Windows Server 2003 SP2 SNP 功能導致 NAT 失效的根因與解決方案

Windows Server 2003 Service Pack 2 引入的「可擴展網路封包」（Scalable Networking Pack, SNP）雖大幅提升網路處理效能，但其核心元件「接收端調節」（Receive-Side Scaling, RSS）與 NAT 功能存在嚴重相容性衝突，導致啟用 NAT 的伺服器頻繁發生 TCP 連線重置。本文深入剖析技術根因，提供登錄檔緩解方案與長期規劃建議。

SNP 三大核心技術與 NAT 衝突點

技術根因深度解析

RSS 透過 Toeplitz 雜湊演算法，依據 來源 IP、目的地 IP、來源埠、目的地埠 四元組計算雜湊值，決定由哪個 CPU 核心處理該連線。當封包經過 NAT 裝置（或啟用「路由與遠端存取」NAT 功能的伺服器）時，封包的 IP 標頭與埠號會被轉換（SNAT/DNAT）。

衝突鏈路：

1. 外部封包到達網卡，RSS 硬體依原始四元組計算 Hash A，分派給 CPU 核心 0。
2. NAT 引擎修改封包標頭（如目的地 IP 由公網轉私網），四元組改變。
3. TCP 協定堆疊在核心 0 重新計算雜湊值 Hash B（基於修改後四元組）。
4. Hash A ≠ Hash B，系統判定封包屬於錯誤連線或狀態不匹配，發送 TCP RST 重置連線。

此現象在高併發、長連線（如資料庫同步、VPN 隧道、VoIP 訊令）場景下尤為明顯。

緊急緩解方案：停用 RSS

經微軟確認（KB 948496），暫時停用 RSS 可立即解決 NAT 失效問題，且不影響 TCP Chimney Offload 與 NetDMA 效能增益。

登錄檔修改步驟

1. 啟動 regedit，定位至：
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
2. 新建 DWORD (32-bit) 值，名稱：EnableRSS
3. 數值資料設為 0（十六進位）
4. 重新啟動伺服器生效

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
"EnableRSS"=dword:00000000

驗證方式

重啟後，於命令提示字元執行 netsh int tcp show global，確認 Receive-Side Scaling State 顯示 disabled。同步監控 NAT 服務日誌，確認 TCP RST 事件消失。

長期規劃建議

• 修補程式部署： 微軟後續釋出 Hotfix (KB 956537) 修正 RSS 與 NAT 協同邏輯，強烈建議在測試環境驗證後部署至生產環境，並重新啟用 RSS 以獲得多核心效能優勢。
• 架構升級： Windows Server 2003 已於 2015 年停止主流支援。規劃遷移至 Windows Server 2016/2019/2022，原生支援虛擬交換器 RSS (vRSS)、軟體定義網路 (SDN) 等現代網路堆疊，徹底解決相容性歷史包袱。
• 硬體層面規避： 若必須維持舊環境，選購支援「TCP Chimney Offload」但允許獨立停用 RSS 的智慧型網卡（如 Intel PRO/1000 PT 系列、Broadcom NetXtreme II），並在驅動程式層面停用 RSS 而保留卸載功能。

總結： SNP 引入的 RSS 機制與 NAT 的封包改寫本質衝突，是經典的「效能優化破壞語意正確性」案例。透過登錄檔停用 RSS 為最快止血手段，但根治之道在於套用官方修補程式或完成作業系統現代化升級。