Розподіл навантаження може бути більше ніж 50%, коли в ISA Server 2004, комп'ютер працює під великим навантаженням

Причини

Коли Microsoft Internet Security і прискорення сервер ISA 2004, на комп'ютері, що працює під великим навантаженням, можуть виникати високий рівень використання для Процесорів. Наприклад, використання ЦП, на сервері ISA Server, може бути більше ніж 50%.

Причина

Це може статися через TCP/IP, максимально блоку передавання даних (MTU) параметр, який застосовується під час інсталяції для ISA Server.

Щоб запобігти зловмисник зміни значення MTU, ISA Server 2004, вимикає шлях MTU (PMTU) виявлення. Цей параметр, задокументовані в Microsoft бюлетені з безпеки MS05-019. Щоб переглянути цей бюлетень, перейдіть на веб-сайт корпорації Майкрософт:

http://www.microsoft.com/technet/security/Bulletin/MS05-019.mspxПримітки

За промовчанням Windows до настройок MTU, яке становить 1480 байт а також приймає повідомлення протокол керівних повідомлень Інтернету (ICMP), які використовують великі суцільні менші розміри в пакеті.
Якщо MTU для виявлення, вимкнуто на сервері під керуванням Windows, на сервері, використовується на значення MTU 576 байт.

Вирішення

Увага! Неправильне внесення змін до реєстру за допомогою редактора реєстру або іншим способом може викликати серйозні проблеми. Можуть викликати необхідність переустановити операційну систему. Корпорація Майкрософт не гарантує, що можна вирішити ці проблеми. Вносьте зміни до реєстру на власний ризик.

Для розв'язання проблеми, викликана значення MTU в налаштуваннях настроєної під час інсталяції для ISA Server, виконайте такі дії.

Увага! Необхідно виконати цей розділ, змінювати, якщо інстальовано Windows Server 2003 з пакетом оновлень 1 (SP1) або виправлення, описані в такій статті бази знань Майкрософт:

898060 мережного з'єднання між клієнтами та серверами може не після інсталяції оновлення системи безпеки MS05-019 або Windows Server 2003 з пакетом оновлень 1

Натисніть кнопку Пуск, натисніть запустити, введіть regeditі натисніть кнопку OK.
Знайдіть і клацніть правою кнопкою миші підрозділ реєстру:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\EnablePMTUDiscovery
Тип значення: REG_DWORD
Значення: 0, 1 (False, True)
ISA за промовчанням використовується значення: 0 (False)

Примітка. Якщо EnablePMTUDiscovery запис недоступний, потрібно створити.
За потреби, набір, або змініть значення за такі відомості:
- Значення = 1
  Якщо EnablePMTUDiscovery значення 1, TCP намагається відкрити MTU "або" максимальний розмір пакета в шлях до хоста. TCP, можна видалити фрагментації, маршрутизатори, на шлях, який підключається до мережі, які використовують різні-різними значеннями MTU. TCP робить це, відкривши шлях MTU і обмеження на розмір сегментах TCP. Фрагментації негативно впливає на TCP-пропускна здатність.
- Значення = 0
  Якщо встановлено EnablePMTUDiscovery 0 MTU 576 байт використовується для всіх підключень, які не мають відношення до локальної підмережі хостів. Якщо не встановлено значення 0, зловмисник може примусове значення MTU невеличкий значення та перевантаження стек
  
  Примітки
  - Якщо EnablePMTUDiscovery значення 0, це стосується протоколу TCP/IP, продуктивність і пропускна здатність. Ви повинні бути добре пропускна здатність при виконанні, перш ніж це значення 0.
  - Під час інсталяції, ISA Server 2004 або ISA Server 2004 з пакетом оновлень 1, це значення також відновлює значення 0.
  - ISA Server 2004 з пакетом оновлень 2, не змінює значення EnablePMTUDiscovery.
Брати участь у процесі відкриття, створення правила доступу MTU для протоколу ICMP, для ISA Server. Щоб це зробити, виконайте дії, описані в наступних розділах, залежно від конфігурації.
Закрийте редактор реєстру та перезавантажте комп'ютер.

