Допоможіть порадами.

[karonetua 96]

Доброго дня.

 

В ядрі zyxel-4012F. На мртж перший графік це вхід зі світу. Далі порти свіча. Неподобається на першому порті драбина з піків. При чому цікаво, що та частина мережі, що приходить на цей порт в юзерів проблем немає, не жаліються. А з інших портів жаліються на пропадання нету. vpn зєднання в клієнтів залишається на звязку, а інтернет перестає бігати до переконекта. 

 

[zulu_Radist 856]

а почему сразу виноват свитч?

может виновата та железка которая терминирует тоннели

 

p/s может еще одна жертва "чудо роутеров" тенда?)

Відредаговано 2013-02-06 19:51:55 zulu_Radist

[karonetua 96]

а почему сразу виноват свитч?

может виновата та железка которая терминирует тоннели

 

p/s может еще одна жертва "чудо роутеров" тенда?)

@p/s может еще одна жертва "чудо роутеров" тенда?)@ абсолютно не зрозумів про що мова

якби залізяка то то кругом були б проблеми - а є лиш на окремих

[mace 16]

А вы точно уверены что на порту #1 нет проблем со связью? Судя по графику - явно выраженные обрывы на этом сегменте по 10-30 минут, причем вечерний час пик!

После 1-го порта стоит свитч, который трафик от клиентов фильтрует от разного рода вирусов и мусора?

 

А вообще, что за свитч стоит за портом #1 и какую функцию выполняет?

 

P.S. Данные в MRTG Graphs у вас рисуются справа на лево Первый раз такое вижу (графики панели задач из винды не в счет).

[greyshadow 22]

1. похожая проблема обсуждалась http://local.com.ua/forum/topic/43780-странное-поведение-в-сети-петля/unread/

2. у zyxel gs4012F весьма специфическое поведение, при переходе из up в down порта по snmp начинают отдаваться 0 по всем счетчикам порта, а при обратном переходе из down в up возвращаются старые значения, т.е. мониторилка получила например значение 300, потом порт ушел в down, и мониторилка получила 0, прикинула, что наверное счетчик переполнился и благополучно нарисовала соотв. "писюн" на графике.

3. Какие вы считываете счетчики? 32 бита или 64??? если 32 - то это 4Г максимум, т.к. mrtg обычно считывает с периодом в 5 минут - то 4Г*8/300 примерно 110М, т.е если у вас скорости более 110М, то 32б счетчики не дадут сколь-нибудь нормального представления о реальных показателях...

[greyshadow 22]

И еще - счетчики пакетов считываете? если да - покажите.

[karonetua 96]

А вы точно уверены что на порту #1 нет проблем со связью? Судя по графику - явно выраженные обрывы на этом сегменте по 10-30 минут, причем вечерний час пик!

После 1-го порта стоит свитч, который трафик от клиентов фильтрует от разного рода вирусов и мусора?

 

А вообще, что за свитч стоит за портом #1 и какую функцию выполняет?

 

P.S. Данные в MRTG Graphs у вас рисуются справа на лево Первый раз такое вижу (графики панели задач из винды не в счет).

Порт 1 волокно до Zyxel моделі не памятаю L2 , netbios порізаний. На всіх інших портах перші свічі теж Zyxel різні. Доречі, що помітили при включеному flow-control зі сторони ядра й перших свічів навантаження на zyxel 4012f 20-25%. Час від часу піково навантаження піднімалось до 100% коли й починали втрачатись vpn зєднання та ріс час пінгів в мережі. При відключеному flow-control навантаження на zyxel 4012f 80-96% зате стало не обривати vpn. Відредаговано 2013-02-07 09:56:06 karonetua

[karonetua 96]

И еще - счетчики пакетов считываете? если да - покажите.

Ні. Зробим.

[karonetua 96]

1. похожая проблема обсуждалась http://local.com.ua/forum/topic/43780-странное-поведение-в-сети-петля/unread/

2. у zyxel gs4012F весьма специфическое поведение, при переходе из up в down порта по snmp начинают отдаваться 0 по всем счетчикам порта, а при обратном переходе из down в up возвращаются старые значения, т.е. мониторилка получила например значение 300, потом порт ушел в down, и мониторилка получила 0, прикинула, что наверное счетчик переполнился и благополучно нарисовала соотв. "писюн" на графике.

3. Какие вы считываете счетчики? 32 бита или 64??? если 32 - то это 4Г максимум, т.к. mrtg обычно считывает с периодом в 5 минут - то 4Г*8/300 примерно 110М, т.е если у вас скорости более 110М, то 32б счетчики не дадут сколь-нибудь нормального представления о реальных показателях...

Ну з першого графіка видно там навантаження 700Мб

власне ту вітку читав неодноразово дякую.

