O uso da CPU pode ser mais de 50% quando um computador ISA Server 2004 está operando condições de carga pesada

Sintomas

Quando um computador baseado em Segurança e Aceleração da Internet da Microsoft (ISA) está operando condições de carga pesada, você pode experimentar um uso elevado de CPU. Por exemplo, o uso da CPU no computador ISA Server pode ser mais de 50%.

Causa

Esse comportamento pode ocorrer devido à configuração da unidade de transmissão máxima TCP/IP (MTU) que é aplicada durante a instalação do servidor ISA. Para evitar que um invasor mude o valor do MTU, o ISA Server 2004 desativa a descoberta do caminho MTU (PMTU). Essa configuração está documentada no boletim de segurança da Microsoft MS05-019. Para ver este boletim, visite o seguinte site da Microsoft:

http://www.microsoft.com/technet/security/Bulletin/MS05-019.mspxObservações

Por padrão, o Windows usa uma configuração MTU de 1.480 bytes e aceita mensagens do Protocolo de Mensagem de Controle da Internet (ICMP) que solicitam tamanhos de pacotes menores.
Se a descoberta do MTU for desativada em um servidor baseado em Windows, o servidor usa uma configuração MTU de 576 bytes.

Resolução

Aviso Problemas graves podem ocorrer se você modificar o registro incorretamente usando o Editor de Registro ou usando outro método. Esses problemas podem exigir que você reinstale seu sistema operacional. A Microsoft não pode garantir que esses problemas possam ser resolvidos. Modifique o registro por sua conta e risco. Para resolver o comportamento que é causado pela configuração mtu que é configurado durante a instalação do servidor ISA, siga essas etapas. Importante Você deve fazer essa alteração de registro se você tiver instalado o Windows Server 2003 Service Pack 1 (SP1) ou o hotfix que é descrito no seguinte artigo da Base de Conhecimento da Microsoft:

Conectividade de rede 898060 entre clientes e servidores pode falhar depois de instalar atualização de segurança MS05-019 ou Windows Server 2003 Service Pack 1

Clique em Iniciar,clique em Run,digite a regedite, em seguida, clique na OK.
Localize e clique com o botão direito do mouse na seguinte subchave do Registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\EnablePMTUDiscoveryTipo de valor: REG_DWORDValue: 0, 1 (Falso, Verdadeiro) VALOR padrão ISA: 0 (Falsa)Nota Se a entrada EnablePMTUDiscovery não estiver disponível, crie a entrada.
Se apropriado, defina ou altere o valor de acordo com as seguintes informações:
- Valor = 1 Quando você define o EnablePMTUDiscovery para 1, o TCP tenta descobrir o MTU ou o maior tamanho do pacote no caminho de um hospedeiro remoto. O TCP pode remover a fragmentação em roteadores no caminho que conecta redes que usam diferentes MTUs. O TCP faz isso descobrindo o caminho MTU e limitando os segmentos do TCP a esse tamanho. A fragmentação afeta negativamente a entrada do TCP.
- Valor = 0 Quando você define o EnablePMTUDiscovery para 0, um MTU de 576 bytes é usado para todas as conexões que não estão relacionadas a hosts na subrede local. Se você não definir esse valor para 0, um invasor pode forçar o valor mtu a um valor muito pequeno e sobretrabalhar a pilha. Notas
  - Quando você define o EnablePMTUDiscovery para 0, o desempenho e a receita do TCP/IP são afetados. Você deve estar plenamente ciente da entrada de desempenho antes de definir esse valor para 0.
  - Quando você instala o ISA Server 2004 ou o ISA Server 2004 Service Pack 1, esse valor também redefine para 0.
  - O Pacote de Serviços 2004 do ISA Server 2004 não altera o valor do EnablePMTUDiscovery.
Para participar do processo de descoberta, crie uma regra de acesso ICMP MTU para o SERVIDOR ISA. Para fazer isso, siga as etapas que são descritas nas seguintes seções, dependendo da sua configuração.
Saia do Editor do Registro e reinicie o computador.