ISA Server 2004, Standard Edition

Меню Пускпрограми, виберіть Microsoft ISA Serverі виберіть ISA Server керування.
У лівій області вікна розгорніть ArrayNameі клацніть Політика брандмауера.
В області завдань перейдіть на вкладку з панеллю інструментів і виберіть протоколи.
У розділі протоколинатисніть кнопку створитиі виберіть протокол.
У полі протокол визначення імені введіть ICMP MTU для виявленняі натисніть кнопку Далі.
Натисніть кнопку створитиі виберіть у списку протоколуICMP .
У списку напрямок виберіть Надіслати отримати.
Введіть 4 в полі ICMP-код , введіть 3 , у полі ICMP і натисніть кнопку OK.
Клацніть Далі, натисніть кнопку Готовоі натисніть кнопку Застосувати.
У лівій області вікна виберіть Правила доступу, Політика брандмауера, клацніть правою кнопкою миші та виберіть новий.
У полі доступу та правила введіть Дозволити відкриття MTU ICMPі натисніть кнопку Далі.
Натисніть дозволитиі натисніть кнопку Далі.
Правила, застосовується до списку виберіть вибраний протоколиі натисніть кнопку Додати.
У списку протоколів розширити, Визначені користувачем.
ICMP MTU для виявлення, Додати, клацніть закритиі натисніть кнопку Далі.
Натисніть кнопку Додавання.
У списку сутності в мережі , розгорніть мереж.
Клацніть зовнішньогоі натисніть кнопку Додати.
Внутрішня, Додати, клацніть закритиі натисніть кнопку Далі.
Натисніть кнопку Додавання.
У списку сутності в мережі , розгорніть мереж.
Локальний хост, Додати, клацніть закритиі натисніть кнопку Далі два рази.
Натисніть кнопку Готовоі натисніть кнопку Застосувати.

ISA Server 2004, Enterprise Edition

Для ISA Server 2004, Enterprise Edition взяти участь у процесі відкриття MTU для протоколу ICMP створення протоколу ICMP на корпоративному рівні та рівні масив створити правило доступу MTU для протоколу ICMP.

Створення протоколу ICMP на корпоративному рівні

Меню Пускпрограми, виберіть Microsoft ISA Serverі виберіть ISA Server керування.
У лівій області вікна розгорніть Enterpriseі клацніть Політика підприємства.
В області завдань перейдіть на вкладку з панеллю інструментів і виберіть протоколи.
У розділі протоколинатисніть кнопку створитиі виберіть протокол.
У полі протокол ім'я для визначення типу ICMP MTU для виявленняі натисніть кнопку Далі.
Натисніть кнопку створитиі виберіть у списку протоколуICMP .
Введіть 4 в полі ICMP-код , введіть 3 , у полі ICMP і натисніть кнопку OK.
Клацніть Далі, натисніть кнопку Готовоі натисніть кнопку Застосувати.

Примітка. Не можна створити правила доступу корпоративного користувача ICMP-протоколів, під час використання майстра створення правила.

Щоб отримати додаткові відомості про використання користувача ICMP-протоколи ISA Server 2004 Enterprise Edition політики, клацніть номер статті в базі знань Microsoft Knowledge Base:

902348 ICMP, користувача, протоколи не відображаються в нових майстра правил доступу в ISA Server 2004, Enterprise Edition

Як вручну створити правило доступу MTU для протоколу ICMP, якщо в мережі є один масив

Меню Пускпрограми, виберіть Microsoft ISA Serverі виберіть ISA Server керування.
У лівій області послідовно розгорніть вузли масивівта ArrayName.
Політика брандмауера, клацніть правою кнопкою миші клацніть створитита клацніть Правила доступу.
У полі доступу та правила введіть Дозволити відкриття MTU ICMPі натисніть кнопку Далі.
Натисніть дозволитиі натисніть кнопку Далі.
Правила, застосовується до списку виберіть вибраний протоколиі натисніть кнопку Додати.
У списку протоколів розширити, Визначені користувачем.
ICMP MTU для виявлення, Додати, клацніть закритиі натисніть кнопку Далі.
Натисніть кнопку Додавання.
У списку сутності в мережі , розгорніть мереж.
Клацніть зовнішньогоі натисніть кнопку Додати.
Внутрішня, Додати, клацніть закритиі натисніть кнопку Далі.
Натисніть кнопку Додавання.
У списку сутності в мережі , розгорніть мереж.
Локальний хост, Додати, клацніть закритиі натисніть кнопку Далі два рази.
Натисніть кнопку Готовоі натисніть кнопку Застосувати.

