgesetzt.
  - ISA Server 2004 Service Pack 2 ändert den Wert von EnablePMTUDiscoverynicht .
Um am Ermittlungsprozess teilzunehmen, erstellen Sie eine ICMP MTU-Zugriffsregel für ISA Server. Führen Sie hierzu die in den folgenden Abschnitten beschriebenen Schritte aus, je nach Konfiguration.
Beenden Sie den Registrierungs-Editor, und starten Sie den Computer anschließend neu.

ISA Server 2004, Standard-Edition

Klicken Sie auf Start, zeigen Sie auf Programme, zeigen Sie auf Microsoft ISA Server, und klicken Sie dann auf ISA Server Management (ISA Server-Verwaltung).
Erweitern Sie im linken Bereich ArrayName, und klicken Sie dann auf Firewallrichtlinie.
Klicken Sie im Aufgabenbereich auf die Registerkarte Toolbox, und klicken Sie dann auf Protokolle.
Klicken Sie unter Protokolleauf Neu, und klicken Sie dann auf Protokoll.
Geben Sie im Feld ProtokolldefinitionsnameICMP MTU Discoveryein, und klicken Sie dann auf Weiter.
Klicken Sie auf Neu, und klicken Sie dann in der Liste Protokolltyp auf ICMP.
Klicken Sie in der Liste Richtung auf Empfangen senden.
Geben Sie 4 in das Feld ICMP-Code ein, geben Sie 3 in das Feld ICMP-Typ ein, und klicken Sie dann auf OK.
Klicken Sie auf Weiter, klicken Sie auf Fertig, und klicken Sie dann auf Übernehmen.
Klicken Sie im linken Bereich mit der rechten Maustaste auf Firewallrichtlinie, klicken Sie auf Neu, und dann auf Zugriffsregel.
Geben Sie im Feld ZugriffsregelnameICMP MTU-Ermittlung zulassenein, und klicken Sie dann auf Weiter.
Klicken Sie auf Zulassen, und klicken Sie dann auf Weiter.
Klicken Sie in den Regeln, die diese Regeln gelten, auf Ausgewählte Protokolle, und klicken Sie dann auf Hinzufügen.
Erweitern Sie in der Liste Protokolledie Erweiterung benutzerdefinierte.
Klicken Sie auf ICMP MTU Discovery, klicken Sie auf Hinzufügen, klicken Sie auf Schließen, und dann auf Weiter.
Klicken Sie auf Hinzufügen.
Erweitern Sie in der Liste NetzwerkentitätenNetzwerke.
Klicken Sie auf Extern, und klicken Sie dann auf Hinzufügen.
Klicken Sie auf Intern, klicken Sie auf Hinzufügen, klicken Sie auf Schließen, und dann auf Weiter.
Klicken Sie auf Hinzufügen.
Erweitern Sie in der Liste NetzwerkentitätenNetzwerke.
Klicken Sie auf Lokaler Host, klicken Sie auf Hinzufügen, klicken Sie auf Schließen, und klicken Sie dann zwei Mal auf Weiter.
Klicken Sie auf Fertig stellen, und klicken Sie dann auf Übernehmen.

ISA Server 2004, Enterprise Edition

Damit ISA Server 2004 Enterprise Edition am ICMP MTU-Ermittlungsprozess teilnimmt, das ICMP-Protokoll auf Unternehmensebene erstellt und dann die ICMP-MTU-Zugriffsregel auf Arrayebene erstellt.

Erstellen des ICMP-Protokolls auf Unternehmensebene

Klicken Sie auf Start, zeigen Sie auf Programme, zeigen Sie auf Microsoft ISA Server, und klicken Sie dann auf ISA Server Management (ISA Server-Verwaltung).
Erweitern Sie im linken Bereich Enterprise, und klicken Sie dann auf Unternehmensrichtlinien.
Klicken Sie im Aufgabenbereich auf die Registerkarte Toolbox, und klicken Sie dann auf Protokolle.
Klicken Sie unter Protokolleauf Neu, und klicken Sie dann auf Protokoll.
Geben Sie im Feld ProtokolldefinitionsnameICMP MTU Discoveryein, und klicken Sie dann auf Weiter.
Klicken Sie auf Neu, und klicken Sie dann in der Liste Protokolltyp auf ICMP.
Geben Sie 4 in das Feld ICMP-Code ein, geben Sie 3 in das Feld ICMP-Typ ein, und klicken Sie dann auf OK.
Klicken Sie auf Weiter, klicken Sie auf Fertig, und klicken Sie dann auf Übernehmen. Hinweis Eine Enterprise-Zugriffsregel kann nicht für benutzerdefinierte ICMP-Protokolle erstellt werden, wenn Sie den Regelerstellungs-Assistenten verwenden.

