Utilizarea CPU poate fi mai mult de 50 la sută, atunci când un computer ISA Server 2004 funcționează în condiții de încărcătură

Simptome

Un Microsoft Internet Security and Acceleration Server (ISA) 2004 computerul funcționează în condiții de încărcătură, este posibil să apară înalt de utilizare CPU. De exemplu, utilizarea CPU pe un computer ISA Server poate fi mai mult de 50 la sută.

Cauza

Acest comportament poate apărea din cauza TCP/IP maximum transmission unit (MTU) setarea pe care se aplică în timpul instalării ISA Server.

Pentru a împiedica un atacator să modificați valoarea MTU, ISA Server 2004 dezactivează calea MTU (PMTU) descoperire. Această setare este documentată în buletinul de securitate Microsoft MS05-019. Pentru a vedea Buletinul, vizitați următorul site Web Microsoft:

http://www.microsoft.com/technet/security/Bulletin/MS05-019.mspxNote

În mod implicit, Windows utilizează o setare MTU de octeți 1,480 și acceptă mesaje Internet Control mesaj Protocol (ICMP) care solicită pachet de dimensiuni mai mici.
Dacă valoarea MTU descoperire este dezactivat pe un server bazat pe Windows, serverul utilizează o setare MTU de 576 octeți.

Rezolvare

Avertisment Pot apărea probleme grave dacă modificați incorect registry utilizând Registry Editor sau altă metodă. Aceste probleme pot necesita reinstalarea sistemului de operare. Microsoft nu poate garanta că aceste probleme pot fi remediate. Modificați registry pe propriul risc.

Pentru a rezolva acest comportament, care este provocată de setarea MTU care este configurat în timpul instalării ISA Server, urmați acești pași.

Important Trebuie să facă acest registru modifica dacă ați instalat Windows Server 2003 Service Pack 1 (SP1) sau remedierea rapidă care este descris în următorul articol din baza de cunoștințe Microsoft:

898060 conectivitate în rețea dintre clienți și servere poate să nu reușească după instalarea actualizării de securitate MS05-019 sau Windows Server 2003 Service Pack 1

Faceți clic pe Start, faceți clic pe executare, tastați regedit, și apoi faceți clic pe OK.
Găsiți și faceți clic dreapta pe următoarea subcheie de registry:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\EnablePMTUDiscovery
Tip valoare: REG_DWORD
Valoare: 0, 1 (False, True)
Valoarea implicită de ISA: 0 (fals)

Notă Dacă intrarea EnablePMTUDiscovery este indisponibil, creați intrarea.
Dacă este cazul, setează sau se modifică valoarea în conformitate cu următoarele informații:
- Value = 1
  Atunci când Setați EnablePMTUDiscovery la 1, TCP încearcă să descopere valoarea MTU sau dimensiunea mai mare în calea de o gazdă la distanță. TCP poate elimina fragmentarea la routere în calea care se conectează rețelele care utilizează valori MTU diferite. TCP face acest lucru, de a descoperi calea MTU și limitând TCP segmente la această dimensiune. Fragmentarea afectează TCP transmitere.
- Value = 0
  Atunci când Setați EnablePMTUDiscovery la 0, se utilizează o valoare MTU de 576 octeți pentru toate conexiunile care nu sunt legate de gazde subrețea locală. Dacă setați această valoare la 0, un atacator poate impune valoarea MTU pentru o valoare foarte mică și extenua stiva.
  
  Note
  - Atunci când Setați EnablePMTUDiscovery la 0, TCP/IP performanță și transmitere sunt afectate. Trebuie să fie complet conștient de transmitere de performanță, înainte de a seta această valoare la 0.
  - Când instalați ISA Server 2004 sau ISA Server 2004 Service Pack 1, această valoare, de asemenea, resetează la 0.
  - ISA Server 2004 Service Pack 2 nu se modifică valoarea EnablePMTUDiscovery.
Pentru a participa în procesul de descoperire, creați o regulă de acces ICMP MTU pentru ISA Server. Pentru aceasta, urmați pașii descriși în secțiunile următoare, în funcție de configurație.
Închideți editorul de Registry și reporniți computerul.