SERVIDOR ISA 2004, Edição Padrão

Clique em Iniciar,apontar para programas,apontar para o Microsoft ISA Server,e, em seguida, clique ISA Server Management.
No painel esquerdo, expanda arrayname,e então clique na política de firewall.
No painel de tarefas, clique na aba Caixa de Ferramentas e, em seguida, clique em Protocolos.
De acordo com os protocolos,clique em Novoe, em seguida, clique no Protocolo.
Na caixa de nome de definição do Protocolo, digite ICMP MTU Discovery,e depois clique em seguida.
Clique em Novoe, em seguida, clique no ICMP na lista do tipo Protocolo.
Na lista de direção, clique em Enviar Receber.
Tipo 4 na caixa do código ICMP, tipo 3 na caixa icmp tipo, e depois clique OK.
Clique em seguida,clique em Acabamentoe, em seguida, clique em Aplicar.
No painel esquerdo, clique direito Política firewall,clique novo,e, em seguida, clique regra de acesso.
Na caixa de nome da regra de acesso, tipo Permita ICMP MTU Discovery,e depois clique em seguida.
Clique em permitire, em seguida, clique em seguida.
Nas regras desta lista, clique em protocolos selecionadose, em seguida, clique em Adicionar.
Na lista de Protocolos, expanda o usuário definido.
Clique no ICMP MTU Discovery,clique em Adicionar,clique em Fechare, em seguida, clique em seguida.
Clique em Adicionar.
Na lista de entidades da Rede, expanda as Redes.
Clique externoe, em seguida, clique em Adicionar.
Clique interno,clique em adicionar,clique em fechare, em seguida, clique em seguida.
Clique em Adicionar.
Na lista de entidades da Rede, expanda as Redes.
Clique no anfitrião local,clique em adicionar,clique em fechare, em seguida, clique nas próximas duas vezes.
Clique no acabamentoe, em seguida, clique em Aplicar.

SERVIDOR ISA 2004, Edição Empresarial

Para o ISA Server 2004, a Enterprise Edition participará do processo de descoberta do ICMP MTU, cria o protocolo ICMP a nível empresarial e, em seguida, cria a regra de acesso ICMP MTU ao nível da matriz.

Como criar o protocolo ICMP a nível empresarial

Clique em Iniciar,apontar para programas,apontar para o Microsoft ISA Server,e, em seguida, clique ISA Server Management.
No painel esquerdo, expanda a Enterprisee, em seguida, clique nas Políticas Corporativas.
No painel de tarefas, clique na aba Caixa de Ferramentas e, em seguida, clique em Protocolos.
De acordo com os protocolos,clique em Novoe, em seguida, clique no Protocolo.
Na caixa de nome de definição do Protocolo, digite ICMP MTU Discovery,e depois clique em seguida.
Clique em Novoe, em seguida, clique no ICMP na lista do tipo Protocolo.
Tipo 4 na caixa do código ICMP, tipo 3 na caixa icmp tipo, e depois clique OK.
Clique em seguida,clique em Acabamentoe, em seguida, clique em Aplicar.Nota Uma regra de acesso à empresa não pode ser criada para protocolos ICMP definidos pelo usuário quando você usa o assistente de criação de regras.

Para obter mais informações sobre como usar os protocolos ICMP definidos pelo usuário no ISA Server 2004, as políticas da Enterprise Edition, clique no número seguinte do artigo para visualizar o artigo na Base de Conhecimento da Microsoft:

902348 Protocolos ICMP definidos pelo usuário não são exibidos no Novo Assistente de Regra de Acesso no Servidor ISA 2004 Enterprise Edition

Como criar manualmente a regra de acesso icmp mtu se você tem uma única matriz na rede

Clique em Iniciar,apontar para programas,apontar para o Microsoft ISA Server,e, em seguida, clique ISA Server Management.
No painel esquerdo, expandir Arrays,e depois expandir ArrayName.
Política de firewallde clique seleção, clique em novoe, em seguida, clique na Regra de Acesso.
Na caixa de nome da regra de acesso, tipo Permita ICMP MTU Discovery,e depois clique em seguida.
Clique em permitire, em seguida, clique em seguida.
Nas regras desta lista, clique em protocolos selecionadose, em seguida, clique em Adicionar.
Na lista de Protocolos, expanda o usuário definido.
Clique no ICMP MTU Discovery,clique em Adicionar,clique em Fechare, em seguida, clique em seguida.
Clique em Adicionar.
Na lista de entidades da Rede, expanda as Redes.
Clique externoe, em seguida, clique em Adicionar.
Clique interno,clique em adicionar,clique em fechare, em seguida, clique em seguida.
Clique em Adicionar.
Na lista de entidades da Rede, expanda as Redes.
Clique no anfitrião local,clique em adicionar,clique em fechare, em seguida, clique nas próximas duas vezes.
Clique no acabamentoe, em seguida, clique em Aplicar.

