Сводка
Обновление для системы безопасности MS05-019 изменяет способ проверки операционной системой запросов ICMP. Это обновление для системы безопасности предотвращает атаки по протоколу ICMP. Однако при определенных обстоятельствах это обновление для системы безопасности может привести к потере сетевого подключения компьютера. В этой статье описываются три метода, которые можно использовать для предотвращения потери сетевого подключения компьютера при установке обновления для системы безопасности MS05-019.
Введение
В этой статье описаны рекомендуемые параметры TCP/IP для каналов глобальной сети (WAN) с максимальным размером блока передачи (MTU) менее 576.
Дополнительные сведения
Внимание! В этом разделе метод или задача содержит шаги по изменению реестра. Однако ошибки при изменении реестра могут привести к серьезным проблемам. Поэтому будьте внимательны, выполняя описанные действия. В качестве дополнительной меры предосторожности перед внесением изменений создайте резервную копию реестра. Тогда в случае возникновения проблемы вы сможете восстановить реестр. Дополнительные сведения о создании резервной копии и восстановлении реестра см. в следующей статье базы знаний Майкрософт:
322756 Резервное копирование и восстановление реестра Windows
Обновление для системы безопасности MS05-019 изменяет способ проверки операционной системой запросов ICMP. Это обновление для системы безопасности ограничивает наименьший размер MTU до 576 байт. Размер MTU ограничен для предотвращения атак на основе ICMP. Атака на основе ICMP может уменьшить размер MTU до очень низкого значения. Очень малый размер MTU может привести к серьезному снижению производительности.
Однако размер MTU, ограниченный 576 байтами, может повлиять на некоторые сценарии WAN, такие как спутниковые каналы. В этих сценариях WAN размер MTU может быть меньше 576. В таких сценариях WAN может быть потеряно сетевое подключение. Вы можете использовать такие инструменты, как сетевой монитор, чтобы определить, возникают ли такие сценарии, с помощью анализа трассировки сети. Если в назначениях, к которым теряется сетевое подключение, есть сообщение ICMP о недостижимости со значением MTU следующего скачка меньше 576, вы сталкиваетесь с такими сценариями.
В этих особых обстоятельствах рассмотрите возможность использования одной из следующих рекомендаций.
Примечание. Не следует следовать приведенным ниже рекомендациям, если вы не столкнулись с одним из описанных выше сценариев. Следующие рекомендации могут снизить пропускную способность сети.
Метод 1: Включение обнаружения черных дыр с помощью максимального передаточного блока (PMTU)
Если вы включите функцию обнаружения черных дыр Path Maximum Transfer Unit (PMTU), TCP попытается отправить сегменты, для которых не установлен бит Don't Fragment. TCP попытается отправить эти сегменты, если несколько повторных передач сегмента останутся неподтвержденными. Если сегмент подтвержден, максимальный размер сегмента (MSS) будет уменьшен, а бит Don't Fragment будет установлен в будущих пакетах соединения.
Этот метод предпочтительнее, потому что размер пакета уменьшается только для проблемного сегмента. Обнаружение черных дыр увеличивает максимальное количество ретрансляций для определенного сегмента.
Чтобы включить обнаружение черной дыры PMTU, выполните следующие действия.
Нажмите кнопку Пуск, нажмите кнопку Выполнить, введите команду regedit и нажмите кнопку ОК.
Найдите в реестре следующий раздел:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
В меню Правка выберите пункт Создать, а затем — Параметр DWORD.
Введите EnablePMTUBHDetect и нажмите клавишу ВВОД.
В меню Правка выберите команду Изменить.
В поле "Значение" введите "1" и нажмите кнопку "ОК".
Закройте редактор реестра и перезагрузите компьютер.
Метод 2. Отключение обнаружения PMTU
Если вы отключите обнаружение PMTU, TCP будет отправлять только пакеты с размером MTU, равным 576, и для которых не задано значение «Не фрагмент». Это позволяет маршрутизаторам фрагментировать пакет и отправлять пакет по сети.
Этот метод влияет на пакеты, отправляемые во все места назначения. Большую часть времени производительность будет на приемлемом уровне при размере пакета 576. Однако производительность будет ниже, чем если бы было включено обнаружение PMTU и путь поддерживал размер MTU больше 576.
Чтобы отключить обнаружение PMTU, выполните следующие действия.
Нажмите кнопку Пуск, нажмите кнопку Выполнить, введите команду regedit и нажмите кнопку ОК.
Найдите в реестре следующий раздел:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
В меню Правка выберите пункт Создать, а затем — Параметр DWORD.
Введите EnablePMTUDiscovery и нажмите клавишу ВВОД.
В меню Правка выберите команду Изменить.
В поле "Значение" введите 0 и нажмите кнопку "ОК".
Закройте редактор реестра и перезагрузите компьютер.
Способ 3: Установите размер MTU для сетевого интерфейса вручную
Если размер MTU для сетевого интерфейса установлен вручную, этот параметр переопределяет MTU по умолчанию для сетевого интерфейса. Размер MTU — это максимальный размер пакета в байтах, который транспорт будет передавать по базовой сети.
Этот метод влияет на пакеты, отправляемые во все места назначения, и может значительно повлиять на производительность в зависимости от установленного размера MTU.
Чтобы установить размер MTU для сетевого интерфейса, выполните следующие действия.
Нажмите кнопку Пуск, нажмите кнопку Выполнить, введите команду regedit и нажмите кнопку ОК.
Найдите в реестре следующий раздел:
<HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\идентификатор сетевого интерфейса>
В меню Правка выберите пункт Создать, а затем — Параметр DWORD.
Введите MTU и нажмите клавишу ВВОД.
В меню Правка выберите команду Изменить.
В поле "Значение" введите значение размера MTU и нажмите кнопку "ОК".
Закройте редактор реестра и перезагрузите компьютер.
Ссылки
Для просмотра статьи в базе знаний Майкрософт щелкните следующий номер статьи:
898060 Может возникать сбой сетевого подключения между клиентами и серверами после установки обновления для системы безопасности MS05-019 или Windows Server 2003 с пакетом обновления 1 (SP1)
Дополнительные сведения о протоколе TCP/IP см. на веб-сайте Microsoft TechNet по следующему адресу:
Обзор сетевых подключений и протокола TCP/IP
http://technet.microsoft.com/en-us/library/cc739443(WS.10).aspx