CPU-gebruik kan meer dan 50 procent zijn wanneer een ISA Server 2004-computer onder zware belasting werkt

Symptomen

Wanneer een computer met Microsoft Internet Security and Acceleration Server (ISA) 2004 onder zware belasting werkt, kan er intensief CPU-gebruik optreden. CPU-gebruik op de ISA Server-computer kan bijvoorbeeld meer dan 50 procent zijn.

Oorzaak

Dit probleem kan optreden vanwege de MTU-instelling (TCP/IP Maximum Transmission Unit) die tijdens de installatie van ISA Server wordt toegepast. Om te voorkomen dat een aanvaller de MTU-waarde wijzigt, schakelt ISA Server 2004 Path MTU (PMTU) Discovery uit. Deze instelling wordt beschreven in Microsoft beveiligingsbulletin MS05-019. Ga naar de volgende Microsoft-website om dit Bulletin te bekijken:

http://www.microsoft.com/technet/security/Bulletin/MS05-019.mspxOpmerkingen

Windows gebruikt standaard een MTU-instelling van 1.480 bytes en accepteert ICMP-berichten (Internet Control Message Protocol) die kleinere pakket grootten aanvragen.
Als MTU Discovery is uitgeschakeld op een Windows-Server, gebruikt de server een MTU-instelling van 576 bytes.

Oplossing

Waarschuwing Er kunnen ernstige problemen optreden als u het register onjuist wijzigt met de Register-editor of met een andere methode. Voor deze problemen is het nodig dat u het besturingssysteem opnieuw installeert. Microsoft kan niet garanderen dat deze problemen kunnen worden opgelost. Wijzig het register op eigen risico. Voer de volgende stappen uit om het probleem op te lossen dat wordt veroorzaakt door de MTU-instelling die is geconfigureerd tijdens de installatie van ISA Server. Belangrijk U moet deze wijziging aanbrengen in het register als u Windows Server 2003 Service Pack 1 (SP1) of de hotfix die wordt beschreven in het volgende artikel in de Microsoft Knowledge Base hebt geïnstalleerd:

898060 netwerkverbinding tussen clients en servers kan mislukken nadat u beveiligingsupdate MS05-019 of Windows Server 2003 Service Pack 1 hebt geïnstalleerd

Klik op Start, klik op uitvoeren, typ regediten klik op OK.
Zoek en klik met de rechtermuisknop op de volgende registersubsleutel:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\EnablePMTUDiscoveryWaardetype: REG_DWORDValue: 0,1 (ONWAAR, waar) ISA-standaardwaarde: 0 (false)Opmerking als de vermelding EnablePMTUDiscovery niet beschikbaar is, maakt u de vermelding.
Stel, indien van toepassing, de waarde in volgens de volgende informatie:
- Waarde = 1 Wanneer u EnablePMTUDiscovery op 1 instelt, probeert TCP de MTU of de grootste pakketgrootte in het pad van een externe host te detecteren. TCP kan fragmentatie verwijderen bij routers in het pad dat netwerken verbindt die gebruikmaken van verschillende Mtu's. TCP doet dit door de Path-MTU te ontdekken en TCP-segmenten te beperken tot deze grootte. Fragmentatie heeft een nadelige invloed op de TCP-doorvoer.
- Waarde = 0 Wanneer u EnablePMTUDiscovery instelt op 0, wordt een MTU van 576 bytes gebruikt voor alle verbindingen die niet zijn gerelateerd aan hosts op het lokale subnet. Als u deze waarde niet instelt op 0, kan een aanvaller de MTU-waarde tot een zeer kleine waarde dwingen en de stack overwerken. Opmerkingen
  - Wanneer u EnablePMTUDiscovery ingesteld op 0, worden TCP/IP-prestaties en doorvoer beïnvloed. U moet zich volledig bewust zijn van de prestatie doorvoer voordat u deze waarde instelt op 0.
  - Wanneer u ISA Server 2004 of ISA Server 2004 Service Pack 1 installeert, wordt deze waarde ook opnieuw ingesteld op 0.
  - ISA Server 2004 Service Pack 2 verandert de waarde van EnablePMTUDiscoveryniet.
Als u wilt deelnemen aan het detectieproces, maakt u een ICMP MTU-toegangsregel voor ISA Server. Hiertoe volgt u de stappen die worden beschreven in de volgende secties, afhankelijk van uw configuratie.
Sluit de Register-editor af en start de computer opnieuw op.