Створення правила доступу для MTU для протоколу ICMP, за наявності кількох масив-членів в мережі

Спосіб 1

Створення правила MTU для протоколу ICMP-доступу на перший масив вручну. Для цього виконайте описані створити правило доступу для один масив.
Скопіюйте правило доступу MTU для протоколу ICMP. Щоб це зробити, виконайте такі дії:
1. Меню Пускпрограми, виберіть Microsoft ISA Serverі виберіть ISA Server керування.
2. У лівій області послідовно розгорніть вузли масивівта ArrayName.
  ArrayName – це перший масив, для якого було створено правило доступу MTU для протоколу ICMP.
3. Політика брандмауера, Дозволяють ICMP MTU для виявлення правила брандмауера політикиправилами, клацніть правою кнопкою миші та виберіть команду Копіювати.
Вставити правила MTU для протоколу ICMP-доступу, у кожному масиву. Щоб це зробити, виконайте такі дії:
1. У на ISA Server керування Microsoft керування консолі MMC, розгорніть масив, де потрібно вставити правила MTU для протоколу ICMP-доступу та клацніть Політика брандмауера.
2. В області центр масив політики правило, яку потрібно відразу після, правила MTU для протоколу ICMP-доступу, клацніть правою кнопкою миші та виберіть пункт Вставити.
  
  Примітка. Якщо немає масив правила для політики, необхідно створити нове правило політики масив, перш ніж можна вставити правила MTU для протоколу ICMP-доступу до масиву політики.
3. Натисніть кнопку на застосування.
Повторюючи кроки 3a – 3c, копіювання правила доступу для протоколу ICMP MTU для всіх членів масиву.

Спосіб 2

Створення правила MTU для протоколу ICMP-доступу на перший масив вручну. Для цього виконайте описані створити правило доступу ICMP MTU за один масив.
Експортуйте правила MTU для протоколу ICMP-доступу. Щоб це зробити, виконайте такі дії:
1. ISA Server керування MMC розгорніть масив, для якого було створено правила MTU для протоколу ICMP-доступу та клацніть Політика брандмауера.
2. Дозволити відкриття ICMP MTU правила брандмауера політикиправилами, клацніть правою кнопкою миші та виберіть Експортувати вибрані.
3. У майстрі експорту натисніть кнопку " Далі".
4. На сторінці Параметрів, експорт натисніть кнопку " Далі".
5. На сторінці Експорт розташування файлу натисніть кнопку " Огляд".
6. Виберіть розташування, де буде експорт ICMP MTU для виявлення правило, введіть MtuDiscoveryRule , у полі ім'я файлу та натисніть кнопку Відкрити.
7. Натисніть кнопку Даліта клацніть Готово , щоб завершити роботу майстра.
8. Натисніть кнопку " OK ", коли індикатор перебігу повідомлення успішно експортовано конфігурації.
Імпортувати правило MTU для протоколу ICMP-доступу до кожної масиву. Щоб це зробити, виконайте такі дії:
1. ISA Server керування MMC розгорніть масив, де його потрібно імпортувати правило MTU для протоколу ICMP-доступ і клацніть правою кнопкою миші Політика брандмауера.
2. Натисніть кнопку імпортувати.
3. У вікні майстра імпорту натисніть кнопку " Далі".
4. Натисніть кнопку Огляді знайдіть папку, в якій збережено файл MtuDiscoveryRule у кроці 2f.
5. Виберіть файл MtuDiscoveryRule і клацніть Відкрити.
6. Натисніть кнопку Далі два рази.
7. Натисніть кнопку Готово.
8. Натисніть кнопку " OK ", коли індикатор перебігу повідомлення про те, що конфігурацію було успішно імпортовано.
9. Натисніть кнопку на застосування.

Посилання

Щоб отримати додаткові відомості про настройки реєстру PMTU виявлення у Microsoft Windows 2000 клацніть номер статті в базі знань Microsoft Knowledge Base:

315669 захисту від відмова в обслуговуванні, стек протоколу TCP/IP, атак у Windows 2000

Щоб отримати додаткові відомості про настройки реєстру PMTU відкриття в Microsoft Windows Server 2003 клацніть номер статті в базі знань Microsoft Knowledge Base:

324270 захисту від відмова в обслуговуванні, стек протоколу TCP/IP, атак у Windows Server 2003