Weitere Informationen zur Verwendung benutzerdefinierter ICMP-Protokolle in ISA Server 2004, Enterprise Edition-Richtlinien, finden Sie unter der folgenden Artikelnummer, um den Artikel in der Microsoft Knowledge Base anzuzeigen:

902348 Benutzerdefinierte ICMP-Protokolle werden im Assistenten für neue Zugriffsregel in ISA Server 2004 Enterprise Edition nicht angezeigt

So erstellen Sie manuell die ICMP MTU-Zugriffsregel, wenn Sie ein einzelnes Array im Netzwerk haben

Klicken Sie auf Start, zeigen Sie auf Programme, zeigen Sie auf Microsoft ISA Server, und klicken Sie dann auf ISA Server Management (ISA Server-Verwaltung).
Erweitern Sie im linken Bereich Arrays, und erweitern Sie dann ArrayName.
Klicken Sie mit der rechten Maustaste auf Firewallrichtlinie, klicken Sie auf Neu, und klicken Sie dann auf Zugriffsregel.
Geben Sie im Feld ZugriffsregelnameICMP MTU-Ermittlung zulassenein, und klicken Sie dann auf Weiter.
Klicken Sie auf Zulassen, und klicken Sie dann auf Weiter.
Klicken Sie in den Regeln, die diese Regeln gelten, auf Ausgewählte Protokolle, und klicken Sie dann auf Hinzufügen.
Erweitern Sie in der Liste Protokolledie Erweiterung benutzerdefinierte.
Klicken Sie auf ICMP MTU Discovery, klicken Sie auf Hinzufügen, klicken Sie auf Schließen, und dann auf Weiter.
Klicken Sie auf Hinzufügen.
Erweitern Sie in der Liste NetzwerkentitätenNetzwerke.
Klicken Sie auf Extern, und klicken Sie dann auf Hinzufügen.
Klicken Sie auf Intern, klicken Sie auf Hinzufügen, klicken Sie auf Schließen, und dann auf Weiter.
Klicken Sie auf Hinzufügen.
Erweitern Sie in der Liste Netzwerkentitäten Netzwerke.
Klicken Sie auf Lokaler Host, klicken Sie auf Hinzufügen, klicken Sie auf Schließen, und klicken Sie dann zwei Mal auf Weiter.
Klicken Sie auf Fertig stellen, und klicken Sie dann auf Übernehmen.

Erstellen der ICMP MTU-Zugriffsregel, wenn Sie mehrere Arraymitglieder im Netzwerk haben

Methode 1

Erstellen Sie manuell die ICMP MTU-Zugriffsregel für das erste Array. Führen Sie hierzu die beschriebenen Schritte aus, um die Zugriffsregel für ein einzelnes Array zu erstellen.
Kopieren Sie die ICMP MTU-Zugriffsregel. Führen Sie hierzu die folgenden Schritte aus:
1. Klicken Sie auf Start, zeigen Sie auf Programme, zeigen Sie auf Microsoft ISA Server, und klicken Sie dann auf ISA Server Management (ISA Server-Verwaltung).
2. Erweitern Sie im linken Bereich Arrays, und erweitern Sie dann ArrayName. ArrayName ist das erste Array, für das Sie die ICMP MTU-Zugriffsregel erstellt haben.
3. Klicken Sie auf Firewallrichtlinie, klicken Sie unter Firewallrichtlinienregelauf ICMP MTU Discovery-Regel zulassen , und klicken Sie dann auf Kopieren.
Fügen Sie die ICMP MTU-Zugriffsregel in jedes Array ein. Führen Sie hierzu die folgenden Schritte aus:
1. Erweitern Sie in der ISA Server Management Microsoft Management Console (MMC) das Array an der Stelle, an der Sie die ICMP MTU-Zugriffsregel einfügen möchten, und klicken Sie dann auf Firewallrichtlinie.
2. Klicken Sie im mittleren Bereich mit der rechten Maustaste auf die Arrayrichtlinienregel, die Sie sofort der ICMP MTU-Zugriffsregel folgen möchten, und klicken Sie dann auf Einfügen. Hinweis Wenn keine Arrayrichtlinienregeln vorhanden sind, müssen Sie eine neue Arrayrichtlinienregel erstellen, bevor Sie die ICMP MTU-Zugriffsregel in die Arrayrichtlinie einfügen können.
3. Klicken Sie auf Übernehmen.
Wiederholen Sie die Schritte 3a bis 3c, bis Sie die ICMP MTU-Zugriffsregel für alle Arraymitglieder kopieren.