[KaYot 3 605]

IMHO обычный график, неровности и пики это как раз хорошо(юзеры качают случайно), плохо когда ровная полоса на каком-то участке - где-то планка и затык.

[Borys 13]

Як на мене також - нормальний графік, нічого там критичного немає.

[karonetua 96]

Як на мене також - нормальний графік, нічого там критичного немає.

Погано що vpn пропадало пару раз на годину до вимкнення flow-control. Погано що свіч тепер на 80-96% зайнятий після вимкнення flow-control. Хотілось би якось до нормального режиму роботи повернутись.

[karonetua 96]

IMHO обычный график, неровности и пики это как раз хорошо(юзеры качают случайно), плохо когда ровная полоса на каком-то участке - где-то планка и затык.

Затиків стараємся на вихід не роботи в запасі завжди є якихось 100Мб.

Не графік мене смущає а проблеми в юзерів, де краще зняти tcpdamp чи щось подібне щоб пошукати глибше.

[greyshadow 22]

 

Як на мене також - нормальний графік, нічого там критичного немає.

Погано що vpn пропадало пару раз на годину до вимкнення flow-control. Погано що свіч тепер на 80-96% зайнятий після вимкнення flow-control. Хотілось би якось до нормального режиму роботи повернутись.

 

Ethernet flow control is a mechanism for temporarily stopping the transmission of data on Ethernet family computer networks.

 

 

For example, a flow can come into a switch on a higher speed link than the one it goes out, or several flows can come in over two or more links that total more than an output link's bandwidth. These will eventually exhaust any amount of buffering in the switch. However, blocking the sending link will cause all flows over that link to be delayed, even those that are not causing any congestion. This situation is a case of head-of-line blocking, and can happen more often in core network switches due to the large numbers of flows generally being aggregated.

 

И на что жалуемся??? сами включили..

Відредаговано 2013-02-07 10:54:54 greyshadow

[greyshadow 22]

или на русском

Функция управления потоком (Flow Control) используется для
регулирования передачи сигналов в зависимости от пропускной способности
принимающего порта. Дело втом, что концентрация трафика на порту
вызывает падение пропускной способности и перегружает буферную память,
из-за чего происходит отбрасывание пакетов и потеря кадров.
Ethernet-коммутатор
использует управление потоком по стандарту IEEE802.3x в дуплексном
режиме (full duplex) и управление потоком методом обратного давления
(противодавления) в полудуплексном режиме (half duplex).
Управление
потоком по стандарту IEEE802.3x в дуплексном режиме подразумевает
отправку сигнала паузы на передающий порт, что позволяет приостановить
передачу при переполнении буфера принимающего порта.
Управление
потоком методом обратного давления (Back pressure) обычно применяется в
полудуплексном режиме и предполагает отправку на передающий порт сигнала
коллизии (имитацию состояния коллизии), из-за чего передающий порт на
некоторое время приостанавливает передачу.

[karonetua 96]

или на русском

Функция управления потоком (Flow Control) используется для

регулирования передачи сигналов в зависимости от пропускной способности

принимающего порта. Дело втом, что концентрация трафика на порту

вызывает падение пропускной способности и перегружает буферную память,

из-за чего происходит отбрасывание пакетов и потеря кадров.

Ethernet-коммутатор

использует управление потоком по стандарту IEEE802.3x в дуплексном

режиме (full duplex) и управление потоком методом обратного давления

(противодавления) в полудуплексном режиме (half duplex).

Управление

потоком по стандарту IEEE802.3x в дуплексном режиме подразумевает

отправку сигнала паузы на передающий порт, что позволяет приостановить

передачу при переполнении буфера принимающего порта.

Управление

потоком методом обратного давления (Back pressure) обычно применяется в

полудуплексном режиме и предполагает отправку на передающий порт сигнала

коллизии (имитацию состояния коллизии), из-за чего передающий порт на

некоторое время приостанавливает передачу.

Так праоблема не решилась ни с включеным ни с выключеным Flow Control до конца.

[KaYot 3 605]

Flow иногда нужен на клиентских портах(если там жесткий полисер стоит к примеру - с flow картинка по трафику значительно лучше). Между серверами или свичами он ни на что не влияет и смысла не имеет.

[karonetua 96]

Flow иногда нужен на клиентских портах(если там жесткий полисер стоит к примеру - с flow картинка по трафику значительно лучше). Между серверами или свичами он ни на что не влияет и смысла не имеет.

Якщо немає сенсу між свічами чому навантаження на core zyxel 4012f 80-96% при відключеному й 20-25% при включеному.

[greyshadow 22]

А это вопрос к разрабам...

Кстати вполне может оказаться, что виновен с сем не столько зюх, сколько свич за ним, т.к. насколько вижу главные обрывы при росте out трафика.

