Zusammenfassung
Das Sicherheitsupdate MS05-019 modifiziert die Art und Weise, in der das Betriebssystem ICMP-Anforderungen (ICMP = Internet Control Message Protocol) überprüft. Dieses Sicherheitsupdate verhindert ICMP-basierte Angriffe. Unter besonderen Umständen kann dieses Sicherheitsupdate jedoch die Ursache dafür sein, dass die Verbindung des Computers zum Netzwerk unterbrochen wird. Dieser Artikel beschreibt drei Methoden, mit denen Sie möglicherweise verhindern können, dass nach der Installation des Sicherheitsupdates MS05-019 die Verbindung zum Netzwerk unterbrochen wird.
Einführung
Dieser Artikel beschreibt die empfohlenen TCP/IP-Einstellungen für WAN-Verbindungen (WAN = Wide Area Network) mit einer MTU-Größe (MTU = Maximum Transmission Unit) von weniger als 576 Byte.
Weitere Informationen
Wichtig: Dieser Abschnitt bzw. die Methoden- oder Aufgabenbeschreibung enthält Hinweise zum Bearbeiten der Registrierung. Durch die falsche Bearbeitung der Registrierung können schwerwiegende Probleme verursacht werden. Daher ist es wichtig, bei der Ausführung der folgenden Schritte sorgfältig vorzugehen. Als Schutzmaßnahme sollten Sie vor der Bearbeitung eine Sicherungskopie der Registrierung erstellen. So ist gewährleistet, dass Sie die Registrierung wiederherstellen können, falls ein Problem auftritt. Weitere Informationen zum Erstellen und Wiederherstellen einer Sicherungskopie der Registrierung finden Sie im folgenden Artikel der Microsoft Knowledge Base:
322756 Unter Windows XP und Windows Server 2003 eine Sicherungskopie der Registrierung erstellen und die Registrierung bearbeiten und wiederherstellen
Das Sicherheitsupdate MS05-019 ändert die Art und Weise, in der das Betriebssystem ICMP-Anforderungen überprüft. Dieses Sicherheitsupdate beschränkt die geringstmögliche Größe einer MTU auf 576 Byte. Die MTU-Größe wird beschränkt, um ICMP-basierte Angriffe zu unterbinden. Bei einem auf ICMP basierenden Angriff könnte die Größe der MTU auf einen sehr niedrigen Wert reduziert werden. Ein sehr niedriger Wert für die MTU-Größe kann gravierende Beeinträchtigungen der Systemleistung zur Folge haben.
Eine Beschränkung der MTU-Größe auf 576 Byte kann sich jedoch negativ auf bestimmte WAN-Verbindungen auswirken (zum Beispiel auf Verbindungen über Satellit). Bei derartigen WAN-Verbindungen können MTUs von weniger als 576 Byte verwendet werden, was eine Unterbrechung der Netzwerkverbindung zur Folge haben kann. Mit Tools wie dem Netzwerkmonitor können Sie feststellen, ob die Bedingungen für eine mögliche Beeinträchtigung von WAN-Verbindungen auf Ihrem System erfüllt sind, indem Sie eine Netzwerkablaufverfolgung durchführen und analysieren. Falls bei den Zieladressen, zu denen die Verbindung unterbrochen wurde, beim nächsten MTU-Abschnitt mit einer Größe von weniger als 576 Byte Meldungen angezeigt werden, dass das ICMP-Ziel nicht erreichbar ist, sind die beschriebenen Bedingungen auf Ihrem System erfüllt.
Unter diesen besonderen Umständen sollten Sie in Erwägung ziehen, eine der folgenden Empfehlungen zu befolgen.
Hinweis Sie sollten die folgenden Empfehlungen nicht befolgen, wenn die beschriebenen Probleme auf Ihrem System nicht auftreten. Bei Anwendung der nachstehend beschriebenen Methoden kann der Netzwerkdurchsatz reduziert sein.
Methode 1: Aktivieren der PMTU-Black Hole-Erkennung (PMTU = Path Maximum Transfer Unit)
Wenn Sie die PMTU-Black Hole-Erkennung (PMTU = Path Maximum Transfer Unit) aktivieren, versucht TCP, Segmente ohne den Bitsatz "Keine Fragmentierung" zu senden. TCP wird versuchen, diese Segmente zu senden, wenn mehrere Neuübertragungen eines Segments nicht bestätigt werden. Wenn das Segment bestätigt wird, wird die maximale Segmentgröße (Maximum Segment Size/MSS) reduziert und das Bit "Keine Fragmentierung" für künftige Pakete auf der Verbindung gesetzt.