ISA Server 2004, Standard Edition

Faceți clic pe Start, indicați spre programe, indicați spre Microsoft ISA Serverși apoi faceți clic pe ISA Server Management.
În panoul din stânga, extindeți ArrayNameși apoi faceți clic pe Politica paravanului de protecție.
În panoul de activități, faceți clic pe fila Instrumente și apoi faceți clic pe protocoale.
Sub protocoale, faceţi clic pe nouși apoi faceți clic pe Protocol.
În caseta de Protocol definition nume , tastați ICMP MTU descoperireși apoi faceți clic pe Următorul.
Faceţi clic pe nouși apoi faceți clic pe ICMP în lista de tip Protocol .
În lista de direcție , faceți clic pe Trimitere primiți.
Tastați 4 în caseta ICMP cod , în caseta Tip ICMP de tip 3 și apoi faceți clic pe OK.
Faceți clic pe Următorul, faceți clic pe Terminare, și apoi faceți clic pe se aplică.
În panoul din stânga, faceți clic dreapta pe Politică Paravanul de protecție, faceți clic pe nouși apoi faceți clic pe Regula de acces.
În caseta nume de regulă de acces , tastați Permite ICMP MTU descoperireși apoi faceți clic pe Următorul.
Allow, și apoi faceți clic pe Următorul.
În lista aceasta reguli se aplică la , protocoale selectat, și apoi faceți clic pe Adăugare.
În lista de protocoale , extindeți Definite de utilizator.
Faceți clic pe ICMP MTU descoperire, faceți clic pe Adăugare, faceți clic pe închidereși apoi faceți clic pe Următorul.
Faceți clic pe Adăugare.
În lista de entități de rețea , extindeți rețele.
Extern, și apoi faceți clic pe Adăugare.
Faceți clic pe interne, faceți clic pe Adăugare, faceți clic pe închidereși apoi faceți clic pe Următorul.
Faceți clic pe Adăugare.
În lista de entități de rețea , extindeți rețele.
Faceți clic pe Local gazdă, faceți clic pe Adăugare, faceți clic pe închidereși apoi faceți clic pe Următorul de două ori.
Faceți clic pe Terminare, şi apoi faceţi clic pe se aplică.

ISA Server 2004, Enterprise Edition

Pentru ISA Server 2004, Enterprise Edition pentru a participa în procesul de descoperire ICMP MTU, creați protocolul ICMP la nivel de întreprindere, și apoi creați regula ICMP MTU acces la nivel de matrice.

Cum se creează protocolul ICMP la nivel de întreprindere

Faceți clic pe Start, indicați spre programe, indicați spre Microsoft ISA Serverși apoi faceți clic pe ISA Server Management.
În panoul din stânga, extindeți Enterprise, și apoi faceți clic pe Politici de întreprindere.
În panoul de activități, faceți clic pe fila Instrumente și apoi faceți clic pe protocoale.
Sub protocoale, faceţi clic pe nouși apoi faceți clic pe Protocol.
În caseta de Protocol definition nume , tastați ICMP MTU descoperireși apoi faceți clic pe Următorul.
Faceţi clic pe nouși apoi faceți clic pe ICMP în lista de tip Protocol .
Tastați 4 în caseta ICMP cod , în caseta Tip ICMP de tip 3 și apoi faceți clic pe OK.
Faceți clic pe Următorul, faceți clic pe Terminare, și apoi faceți clic pe se aplică.

Notă Imposibil de creat o regulă de acces Enterprise pentru protocoale ICMP definite de utilizator când utilizați expertul de creare regulă.

Pentru mai multe informații despre cum se utilizează protocoalele ICMP definite de utilizator în ISA Server 2004, Enterprise Edition politici, faceți clic pe următorul număr de articol pentru a vedea articolul în baza de cunoștințe Microsoft:

902348 definite de utilizator ICMP protocoale nu se afișează în Expertul de regulă acces nou în ISA Server 2004 Enterprise Edition

Cum să creați manual regula de acces ICMP MTU dacă aveți o singură matrice în rețea

Faceți clic pe Start, indicați spre programele, indicați spre Microsoft ISA Serverși apoi faceți clic pe ISA Server Management.
În panoul din stânga, extindeți matriceși apoi extindeți ArrayName.
Faceți clic dreapta pe Politică Paravanul de protecție, faceţi clic pe nouși apoi faceți clic pe Regula de acces.
În caseta nume de regulă de acces , tastați Permite ICMP MTU descoperireși apoi faceți clic pe Următorul.
Allow, și apoi faceți clic pe Următorul.
În lista aceasta reguli se aplică la , protocoale selectat, și apoi faceți clic pe Adăugare.
În lista de protocoale , extindeți Definite de utilizator.
Faceți clic pe ICMP MTU descoperire, faceți clic pe Adăugare, faceți clic pe închidereși apoi faceți clic pe Următorul.
Faceți clic pe Adăugare.
În lista de entități de rețea , extindeți rețele.
Extern, și apoi faceți clic pe Adăugare.
Faceți clic pe interne, faceți clic pe Adăugare, faceți clic pe închidereși apoi faceți clic pe Următorul.
Faceți clic pe Adăugare.
În lista de entități de rețea , extindeți rețele.
Faceți clic pe Local gazdă, faceți clic pe Adăugare, faceți clic pe închidereși apoi faceți clic pe Următorul de două ori.
Faceți clic pe Terminare, și apoi faceți clic pe se aplică.

