Samenvatting
Beveiligingsupdate MS05-019 wijzigt de manier waarop het besturingssysteem ICMP-aanvragen (Internet Control Message Protocol) valideert. Deze beveiligingsupdate voorkomt ICMP-aanvallen. Onder bijzondere omstandigheden is deze beveiligingsupdate er de oorzaak van dat de verbinding tussen de computer en het netwerk wordt verbroken. In dit artikel worden drie methoden beschreven die u kunt gebruiken om te voorkomen dat de verbinding met het netwerk wordt verbroken als beveiligingsupdate MS05-019 is geïnstalleerd.
Inleiding
In dit artikel worden de aanbevolen TCP/IP-instellingen voor WAN-verbindingen (Wide Area Network) beschreven die een MTU-grootte (Maximum Transmission Unit) van kleiner dan 576 hebben.
Meer informatie
Belangrijk Deze sectie, methode of taak bevat stappen voor het bewerken van het register. Als u het register onjuist bewerkt, kunnen er echter grote problemen optreden. Het is dan ook belangrijk dat u deze stappen zorgvuldig uitvoert. Maak ook een back-up van het register voordat u wijzigingen aanbrengt. Als er een probleem optreedt, kunt u het register altijd nog herstellen. Als u meer informatie wilt over het maken van een back-up van het register en het herstellen van het register, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
322756 Procedure: Een back-up van het register maken en het register bewerken en terugzetten in Windows XP en Windows Server 2003
Beveiligingsupdate MS05-019 wijzigt de manier waarop het besturingssysteem ICMP-aanvragen (Internet Control Message Protocol) valideert. Deze beveiligingsupdate beperkt de laagste MTU-grootte tot 576 bytes. De MTU-grootte is beperkt om ICMP-aanvallen te voorkomen. Door ICMP-aanvallen kan de MTU-grootte tot een uiterst lage waarde worden teruggebracht. Een lage MTU-grootte veroorzaakt aanzienlijke vertragingen in het systeem.
Als de MTU-grootte tot 576 bytes beperkt is, kan dit gevolgen hebben voor bepaalde WAN-scenario's, zoals satellietverbindingen. In deze WAN-scenario's kan de MTU-grootte kleiner zijn dan 576. In deze WAN-scenario's kan de verbinding met het netwerk worden verbroken. U kunt hulpprogramma's als Netwerkcontrole gebruiken om na te gaan of er sprake is van dergelijke scenario's. Dit wordt gedaan door analyse van een netwerktracering. Als de bestemming waarmee de netwerkverbinding is verbroken berichten genereert waarin wordt gemeld dat de ICMP-bestemming onbereikbaar is bij de volgende hop MTU-waarde van minder dan 576, is er sprake van een dergelijk scenario.
Onder deze bijzondere omstandigheden kunt u een van de volgende aanbevelingen opvolgen.
Opmerking Volg deze aanbevelingen niet op als er geen sprake is van dergelijke scenario's. De volgende aanbevelingen kunnen de doorvoer van het netwerk verminderen.
Methode 1: Path Maximum Transfer Unit (PMTU) black hole-detectie inschakelen
Als u de functie Path Maximum Transfer Unit (PMTU) black hole-detectie inschakelt, probeert TCP segmenten te verzenden waarvan de bit Don't Fragment niet is ingesteld. TCP probeert deze segmenten te verzenden als een segment verschillende malen opnieuw wordt verzonden en dit niet wordt bevestigd. Als een segment is bevestigd, wordt de maximale segmentgrootte (MSS, Maximum Segment Size) verlaagd en wordt de bit Don't Fragment ingesteld voor alle toekomstige pakketten van de verbinding.
Deze methode verdient de voorkeur omdat de pakketgrootte alleen voor het probleemsegment wordt verlaagd. Black hole-detectie verhoogt het maximum aantal hertransmissies voor een specifiek segment.
Ga als volgt te werk om PMTU black hole-detectie in te schakelen:
-
Klik op Start, klik op Uitvoeren, typ regedit en klik op OK.
-
Zoek de volgende sleutel in het register:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
-
Open het menu Bewerken, wijs de optie Nieuw aan en klik op DWORD-waarde.
-
Typ EnablePMTUBHDetect en druk op ENTER.
-
Open het menu Bewerken en klik op Wijzigen.
-
Typ 1 in het vak Waardegegevens en klik op OK.
-
Sluit de Register-editor af en start de computer opnieuw op.
Methode 2: PMTU Discovery uitschakelen
Als u PMTU Discovery uitschakelt, verzendt TCP alleen pakketten met een MTU-grootte van 576 en waarvan de bit Don't Fragment niet is ingesteld. Op die manier kunnen de routers het pakket fragmenteren en over de netwerken verzenden.
Deze methode is van invloed op pakketten naar alle bestemmingen. Meestal blijven de systeemprestaties acceptabel met een pakketgrootte van 576. De prestaties zijn echter wel lager dan wanneer PMTU Discovery is ingeschakeld en het pad een MTU-grootte van meer dan 576 ondersteunt.
Ga als volgt te werk om PMTU Discovery uit te schakelen:
-
Klik op Start, klik op Uitvoeren, typ regedit en klik op OK.
-
Zoek de volgende sleutel in het register:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
-
Open het menu Bewerken, wijs de optie Nieuw aan en klik op DWORD-waarde.
-
Typ EnablePMTUDiscovery en druk op ENTER.
-
Open het menu Bewerken en klik op Wijzigen.
-
Typ 0 in het vak Waardegegevens en klik op OK.
-
Sluit de Register-editor af en start de computer opnieuw op.
Methode 3: De MTU-grootte voor de netwerkinterface handmatig instellen
Als u de MTU-grootte voor een netwerkinterface handmatig instelt, krijgt deze instelling voorrang boven de standaard-MTU voor de netwerkinterface. De MTU is de maximumpakketgrootte in bytes die wordt overgebracht via het onderliggende netwerk.
Deze methode is van invloed op pakketten naar alle bestemmingen en kan de systeemprestaties ernstig belemmeren, afhankelijk van de door u ingestelde MTU-grootte.
Ga als volgt te werk om de MTU-grootte voor de netwerkinterface in te stellen:
-
Klik op Start, klik op Uitvoeren, typ regedit en klik op OK.
-
Zoek de volgende sleutel in het register:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\<ID for network interface>
-
Open het menu Bewerken, wijs de optie Nieuw aan en klik op DWORD-waarde.
-
Typ MTU en druk op ENTER.
-
Open het menu Bewerken en klik op Wijzigen.
-
Typ de waarde van de MTU-grootte in het vak Waardegegevens en klik op OK.
-
Sluit de Register-editor af en start de computer opnieuw op.
Referenties
Klik op het volgende artikelnummer in de Microsoft Knowledge Base voor meer informatie:
898060 Netwerkverbinding tussen clients en servers kan niet tot stand worden gebracht na installatie van beveiligingsupdate MS05-019 of Windows Server 2003 Service Pack 1
Meer informatie over TCP/IP kunt u vinden op de volgende Microsoft TechNet-website:
Overzicht van netwerken en TCP/IP
http://technet2.microsoft.com/WindowsServer/nl/library/be2b68c1-a279-417b-976a-16601b98447a1043.mspx