ISA Server 2004, Standard Edition

Klik op Start, wijs Programma'saan, wijs Microsoft ISA Serveraan en klik op ISA Server Management.
Vouw in het linkerdeelvenster ArrayName, en klik vervolgens op firewall-beleid.
Klik in het taakvenster op het tabblad werkset en klik vervolgens op protocollen.
Onder protocollen, klikt u op Nieuw, en klik vervolgens op protocol.
Typ in het vak naam protocol definitieICMP MTU Discovery, en klik vervolgens op volgende.
Klik op Nieuwen klik vervolgens op ICMP in de lijst type protocol .
Klik in de lijst richting op ontvangen verzenden.
Type 4 Typ in het vak ICMP -code 3 in het vak ICMP-type en klik vervolgens op OK.
Klik op volgende, klik op Voltooienen klik vervolgens op toepassen.
In het linkerdeelvenster met de rechtermuisknop op firewall-beleid, klikt u op Nieuw, en klik vervolgens op toegangsregel.
Typ in het vak naam van toegangsregelICMP MTU Discovery toestaanen klik op volgende.
Klik op toestaanen klik vervolgens op volgende.
In de deze regels is van toepassing op lijst, klikt u op geselecteerde protocollen, en klik vervolgens op toevoegen.
Vouw in de lijst protocollen de gebruiker gedefinieerduit.
Klik op ICMP MTU Discovery, klikt u op toevoegen, klikt u op sluiten, en klik vervolgens op volgende.
Klik op Toevoegen.
Vouw in de lijst netwerkentiteitennetwerkenuit.
Klik op externenklik vervolgens op toevoegen.
Klik op intern, klikt u op toevoegen, klikt u op sluiten, en klik vervolgens op volgende.
Klik op Toevoegen.
Vouw in de lijst netwerkentiteitennetwerkenuit.
Klik op lokale host, klikt u op toevoegen, klikt u op sluiten, en klik vervolgens op volgende twee keer.
Klik op Voltooien, en klik vervolgens op toepassen.

ISA Server 2004, Enterprise Edition

Voor ISA Server 2004, Enterprise Edition om deel te nemen aan de ICMP MTU Discovery-proces, het ICMP-protocol op het niveau van de onderneming maken en maak vervolgens de ICMP MTU-toegangsregel op het niveau van de matrix.

Het ICMP-protocol op ondernemingsniveau maken

Klik op Start, wijs Programma'saan, wijs Microsoft ISA Serveraan en klik op ISA Server Management.
Vouw in het linkerdeelvenster Enterprise, en klik vervolgens op Enterprise-beleid.
Klik in het taakvenster op het tabblad werkset en klik vervolgens op protocollen.
Onder protocollen, klikt u op Nieuw, en klik vervolgens op protocol.
Typ in het vak naam protocol definitieICMP MTU Discovery, en klik vervolgens op volgende.
Klik op Nieuwen klik vervolgens op ICMP in de lijst type protocol .
Type 4 Typ in het vak ICMP -code 3 in het vak ICMP-type en klik vervolgens op OK.
Klik op volgende, klik op Voltooienen klik vervolgens op toepassen. Opmerking Er kan geen Enterprise-toegangsregel worden gemaakt voor door de gebruiker gedefinieerde ICMP-protocollen wanneer u de wizard regel maken gebruikt.

Voor meer informatie over het gebruik van door de gebruiker gedefinieerde ICMP-protocollen in ISA Server 2004, Enterprise Edition-beleid, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

902348 door de gebruiker gedefinieerde ICMP-protocollen worden niet weergegeven in de wizard Nieuwe toegangsregel in ISA Server 2004 Enterprise Edition

Het handmatig maken van de toegangsregel ICMP MTU als u één matrix in het netwerk

Klik op Start, wijs Programma'saan, wijs Microsoft ISA Serveraan en klik op ISA Server Management.
In het linkerdeelvenster uitvouwen matrices, en vouw vervolgens ArrayName.
Met de rechtermuisknop op firewall-beleid, klikt u op Nieuw, en klik vervolgens op toegangsregel.
Typ in het vak naam van toegangsregelICMP MTU Discovery toestaanen klik op volgende.
Klik op toestaanen klik vervolgens op volgende.
In de deze regels is van toepassing op lijst, klikt u op geselecteerde protocollen, en klik vervolgens op toevoegen.
Vouw in de lijst protocollen de gebruiker gedefinieerduit.
Klik op ICMP MTU Discovery, klikt u op toevoegen, klikt u op sluiten, en klik vervolgens op volgende.
Klik op Toevoegen.
Vouw in de lijst netwerkentiteitennetwerkenuit.
Klik op externenklik vervolgens op toevoegen.
Klik op intern, klikt u op toevoegen, klikt u op sluiten, en klik vervolgens op volgende.
Klik op Toevoegen.
Vouw in de lijst netwerkentiteiten netwerkenuit.
Klik op lokale host, klikt u op toevoegen, klikt u op sluiten, en klik vervolgens op volgende twee keer.
Klik op Voltooien, en klik vervolgens op toepassen.