Dies ist die bevorzugte Methode, weil die Paketgröße nur für das problematische Segment reduziert wird. Die Black-Hole-Erkennung erhöht die maximale Anzahl der erneuten Übertragungen für ein bestimmtes Segment.
Gehen Sie folgendermaßen vor, um die PMTU-Black Hole-Erkennung zu aktivieren:
-
Klicken Sie auf Start und auf Ausführen, geben Sie regedit ein, und klicken Sie auf OK.
-
Suchen Sie folgenden Schlüssel in der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
-
Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie anschließend auf DWORD-Wert.
-
Geben Sie EnablePMTUBHDetect ein, und drücken Sie anschließend die [EINGABETASTE].
-
Klicken Sie im Menü Bearbeiten auf Ändern.
-
Geben Sie im Feld Wert den Wert 1 ein, und klicken Sie anschließend auf OK.
-
Beenden Sie den Registrierungseditor. Starten Sie anschließend den Computer neu.
Methode 2: Deaktivieren der PMTU-Erkennung
Wenn Sie die PMTU-Erkennung deaktivieren, versendet TCP nur Pakete einer MTU-Größe von 576, bei denen das Bit "Keine Fragmentierung" nicht festgelegt ist. Dadurch können die Router das Paket fragmentieren und über die Netzwerke versenden.
Diese Methode wirkt sich auf alle Ziele aus, an die Pakete versendet werden. In den meisten Fällen bewegt sich die Leistung bei einer Paketgröße von 576 Byte auf akzeptablem Niveau. Die Leistung ist jedoch geringer als in dem Fall, in dem die PMTU-Erkennung aktiviert ist und eine MTU-Größe von mehr als 576 Byte unterstützt wird.
Gehen Sie folgendermaßen vor, um die PMTU-Erkennung zu deaktivieren:
-
Klicken Sie auf Start und auf Ausführen, geben Sie regedit ein, und klicken Sie auf OK.
-
Suchen Sie folgenden Schlüssel in der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
-
Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie anschließend auf DWORD-Wert.
-
Geben Sie EnablePMTUDiscovery ein, und drücken Sie anschließend die [EINGABETASTE].
-
Klicken Sie im Menü Bearbeiten auf Ändern.
-
Geben Sie im Feld Wert den Wert 0 ein, und klicken Sie anschließend auf OK.
-
Beenden Sie den Registrierungseditor. Starten Sie anschließend den Computer neu.
Methode 3: Manuelles Festlegen der MTU-Größe für die Netzwerkschnittstelle
Wenn Sie die MTU-Größe für eine Netzwerkschnittstelle manuell festlegen, setzt diese Einstellung die Standard-MTU für die Netzwerkschnittstelle außer Kraft. Die MTU-Größe ist die maximale Paketgröße in Byte, die über ein Netzwerk übertragen werden kann.
Diese Methode wirkt sich auf alle Ziele aus, an die Pakete versendet werden, und kann in Abhängigkeit davon, welche MTU-Größe Sie festlegen, eine erhebliche Beeinträchtigung der Leistung zur Folge haben.
Gehen Sie folgendermaßen vor, um die MTU-Größe für die Netzwerkschnittstelle festzulegen:
-
Klicken Sie auf Start und auf Ausführen, geben Sie regedit ein, und klicken Sie auf OK.
-
Suchen Sie folgenden Schlüssel in der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\<ID for network interface>
-
Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie anschließend auf DWORD-Wert.
-
Geben Sie MTU ein, und drücken Sie anschließend die [EINGABETASTE].
-
Klicken Sie im Menü Bearbeiten auf Ändern.
-
Geben Sie im Feld Wertdaten den gewünschten Wert für die MTU-Größe ein, und klicken Sie anschließend auf OK.
-
Beenden Sie den Registrierungseditor. Starten Sie anschließend den Computer neu.
Informationsquellen
Weitere Informationen finden Sie im folgenden Artikel der Microsoft Knowledge Base:
898060 Nach der Installation des Sicherheitsupdates MS05-019 oder von Windows Server 2003 Service Pack 1 funktioniert möglicherweise die Netzwerkverbindung zwischen Clients und Servern nicht
Weitere Informationen zu TCP/IP finden Sie auf folgender TechNet-Website von Microsoft:
Netzwerke und TCP/IP (Übersicht)
http://technet2.microsoft.com/windowsserver/de/library/be2b68c1-a279-417b-976a-16601b98447a1031.mspx?mfr=true
