После установки ключевого обновления KB893066
на рабочую станцию Win2k перестали работать некоторые сервисы...
Например перестала работать почта с внешнего сервака:
соединение по SSL
Не получается получить сертификатыПрблема проявляется, только на компах внутри сетки при попытке обратиться наружу.
Фаервол открывал-не помогает.причина глюка - обновление файла...\system32\drivers\tcpip.sys
сеть стоит за брандмауэром FreeBSD 4.0
крутится nat, ipfw, bind(внутренний и внешний)Проблема в серваке но не поюму какая
Мимо него все работает(с реальным ИП прямое подключение)
НО ВСЕ ЖЕ РАБОТАЛО НЕСКОЛЬКО ЛЕТ ДО КЛЮЧЕВОГО ОБНОВЛЕНИЯ!!!не могу докопаться до истины
проблема разростается: перестала работать(получать сертификаты) прга импексбанка...Простите, что так сумбурно
Если у кого есть какие идеи с радостью приму, т.к. я уже не знаю, что это может быть
Ответ-то наверняка прост :)
Странно. Microsoft пишет, что в этом обновлении всего лишь устанавливается TCP receive window обратно в 17,520 bytes. Подключение к Инет клиентов/сервера через vpn? Попробуйте посмотреть сниффером, что происходит в такие моменты.
Смотрел я сниффером до и после шлюза.
При корректной работе набор пакетов до и после шлюза одинаков.
При некорректной - нет + они другие :(
не пойму где они могут подрезаться....
при старом tcpip.sys все в норме...
Логи покажи на 2000. От них и пляши.
Могу пакеты показать(снятые ИРИСОМ)
Где что еще можно глянуть?
>Могу пакеты показать(снятые ИРИСОМ)
>Где что еще можно глянуть?
Нафиг мне твои пакеты, логи покажи 2000. Пля в 2000 тоже логи есть, только почему-то многие этого не знают...
Прости :( Наверное я из этих многих...
Ну подскажи мне где эти логи?
В Event Viewer ничего нет.
Коннекты вылетают по таймауту.
Event Viewer стери все события всех журналов, попробуй подключится и смотри в логах что есть...
В Security Log сразу после обнуления появляется Success Audit
Больше ничего.
Outlook вылетает по таймауту
Wundows Update выдает ошибку:Ошибка Windows Update
Обнаружена ошибка Windows Update. Это может быть связано с расхождением показаний часов на компьютере.Чтобы проверить настройку даты и времени:
Дважды щелкните индикацию времени на панели задач.
Проверьте установленную дату и время.
При наличии вопросов относительно работы программы Windows Update можно также обратиться в службу поддержки пользователей.
Отправить номер ошибки в корпорацию Майкрософт (0x800C0008)
http://support.microsoft.com/default.aspx?scid=kb;en-us;830066
http://support.microsoft.com/default.aspx?scid=kb;en-us;811834
смотри что твое.
вот ище немного:
http://support.microsoft.com/kb/898060/
Спасибо за наводку!
>http://support.microsoft.com/default.aspx?scid=kb;en-us;830066Страница https://v4.windowsupdate.microsoft.com/getmanifest.asp у меня загружается в виде:
- <catalog>
<provider />
</catalog>
никакого сертификата не просит...>http://support.microsoft.com/default.aspx?scid=kb;en-us;811834
этого пункта у меня нет:
Under Policy in the right pane, double-click System cryptography: Use FIPS compliant algorithms for encryption, hashing, and signing, and then click DisabledВсе остальное делал - пофиг...
>смотри что твое.
:(
Там случайно не было icmp пакетов Need Fragment...?
А чем можно глянуть? Может я не тем глядю?
Сниффером.
смотрю ИРИСОМ
Мне все равно, чем Вы смотрите. Я спросил, нет ли в такие моменты icmp пакетов
ICMP: Packet Type = Destination Unreachable
ICMP: Unreachable Code = Fragmentation Needed, DF Flag Set
Я же написал, правдо коряво :), ICMP->DEST_UNREACH есть
Эти icmp пакеты кто шлет и кому? Реагирует ли получатель на эти пакеты?
Шлет мой роутер мне(я внутри)
Внутри пишет, что хост почтовика к которому я стучусь unreachable нуждается в врагментациисоурс мой ИП
Дестаншн ИП почтовика
Попробуйте добавить следующие параметры в реестр и перезагрузитесь.Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
"EnablePMTUDiscovery"=dword:00000001
"EnablePMTUBHDetect"=dword:00000001
Заработало! Правдо не все. Skype так и не работает...
Все остальное заработало, но както медленно :)Объясните пожалуйста в чем проблема? Насколько я понимаю чтото в несоответствии в MTU...
Может чтото можно подрулить на шлюзе, чтобы на рабочих станциях не настраивать?
Для увеличения скорости работы с Инетом попробуйте увеличить TcpWindowSize до 64 КБ:
http://support.microsoft.com/kb/890345
Подробнее о параметрах TCP/IP в Windows можете посмотреть здесь:
http://support.microsoft.com/kb/120642/
Вы мне очень помогли
sysctl -w net.inet.tcp.rfc1323=1 на шлюзе + подбор оптимального MTU на интерфейсах...Раньше path MTU discovery было включено, тяперь низя :(
Еще раз большое спасибо за идею и информацию :)
Будьте готовы еще к тому, что некоторые админы вообще запрещают прохождение icmp пакетов правилами файерволла. Соответственно до получателя пакеты ICMP: Unreachable Code = Fragmentation Needed, DF Flag Set не дойдут.
Т.е. проблемы возникнут у тех(у кого ICMP запрещен), кто будет ломиться ко мне с большими пакетами, а ему мой шлюз будет отвечать, что нужна фрагментация?Непонятно мне только одно:
Почему это появилось после обновления tcpip.sys? они там отключили автоматическое PMTU и теперь его нужно включать в реестре???
>Т.е. проблемы возникнут у тех(у кого ICMP запрещен), кто будет ломиться ко
>мне с большими пакетами, а ему мой шлюз будет отвечать, что
>нужна фрагментация?
Да. Обычно это ответы серверов в Инете, с которыми Вы пытаетесь работать. Посылать icmp пакеты может не только Ваш шлюз, но и любой промежуточный.>Непонятно мне только одно:
>Почему это появилось после обновления tcpip.sys? они там отключили автоматическое PMTU и
>теперь его нужно включать в реестре???
Мне тоже непонятно. На сайте microsoft указано, что PMTU включен по умолчанию. Проблема появилась именно после update-а и решается только явным указанием этих параметров в реестре.