[karonetua 96]

А это вопрос к разрабам...

Кстати вполне может оказаться, что виновен с сем не столько зюх, сколько свич за ним, т.к. насколько вижу главные обрывы при росте out трафика.

Дякую й на тому ... будем шукати.

Пробували штучно створити потік 100мб між різними портами, між різними частинами міста btest на core свіча навантаження ставало в 100% при включеному Flow Control з 20-25% які були звичайно (vpn рвались). Та залишались майже без змін при виключеному Flow Control 80-96% (vpn зєднання не рвалось).

Якісь поради крім звернення до розробника ще будуть? ))

Відредаговано 2013-02-07 14:08:00 karonetua

[mace 16]

 

Якісь поради крім звернення до розробника ще будуть? ))

Я не зря спросил про свитчи, которые идут после core-коммутатора.

Нагрузка проца на центральном свитче может вырасти из-за флуда, который идет со стороны агрегации клиентов или из-за роста количества МАС-адресов.

В любом случае, на агрегации надо трафик максимально очистить, если на домах не стоит управляемое оборудование. Если я правильно понял, вы только netbios зарезали. А кроме него есть еще много чего, что надо резать.

[mace 16]

И забыл самое главное написать.
Чтобы вам быстрее могли помочь найти проблему, надо сперва понять на каком участке проблема происходит.
И первое, что я рекомендую проверить - это найти участок/точку где возникают проблемы с передачей пакетов.
Поэтому подтвердите, что на проблемном сегменте у клиентов у которых рвется VPN, нет потерь до:
1) Домового коммутатора
2) Узла агрегации домовых коммутаторов
3) Центрального коммутатора.
4) Центального маршрутизатора

[karonetua 96]

 

 

Якісь поради крім звернення до розробника ще будуть? ))

Я не зря спросил про свитчи, которые идут после core-коммутатора.

Нагрузка проца на центральном свитче может вырасти из-за флуда, который идет со стороны агрегации клиентов или из-за роста количества МАС-адресов.

В любом случае, на агрегации надо трафик максимально очистить, если на домах не стоит управляемое оборудование. Если я правильно понял, вы только netbios зарезали. А кроме него есть еще много чего, что надо резать.

С этого места поподробней или пошлите где почитать что следует зарезать. Схемку расположения свичей нарисую выложу.

Відредаговано 2013-02-07 15:29:27 karonetua

[mace 16]

С этого места поподробней или пошлите где почитать что следует зарезать. Схемку расположения свичей нарисую выложу.

Политика правил в каждой сети своя, но есть достаточно распространенные правила (ACL правила на основе оборудования D-Link):

 

#1 DHCP ответы запрещены на всех юзерских портах (1-23), кроме uplink порта №24

create access_profile profile_id 1 ip udp src_port_mask ffff 
config access_profile profile_id 1 add access_id auto_assign ip udp src_port 67 port 1:1-23 deny

 

#2 Запрещаем arp подмену 

create access_profile profile_id 2 ethernet source_mac FF-FF-FF-FF-FF-FF 
config access_profile profile_id 2 add access_id auto_assign ethernet source_mac 00-00-00-00-00-00 port 1:1-24 deny
 

#3 Запрещенные dst TCP порты: 

 #69 tcp/udp - защита абонентских роутеров (протокол TFTP)

 #135 tcp/udp (epmap) - защита против уязвимостей в Microsoft Windows 

 #136 tcp/udp (profile) - защита против уязвимостей в Microsoft Windows 

 #137 tcp/udp (netbios-ns) - защита против уязвимостей в Microsoft Windows 

 #138 tcp/udp (netbios-dgm) - защита против уязвимостей в Microsoft Windows 

 #139 tcp/udp (netbios-ssn) - защита против уязвимостей в Microsoft Windows 

 #445 tcp (microsoft-ds) - защита против уязвимостей в Microsoft Windows 

 #901 tcp (SWAT) - чтобы не было доступа к настройкам самбы через web. 

 #1022 и 1023 - червь Jobaka (Sasser)

 #2869 - UPNP Universal Plug and Play Device Host

 #3332 tcp/udp - троянская программа. 

 #5554 и 9996 - Защита против вирусов "Lovsan", "Blaster", "Msblast", "Poza".

   create access_profile profile_id 3 ip tcp dst_port_mask ffff 
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 69 port 1-23 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 135 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 136 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 137 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 138 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 139 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 445 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 1022 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 1023 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 2869 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 3332 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 5554 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 9996 port 1-24 deny
 

#4 Запрещенные dst UDP порты:

 #69 tcp/udp - защита абонентских роутеров (протокол TFTP)

 #135 tcp/udp (epmap) - защита против уязвимостей в Microsoft Windows 

 #136 tcp/udp (profile) - защита против уязвимостей в Microsoft Windows 

 #137 tcp/udp (netbios-ns) - защита против уязвимостей в Microsoft Windows 

 #138 tcp/udp (netbios-dgm) - защита против уязвимостей в Microsoft Windows 

 #139 tcp/udp (netbios-ssn) - защита против уязвимостей в Microsoft Windows 

 #1900 udp (SSDP SSDP Discovery Service) - Самый простой способ получения несанкционированного доступа к компьютеру! 