Het maken van de ICMP MTU-toegangsregel als u meerdere array-leden in het netwerk

Methode 1

Handmatig maken de ICMP MTU-toegangsregel op de eerste matrix. Hiertoe volgt u de stappen die worden beschreven voor het maken van de toegangsregel voor een enkele matrix.
Kopieer de ICMP MTU-toegangsregel. Hiertoe gaat u als volgt te werk:
1. Klik op Start, wijs Programma'saan, wijs Microsoft ISA Serveraan en klik op ISA Server Management.
2. In het linkerdeelvenster uitvouwen matrices, en vouw vervolgens ArrayName. ArrayName is de eerste array waarvoor u de MTU-toegangsregel voor ICMP hebt gemaakt.
3. Klik op firewall-beleid, met de rechtermuisknop op de regel ICMP MTU-Discovery toestaan onder firewall beleidsregels, en klik vervolgens op kopiëren.
Plak de ICMP MTU-toegangsregel in elke matrix. Hiertoe gaat u als volgt te werk:
1. In de ISA Server Management Microsoft Management Console (MMC), vouw de matrix waar u wilt plakken de MTU ICMP toegangsregel en klik vervolgens op firewall-beleid.
2. In het middelste deelvenster met de rechtermuisknop op de beleidsregel van de matrix die u wilt onmiddellijk de toegangsregel ICMP MTU volgen en klik vervolgens op Plakken. Opmerking Als er geen matrix beleidsregels bestaan, moet u een nieuwe matrix beleidsregel maken voordat u de MTU-toegangsregel voor ICMP plakken in het matrix beleid.
3. Klik op toepassen.
Herhaal stap 3a tot en met 3c totdat u de MTU ICMP toegangsregel voor alle matrixleden kopiëren.

Methode 2

Handmatig maken de ICMP MTU-toegangsregel op de eerste matrix. Hiertoe volgt u de stappen die worden beschreven voor het maken van de ICMP MTU-toegangsregel voor een enkele matrix.
Exporteer de ICMP MTU-toegangsregel. Hiertoe gaat u als volgt te werk:
1. In de ISA Server Management MMC, vouw de matrix waarvoor u de MTU ICMP toegangsregel gemaakt en klik vervolgens op firewall-beleid.
2. Klik met de rechtermuisknop op de regel ICMP MTU-Discovery toestaan onder firewall beleidsregelsen klik vervolgens op geselecteerde exporteren.
3. Klik in de wizard exporteren op volgende.
4. Klik op de pagina Voorkeuren exporteren op volgende.
5. Klik op Bladerenop de pagina bestandslocatie exporteren .
6. Selecteer een locatie waar u de ICMP MTU Discovery-regel wilt exporteren, typ Mtudiscoveryrule in het vak bestandsnaam en klik op openen.
7. Klik op volgendeen klik vervolgens op Voltooien om de wizard af te sluiten.
8. Klik op OK wanneer de voortgangsindicator een bericht weergeeft dat de configuratie met succes is geëxporteerd.
Importeer de ICMP MTU-toegangsregel in elke matrix. Hiertoe gaat u als volgt te werk:
1. In de ISA Server Management MMC, vouw de matrix waar u wilt importeren de ICMP MTU-toegangsregel en klik vervolgens met de rechtermuisknop op firewall-beleid.
2. Klik op importeren.
3. Klik in de wizard Importeren op volgende.
4. Klik op Bladeren, en ga naar de map waarin u het bestand Mtudiscoveryrule in stap 2F opgeslagen.
5. Klik op het bestand Mtudiscoveryrule en klik vervolgens op openen.
6. Klik tweemaal op volgende .
7. Klik op Voltooien.
8. Klik op OK wanneer de voortgangsindicator een bericht weergeeft dat de configuratie met succes is geïmporteerd.
9. Klik op toepassen.

Verwijzingen

Voor meer informatie over de registerinstellingen voor PMTU Discovery in Microsoft Windows 2000, klikt u op het volgende artikelnummer om het artikel in de Microsoft Knowledge Base:

315669 het verharden van de TCP/IP-stack tegen denial-of-service-aanvallen in Windows 2000Voor meer informatie over de registerinstellingen voor PMTU Discovery in Microsoft Windows Server 2003, klikt u op het volgende artikelnummer om het artikel in de Microsoft Knowledge Base:

324270 het verharden van de TCP/IP-stack tegen denial-of-service-aanvallen in Windows Server 2003