Como criar a regra de acesso icmp mtu se você tem vários membros da matriz na rede

Método 1

Criar manualmente a regra de acesso icmp mtu na primeira matriz. Para fazer isso, siga os passos que são descritos para criar a regra de acesso para uma única matriz.
Copie a regra de acesso do ICMP MTU. Para fazer isso, siga estas etapas:
1. Clique em Iniciar,apontar para programas,apontar para o Microsoft ISA Server,e, em seguida, clique ISA Server Management.
2. No painel esquerdo, expandir Arrays,e depois expandir ArrayName. ArrayName é a primeira matriz para a qual você criou a regra de acesso ICMP MTU.
3. Clique na Política de Firewall,clique à direita na regra de descoberta do MTU do Permitir que o ICMP de acordo com as regrasda política de firewall e, em seguida, clique na Cópia.
Colar a regra de acesso ICMP MTU em cada matriz. Para fazer isso, siga estas etapas:
1. No ISA Server Management Microsoft Management Console (MMC), expanda a matriz onde você deseja colar a regra de acesso icmp mtu e, em seguida, clique na política de firewall.
2. No painel central, clique à direita na regra da política de matriz que deseja seguir imediatamente a regra de acesso do ICMP MTU e, em seguida, clique em Colar.Nota Se não existirem regras de política de matriz, você deve criar uma nova regra de política de matriz antes de poder colar a regra de acesso do ICMP MTU na política de matriz.
3. Clique aplicar.
Repita as etapas 3a a 3c até copiar a regra de acesso icmp MTU para todos os membros da matriz.

Método 2

Criar manualmente a regra de acesso icmp mtu na primeira matriz. Para fazer isso, siga os passos que são descritos para criar a regra de acesso ICMP MTU para uma única matriz.
Exportar a regra de acesso icmp MTU. Para fazer isso, siga estas etapas:
1. No MMC de gerenciamento de servidores da ISA, expanda a matriz para a qual você criou a regra de acesso icmp mtu e, em seguida, clique na política de firewall.
2. Clique à direita na regra De descoberta do ItMP MTU de acordo com as regrasda política de firewall e, em seguida, clique na Exportação Selecionada.
3. No Mago da Exportação, clique em seguida.
4. Na página preferências de exportação, clique em seguida.
5. Na página de localização do arquivo de exportação, clique em procurar.
6. Selecione um local onde você exportará a regra ICMP MTU Discovery, digite MtuDiscoveryRule na caixa de nome do arquivo e, em seguida, clique no Open.
7. Clique em seguida,e, em seguida, clique terminar para sair do assistente.
8. Clique ok quando o indicador de progresso exibe uma mensagem de que a configuração foi exportada com sucesso.
Importe a regra de acesso icmp mtu em cada matriz. Para fazer isso, siga estas etapas:
1. No MMC de gerenciamento de servidores da ISA, expanda a matriz onde você deseja importar a regra de acesso icmp mtu e, em seguida, clique direito na política de firewall.
2. Clique em Importação.
3. No Assistente de Importação, clique em seguida.
4. Clique em Navegare, em seguida, localizar a pasta onde você salvou o arquivo MtuDiscoveryRule na etapa 2f.
5. Clique no arquivo MtuDiscoveryRule e, em seguida, clique em Abrir.
6. Clique em seguida duas vezes.
7. Clique em Concluir.
8. Clique ok quando o indicador de progresso exibe uma mensagem de que a configuração foi importada com sucesso.
9. Clique aplicar.

Referências

Para obter mais informações sobre as configurações do registro de descoberta do PMTU no Microsoft Windows 2000, clique no seguinte número do artigo para visualizar o artigo na Base de Conhecimento da Microsoft:

315669 Como endurecer a pilha TCP/IP contra ataques de negação de serviço no Windows 2000Para obter mais informações sobre as configurações do registro de descoberta do PMTU no Microsoft Windows Server 2003, clique no seguinte número do artigo para visualizar o artigo na Base de Conhecimento da Microsoft:

324270 Como endurecer a pilha TCP/IP contra ataques de negação de serviço no Windows Server 2003