 #3332 tcp/udp - троянская программа. 

 #5554 и 9996 - Защита против вирусов "Lovsan", "Blaster", "Msblast", "Poza".

   create access_profile profile_id 4 ip udp dst_port_mask ffff 
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 69 port 1-23 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 135 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 136 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 137 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 138 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 139 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 1900 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 3332 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 5554 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 9996 port 1-24 deny

P.S. Сорри если криво текст вышел, просто у меня в Chrome до сих пор не работает полноценно меню ответов после внесения Фостером изменений в движок форума: теги вообще не отображаются и приходится "в слепую" тест подгонять.

Відредаговано 2013-02-07 15:47:58 mace

[karonetua 96]

 

С этого места поподробней или пошлите где почитать что следует зарезать. Схемку расположения свичей нарисую выложу.

Политика правил в каждой сети своя, но есть достаточно распространенные правила (ACL правила на основе оборудования D-Link):

 

#1 DHCP ответы запрещены на всех юзерских портах (1-23), кроме uplink порта №24

create access_profile profile_id 1 ip udp src_port_mask ffff 
config access_profile profile_id 1 add access_id auto_assign ip udp src_port 67 port 1:1-23 deny

 

#2 Запрещаем arp подмену 

create access_profile profile_id 2 ethernet source_mac FF-FF-FF-FF-FF-FF 
config access_profile profile_id 2 add access_id auto_assign ethernet source_mac 00-00-00-00-00-00 port 1:1-24 deny
 

#3 Запрещенные dst TCP порты: 

 #69 tcp/udp - защита абонентских роутеров (протокол TFTP)

 #135 tcp/udp (epmap) - защита против уязвимостей в Microsoft Windows 

 #136 tcp/udp (profile) - защита против уязвимостей в Microsoft Windows 

 #137 tcp/udp (netbios-ns) - защита против уязвимостей в Microsoft Windows 

 #138 tcp/udp (netbios-dgm) - защита против уязвимостей в Microsoft Windows 

 #139 tcp/udp (netbios-ssn) - защита против уязвимостей в Microsoft Windows 

 #445 tcp (microsoft-ds) - защита против уязвимостей в Microsoft Windows 

 #901 tcp (SWAT) - чтобы не было доступа к настройкам самбы через web. 

 #1022 и 1023 - червь Jobaka (Sasser)

 #2869 - UPNP Universal Plug and Play Device Host

 #3332 tcp/udp - троянская программа. 

 #5554 и 9996 - Защита против вирусов "Lovsan", "Blaster", "Msblast", "Poza".

   create access_profile profile_id 3 ip tcp dst_port_mask ffff 
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 69 port 1-23 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 135 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 136 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 137 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 138 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 139 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 445 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 1022 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 1023 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 2869 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 3332 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 5554 port 1-24 deny
   config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 9996 port 1-24 deny
 

#4 Запрещенные dst UDP порты:

 #69 tcp/udp - защита абонентских роутеров (протокол TFTP)

 #135 tcp/udp (epmap) - защита против уязвимостей в Microsoft Windows 

 #136 tcp/udp (profile) - защита против уязвимостей в Microsoft Windows 

 #137 tcp/udp (netbios-ns) - защита против уязвимостей в Microsoft Windows 

 #138 tcp/udp (netbios-dgm) - защита против уязвимостей в Microsoft Windows 

 #139 tcp/udp (netbios-ssn) - защита против уязвимостей в Microsoft Windows 

 #1900 udp (SSDP SSDP Discovery Service) - Самый простой способ получения несанкционированного доступа к компьютеру! 

 #3332 tcp/udp - троянская программа. 

 #5554 и 9996 - Защита против вирусов "Lovsan", "Blaster", "Msblast", "Poza".

   create access_profile profile_id 4 ip udp dst_port_mask ffff 
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 69 port 1-23 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 135 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 136 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 137 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 138 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 139 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 1900 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 3332 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 5554 port 1-24 deny
   config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 9996 port 1-24 deny

P.S. Сорри если криво текст вышел, просто у меня в Chrome до сих пор не работает полноценно меню ответов после внесения Фостером изменений в движок форума: теги вообще не отображаются и приходится "в слепую" тест подгонять.

Дякую все читабильне.