Немного сетевого
На этот раз – небольшой мистический триллер про настройку windows 2003 и ISA 2006. Поскольку это немного выбивается из общей тематики блога, уберу под кат, дабы не грузить тех, кому это неинтересно. Вкратце – речь о решении ошибок в работе фильтра RPC ISA Server 2006.
Потому что те, кому интересно, найдут этот пост в гугле – информации по конкретной проблеме оказалось крайне мало, а по-русски – вообще крупицы, не имеющие отношения к решению проблемы.
Проблема.
Итак, дано: новый сервер HP Proliant DL360G5, Windows Standard 2003 SP2 RTM, ISA 2006. После установки операционной системы на сервер, загрузки и установки всех обновлений, сервер был введен в домен и была установлена ISA 2006 Standard Russian. После этого появился ряд неприятных симптомов:
1. Вход пользователя в систему происходил очень долго, как в терминальном режиме (удаленный рабочий стол для администрирования), так и в консольном.
2. Вошедший в систему пользователь не мог получить доступа к ресурсам внутренней сети.
Все это дело сопровождалось ошибками Userenv 1053 (Не удалось определить имя пользователя или компьютера. (Указанный домен не существует или к нему невозможно подключиться. ). Обработка групповой политики прекращена. ), Winlogon 1219 (Отказано во входе в систему для DOMAIN\Admin. Не удалось получить конфигурацию пользователя сервера терминалов. Ошибка: Указанный домен не существует или к нему невозможно подключиться.) и Netlogon 5783 (Установка сеанса к контроллеру домена Windows NT или Windows 2000 \\DomainController для домена DOMAIN не отвечает. Текущий вызов RPC от Netlogon на \\PROBLEMSERVER к \\DomainController отменен.).
При попытке диагностировать подключение к RPC при помощи Microsoft PortQuery дала результат RPC query failed (6bf).
Стоит заметить, что ISA Server, будучи введенной в домен автоматически создает правила для доступа к контроллерам домена по RPC и включает фильтр RPC, то есть, проблема – налицо – RPC не работает.
В процессе ликвидации ошибок выяснилось следующее:
1. При отключенном фильтре RPC все прекрасно работает (с одним исключением*, о нем – позже)
2. (тут – самый жыръ) SP2 на windows 2003 ломает фильтр RPC, работающий в ISA, при включенном параметре Receive Side Scaling в драйвере сетевого адаптера. Это проявляется в сбросе TCP-подключения при получении подтверждения TCP_ACK при подключении к 135 TCP порту контроллера домена. Данной проблеме также подвержена ISA2004. Данная проблема характерна для адаптеров, построенных на базе Broadcom 57xx серии. К ним относится HP NC373i, устанавливаемый на некоторые HP Proliant DL пятого поколения и сетевые адаптеры, устанавливаемые в некоторые серверы Dell PowerEdge.
Решение.
Чтобы избежать подобных ошибок, требуется отключить параметр Receive Side Scaling в свойствах сетевого адаптера:
*Исключение, о котором я обещал позже. Как выяснилось чуть позже, аналогичное поведение (сброс TCP-подключения) наблюдается и в работе фильтра SMTP, поэтому Receive Side Scaling лучше отключить на всех адаптерах сервера, работающего под ISA.
Похожих записей нет.
14 Комментариев
March 21st, 2008
http://www.polchasa.ru
А где можно скачать книгу для самообучения по ISе
March 25th, 2008
DmitryP,
Масса мест. Начните с изучения Technet, потом пройдитесь по http://www.isaserver.org, http://www.isadocs.ru и прочим ресурсам. Думаю, после этого вопросов останется значительно меньше.) А вообще – попробуйте поиграть с живой Eval ISA – многое само прояснится.
April 17th, 2008
Млин огромное спасибо)))
кто бы мог подумать)))
а я тут мучался сидел)) респект!))
April 17th, 2008
Blackot, да не за что)) Сколько нам открытий чудных..
May 21st, 2008
а если таковой параметр в свойствах адаптера отсутствует?
May 21st, 2008
Nika,
Очевидно, тогда проблему стоит искать в другом месте
May 21st, 2008
нет, это понятно, просто уже перерыл технет, обгуглился прям весь. парит эта ошибка меня. работать неудобно, принтера вылетают
July 21st, 2008
привет, у меня похожая проблемма.
Есть Сервер Win2003 R2 + ISA 2006 SE
При загрузке появляется сообщение, одна или несколько служб не запущены смотрите логи.. ит.д.
По логам проследил цепочку.
Не запускается RRAS так как не запущена фаервол из за того что не запущена служба управление ISA Server Из за того что не запущена служба Хранилище настроек Microsoft ISA Server.
Ханилище ISA незапущенно потомучто таймаут ожидания 3000мс
мои действия:
1. увеличил таймаут до 60000мс – не помогло
2. установлил запуск службы от учетной записи администратора, а не от системной – тоже не помогло.
Подскажите что еще можно сделать.
Очень неудобный глюк… если сервер перезагрузится то инета не будет пока я сам вручную не запущу RRAS, к слову когда запускаеш его вручную все эти службы тоже стартуют.
July 21st, 2008
Under, а при ручном старте хранилища ISA — какие-нибудь ошибки в логах возникают?
July 22nd, 2008
неа, ничего!!! какаято аномалия!
September 11th, 2008
Nika, если проблему не решил, отключи RSS в реестре.
1. Click Start, click Run, type regedit, and then click OK.
2. Locate and then click the following registry subkey:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
3. On the Edit menu, point to New, click DWORD Value, and then type EnableRSS.
4. Double-click EnableRSS, type 0, and then click OK.
5. Restart the computer on which you changed the EnableRSS value.
ссылка http://support.microsoft.com/default.aspx?scid=kb;EN-US;927695
Еще проверь Offload Checksum в настройках сетевой карты и отключи тоже.
October 28th, 2008
Ребята слов нет. Я 3 месяца мучился! Благодарю!
September 16th, 2009
Хоть у меня и не совсем похожая проблема, но симптомы были сходные. Не воркал ВПН на пролианте с поднятым штатным VPN, Usergate 5 и Kerio MS. Чесал репу в сторону проблем со связью с ПДК – все возможные варианты перебробовал. Поставил по тутошней рекомендации параметр в дисейбл (повторюсь, ряд схожих симптомов) и вуаля! Все заработало. Все таки перегружать шлюз+мейлсервер с эпизодическими интервалами это не дело. Автору огромное спасибо
December 25th, 2009
Вот благодарю тебе Автор. Боролся я с этой проблемой на своем G5 и встречал в инете мысли в этом направлении, но чтобы так просто и эффективно… Молодец! Спасибо!
Добавить комментарий