Après avoir configuré Anti-DDoS Pro ou Anti-DDoS Premium, l'établissement des connexions TCP vers votre serveur d'origine peut prendre environ 9 secondes de plus que prévu. Ce délai est dû à la fonctionnalité Explicit Congestion Notification (ECN), introduite dans Windows Server 2012.
Causes du problème
La norme RFC 3168 définit le protocole ECN, qui permet de réduire les retransmissions de paquets. Toutefois, certains fournisseurs d'accès Internet en Chine continentale bloquent les paquets SYN marqués ECN, empêchant ainsi le serveur cible de les recevoir.
La pile TCP de Windows gère les paquets bloqués de la manière suivante :
Le client Windows source envoie un paquet SYN marqué ECN.
Le fournisseur d'accès Internet bloque le paquet. Le client attend environ 3 secondes puis retransmet le paquet.
Le paquet retransmis, toujours marqué ECN, est également bloqué. Le client attend alors environ 6 secondes supplémentaires.
Après ces deux tentatives infructueuses, le client envoie un paquet SYN sans les indicateurs liés à ECN. Ce paquet atteint le serveur et la connexion s'établit.
Le délai total avant l'établissement réussi d'une connexion est d'environ 9 secondes (3 + 6).
Confirmez le problème
Avant d'appliquer la solution, vérifiez que le protocole ECN est activé sur votre instance Windows Server.
Connectez-vous à l'instance ECS. Pour plus d'informations, consultez la rubrique Connect to an instance.
Exécutez l'invite de commandes en tant qu'administrateur.
-
Exécutez la commande suivante pour vérifier le paramètre ECN actuel :
netsh int tcp show global Dans la sortie, repérez la ligne ECN Capability. Si la valeur est enabled, le protocole ECN est à l'origine de la lenteur de l'établissement de la connexion.
Solution
Connectez-vous à l'instance ECS. Pour plus d'informations, consultez la rubrique Connect to an instance.
Exécutez l'invite de commandes en tant qu'administrateur.
-
Exécutez la commande suivante pour désactiver le protocole ECN :
Vérifiez la solution
Exécutez la commande suivante pour confirmer que le protocole ECN est désactivé :
netsh int tcp show globalLa ligne ECN Capability doit afficher la valeur disabled.
Champ d'application
Sécurité cloud