Un túnel de sitio a sitio VPN de IPsec o un túnel VPN de sitio a sitio de PPTP no funciona si habilita el NLB integrado en una matriz de Forefront TMG 2010

Síntomas

Imagine la siguiente situación:

• Configure un túnel de sitio a sitio VPN de seguridad de protocolo de Internet (IPsec) o de protocolo de túnel punto a punto (PPTP) entre una implementación de matriz de sitio de Microsoft Forefront Threat Management Gateway (TMG) 2010 y otro sitio. Además, puede obtener acceso a los recursos correctamente a través del túnel.

• Habilite el equilibrio de carga de red (NLB) integrado en la matriz de TMG 2010 de TMG.

• Intenta obtener acceso a los recursos de otro sitio.

En este escenario, el túnel IPsec no funciona y no puede tener acceso a los recursos en ninguno de los lados del túnel.Nota El ámbito de este problema es realmente mayor que el de VPN de sitio a sitio de IPsec. El problema que se describe aquí puede ocurrir en cualquier implementación de TMG 2010 basada en matriz para la que se habilite el NLB integrado cuando se desencadenan eventos WMI de NLB, como la convergencia de nodos. La VPN de sitio a sitio con NLB habilitado es el ejemplo más visible.

Causa

Este problema se produce porque TMG 2010 define incorrectamente listas de control de acceso discrecional (DACL) para los servicios COM expuestos por TMG 2010. Estas DACL evitan que los servicios de TMG acepten notificaciones de eventos WMI de NLB. Por lo tanto, el estado de NLB interno de TMG no se actualiza, y los subcomponentes que dependen del estado de NLB, como las definiciones de filtro IPsec, no se inicializan correctamente.

Resolución

Estado

Microsoft ha confirmado que se trata de un problema de los productos de Microsoft recogidos en la sección "Se aplica a".Este problema se corrigió por primera vez en el Service Pack 1 de Forefront TMG 2010.