Cum se creează regula de acces ICMP MTU dacă aveți mai multe matrice membri în rețea

Metoda 1

Creați manual regula de acces ICMP MTU pe prima matrice. Pentru aceasta, urmați pașii descriși pentru a crea regula de acces pentru un singur vector.
Copiați regula de acces ICMP MTU. Pentru a face acest lucru, urmați acești pași:
1. Faceți clic pe Start, indicați spre programele, indicați spre Microsoft ISA Serverși apoi faceți clic pe ISA Server Management.
2. În panoul din stânga, extindeți matriceși apoi extindeți ArrayName.
  ArrayName este prima matrice pentru care ați creat-o regulă de acces ICMP MTU.
3. Faceți clic pe Politica de paravan de protecție, faceți clic dreapta pe regula Allow ICMP MTU descoperire regulile de politicăpentru paravanul de protecție și apoi faceți clic pe Copiere.
Lipiți regula de acces ICMP MTU în fiecare matrice. Pentru a face acest lucru, urmați acești pași:
1. În ISA Server Management Microsoft Management Console (MMC), extindeți matrice unde doriți să lipiți regula de acces ICMP MTU și apoi faceți clic pe Politica de paravan de protecție.
2. În panoul de centru, faceţi clic dreapta pe regula de politică de matrice care doriți să urmați imediat regula de acces ICMP MTU și apoi faceți clic pe Lipire.
  
  Notă Dacă există reguli matrice politică, trebuie să creați o regulă nouă politică de matrice înainte lipiți regula de acces ICMP MTU în politica de matrice.
3. Faceți clic pe se aplică.
Repetați pașii 3a până la 3c până când copiați regula de acces ICMP MTU pentru toate matrice membri.

Metoda 2

Creați manual regula de acces ICMP MTU pe prima matrice. Pentru aceasta, urmați pașii care sunt descrise pentru a crea regula de acces ICMP MTU pentru o singură matrice.
Exportați regula de acces ICMP MTU. Pentru a face acest lucru, urmați acești pași:
1. În ISA Server Management MMC, extindeți matrice pentru care ați creat-o regulă de acces ICMP MTU, și apoi faceți clic pe Politica de paravan de protecție.
2. Faceți clic dreapta regula Allow ICMP MTU descoperire regulile de politicăpentru paravanul de protecție, și apoi faceți clic pe Export selectat.
3. În Expertul Export , faceți clic pe Următorul.
4. Pe pagina de Export Preferințe , faceți clic pe Următorul.
5. Pe pagina de Export locația fișierului , faceți clic pe Răsfoire.
6. Selectați o locație unde va exporta regula ICMP MTU descoperire, tastați MtuDiscoveryRule în caseta nume fișier , și Deschidere.
7. Faceți clic pe Următorul, și apoi faceți clic pe Terminare pentru a închide Expertul.
8. Faceți clic pe OK atunci când indicatorul de progres afișează un mesaj că configurația a fost exportat cu succes.
Importați regula de acces ICMP MTU în fiecare matrice. Pentru a face acest lucru, urmați acești pași:
1. În ISA Server Management MMC, extindeți matrice unde doriți să importați regula de acces ICMP MTU și apoi faceți clic dreapta Politică Paravanul de protecție.
2. Faceți clic pe Import.
3. În Expertul de Import, faceți clic pe Următorul.
4. Faceți clic pe Răsfoire, și apoi găsiți folderul în care ați salvat fișierul MtuDiscoveryRule în pasul 2f.
5. Faceți clic pe fișierul MtuDiscoveryRule și apoi faceți clic pe Deschidere.
6. Faceți clic pe Următorul de două ori.
7. Faceți clic pe Terminare.
8. Faceți clic pe OK atunci când indicatorul de progres afișează un mesaj că s-a importat cu succes configurația.
9. Faceți clic pe se aplică.

Referințe

Pentru mai multe informații despre setările de registry descoperire PMTU în Microsoft Windows 2000, faceți clic pe următorul număr de articol pentru a vedea articolul în baza de cunoștințe Microsoft:

315669 cum să înăsprească stiva TCP/IP împotriva negare serviciu atacuri în Windows 2000

Pentru mai multe informații despre setările de registry descoperire PMTU în Microsoft Windows Server 2003, faceți clic pe următorul număr de articol pentru a vedea articolul în baza de cunoștințe Microsoft:

324270 cum să înăsprească stiva TCP/IP împotriva negare serviciu atacuri în Windows Server 2003