Methode 2

Erstellen Sie manuell die ICMP MTU-Zugriffsregel für das erste Array. Führen Sie hierzu die beschriebenen Schritte aus, um die ICMP MTU-Zugriffsregel für ein einzelnes Array zu erstellen.
Exportieren Sie die ICMP MTU-Zugriffsregel. Führen Sie hierzu die folgenden Schritte aus:
1. Erweitern Sie in der ISA Server Verwaltung MMC das Array, für das Sie die ICMP MTU-Zugriffsregel erstellt haben, und klicken Sie dann auf Firewallrichtlinie.
2. Klicken Sie mit der rechten Maustaste unter Firewallrichtlinienregelnauf die Regel ICMP MTU-Ermittlung zulassen , und klicken Sie dann auf Ausgewählt exportieren.
3. Klicken Sie im Export-Assistenten auf Weiter.
4. Klicken Sie auf der Seite Exporteinstellungen auf Weiter.
5. Klicken Sie auf der Seite Dateispeicherort exportieren auf Durchsuchen.
6. Wählen Sie einen Speicherort aus, an dem Sie die ICMP MTU Discovery-Regel exportieren möchten, geben Sie MtuDiscoveryRule in das Feld Dateiname ein, und klicken Sie dann auf Öffnen.
7. Klicken Sie auf Weiter, und klicken Sie dann auf Fertig stellen, um den Assistenten zu beenden.
8. Klicken Sie auf OK, wenn die Fortschrittsanzeige eine Meldung anzeigt, dass die Konfiguration erfolgreich exportiert wurde.
Importieren Sie die ICMP MTU-Zugriffsregel in jedes Array. Führen Sie hierzu die folgenden Schritte aus:
1. Erweitern Sie in der ISA Server Verwaltung MMC das Array, in das Sie die ICMP MTU-Zugriffsregel importieren möchten, und klicken Sie dann mit der rechten Maustaste auf Firewallrichtlinie.
2. Klicken Sie auf Importieren.
3. Klicken Sie im Import-Assistenten auf Weiter.
4. Klicken Sie auf Durchsuchen, und suchen Sie dann den Ordner, in dem Sie die MtuDiscoveryRule-Datei in Schritt 2f gespeichert haben.
5. Klicken Sie auf die Datei MtuDiscoveryRule, und klicken Sie dann auf Öffnen.
6. Klicken Sie zwei Mal auf Weiter.
7. Klicken Sie auf Fertig stellen.
8. Klicken Sie auf OK, wenn die Fortschrittsanzeige eine Meldung anzeigt, dass die Konfiguration erfolgreich importiert wurde.
9. Klicken Sie auf Übernehmen.

Informationsquellen

Weitere Informationen zu DEN Registrierungseinstellungen für PMTU-Ermittlungen in Microsoft Windows 2000 erhalten Sie, um den Artikel in der Microsoft Knowledge Base anzuzeigen:

315669 So härten Sie den TCP/IP-Stack gegen Denial-of-Service-Angriffe in Windows 2000Weitere Informationen zu den Registrierungseinstellungen für PMTU-Ermittlungen in Microsoft Windows Server 2003 erhalten Sie, um den Artikel in der Microsoft Knowledge Base anzuzeigen:

324270 So härten Sie den TCP/IP-Stack gegen Denial-of-Service-Angriffe in Windows Server 2003