SysAdmins Location

Не так давно столкнулся со следующей проблемой – есть банк клиент, он написан на Java. После миграции одного из офисов с ISA 2006 на TMG 2010 возникла проблема, а именно постоянно наблюдались тормоза в интерфейсе банк клиента, переход между меню, формирование запросов происходило по 10-15 минут.

В ходе анализа сетевого трафика было выяснено следующее – TMG 2010 до SP2 не соответствует RFC 793, а именно после разрыва соединения, когда клиент и сервер обменялись FIN-ACK, ACK – TMG 2010 все равно продолжал использовать тот же порт исходящего соединения что и в уже разорванной сессии. В итоге оборудование Cisco не давало установить повторное TCP соединение пока не истечет установленный в RFC timeout, и банк клиенту приходилось каждый раз переустанавливать TCP соединение после запроса какого-нибудь элемента в его интерфейсе. От чего и появлялись такие дикие проблемы в его работе.

Лог сетевого трафика, который был получен при анализе:

По идее исправление http://support.microsoft.com/kb/2596065/en-us, которое входит в SP2 должно было решить проблему, но на практике наблюдается следующее поведение:

1) При создании ключа ApplyCooldownForLocalSourcePortReuseValue = 1 и последующей перезагрузке сервера с TMG 2010  процесс Microsoft Firewall запускался, но иногда переставал пропускать через себя трафик. Такое происходило редко, но все равное неприятно.

2) При создании ключа CooldownForLocalSourcePortReuseTime процесс Microsoft Firewall запускался, но иногда переставал пропускать через себя трафик в любом случае.

При этом все равно, даже с созданным ключом ApplyCooldownForLocalSourcePortReuseValue = 1 через какое-то время работы, где то 5-7 дней прежнее поведение банк клиента возвращалось и проблему удавалось решить только повторной перезагрузкой.