NetCrunch 6

TCP/IP Einschränkungen von einigen Desktop-Versionen von Windows

Einige Desktop-Versionen von Microsoft Windows, einschließlich:

  • Windows XP mit Service Pack 2 (SP2)
  • Windows XP mit Service Pack 3 (SP3)
  • Windows Vista
  • Windows Vista mit Service Pack 1 (SP1)
Sie beschränken die Anzahl der halboffenen abgehenden TCP-Verbindungen (SYN), um das Maximum von 10 pro Sekunde.

Service Pack 2 (SP2) für Windows Vista behebt diese Einschränkungen. Standardmäßig hat Windows Vista mit SP2 keine Einschränkung für die Anzahl der halboffenen abgehenden TCP-Verbindungen.

Die Einschränkung war dafür angedacht, um die Geschwindigkeit des Verteilungs- versuches von bestimmten Viren auf eine hohe Anzahl von beliebigen IP-Nummern zu verringern..

Allerdings der Nachteil von dieser Verbindungseinschränkung ist, dass die Funktionalität von den legitimierten Netzwerküberwachungsanwendungen, wie von NetCrunch negativ beinflusst werden können. Es kann den Netzwerk- überwachungsprozess beträchtlich verlangsamen und eine Verzögerung der Verbindung zur Ereignisdatenbank verursachen.


AdRem Software empfiehlt NetCrunch Server auf Rechnern mit Windows Server 2008 oder Windows Server 2003 zu installieren.


Erklärung

Die TCP/IP Stack von Windows XP mit Service Pack 2 (SP2) zu Windows Vista mit Service Pack 1 (SP1) begrenzt die Anzahl der gleichzeitigen, unvollständigen abgehenden TCP-Verbindungsversuchen.

Wenn das Limit erreicht ist, werden darauffolgende Verbindungsversuche in eine Warteschlange gestellt und nach einem festgelegten Satz entfernt, sodass hier nur eine begrenzte Anzahl von Verbindungen im „unvollständigen Status“ vorhanden sind. Während des normalen Betriebs, wenn sich Programme zu verfügbaren Hosts mit gültiger IP Adressen verbinden, ist keine Beschränkung bezüglich der Anzahl der Verbindungen im „unvollständigen Status“ vorhanden. Wenn die Anzahl der unvollständigen Verbindungen die Begrenzung erreicht, z.B. als Ergebnis der Verbindung von Programmen zu IP-Adressen, welche nicht gültig waren, wird die Verbindungssatzbeschränkung geltend gemacht und dieses Ereignis wird protokolliert.

Eine festgelegte Begrenzung der Verbindungsrate, hilft die Geschwindigkeit von schadhaften Programmen zu beschränken wie z.B. Viren und Würmern, wenn sich diese auf uninfizierte Rechner übertragen. Schadhafte Programme versuchen oft uninfizierte Rechner, indem Sie eine simulierte Verbindung zu willkürlichen IP-Adressen öffnen, zu erreichen. Die meisten dieser zufälligen Adressen führen zu fehlgeschlagenen Verbindungen, so ist ein Ausbruch von solchen Aktivitäten auf einem Computer ein Signal, dass er vielleicht von einem schadhaften Programm infiziert wurde.

Details eines Datensatzes im Windows Ereignisprotokoll, wenn das Ereignis stattfindet

  • Produkt: Windows Betriebssystem
  • ID: 4226
  • Quelle: TCPIP
  • Symbolischer Name: EVENT_TCPIP_TCP_CONNECT_LIMIT_REACHED
  • Nachricht: TCP/IP hat die verhängte Sicherheitsbegrenzung von gleichzeitigen (unvollständigen) TCP Verbindungsversuche erreicht.