Отваливаются клиентские роутеры, кто сталкивался?

[Vital 0]

Последнюю неделю начали отваливаться клиентские роутеры и точки доступа. Из сети роутер перестает пинговатся, перезагрузка роутера не помогает. Проходит как-то само собой, или сразу после перезагрузки свитча, но опять через какое то время повторяется.

Роутеры разные (длинк, тплинк, линксисы) как и абсолютно новые так и старые. Находятся в разных домах.

 

Сеть построена на оптике, на домах Длинки 3526, в центре Длинки 3612G.  В логах ничего необычного...

[FonOdinus 92]

PPPoE ?

[bat22 2]

А петля часом нигде не образовалась??

[Vital 0]

в соседней сети чтото похожее, по их рассказам (я не пробовал), как только роутер перестает пинговатся, админы заметили на свитче резкое увеличение длины кабеля к этому роутеру....  как я понял, когда все нормально, показывает 30 метров, а когда завис роутер, то свитч показывает что до него 140 метров

сеть работает нормально, случаи единичны и не одновременно

[Vital 0]

PPPoE ?

это что?

[Germidar 10]

 

PPPoE ?

это что?

 

 

Проверка на пионерию ))

 

По делу:

Похожая штука была, когда добавляли в сеть ещё один сервак. Тогда все роутеры с прошивкой DDWRT не могли получить DNS, но подключались... При ручной прописке в роутере DNS проблема пропадала до первого переконнекта.

Если IP присваивается по DHCP, то возможно кто то из сети прописывает себе адрес вашего DHCP и в результате выходит такая канитеь... Было замечено такое на маленькой сетке из ~ 40 клиентов.

[Vital 0]

у меня в сети айпишники статические

[Germidar 10]

Как то давно, столкнулся с проблемой, (но свичи были FoxGate) откуда ни возьмись, на одном свиче (после перезагрузки/скачака напряжения/обращению по Telnet-y) всплывали отукда ни возьмись АСL-листы годичной или полугодичной давности, которые были либо отключены, либо вообще удалены вовсе. Как вариант, проверте при повторном вонзникновении проблемы Ацеслисты... может в них проблема...

[Vital 0]

проверили, пусто! и клиенты на разных свитчах и их ничего не связывает... 

[skybetik 129]

было на неделе такое авторизация pppoe mpb5

везде был долбаный дир 300 

исправлять им пришлось с connect-on demon на always,причем хаотично на разных под сетях,прикол в том что работают эти клиенты уже года 3 и не было замечено не чего подобного досели

 | valerii33     | 108 |
| alla30081986  | 113 |
| victori89     | 150 |
| lili179       | 165 |
| valia102      | 190 |
+---------------+-----+
и это за сутки 

[Den_LocalNet 1 472]

либо флуд либо спуфинг

[Vital 0]

http://www.zentron.org/about/news/detail.php?ID=28

может этот вирус?

[SDE 52]

Скорее всего Syn-flood не так давно (около полгода назад), выловили такой в сети из около 70 абонов проблемы были один в один Ваши. Посниффали и поотрубали заражённых абонентов, после этого как рукой сняло...

Відредаговано 2014-02-11 09:23:32 SDE

[Vital 0]

Скорее всего Syn-flood не так давно (около полгода назад), выловили такой в сети из около 70 абонов проблемы были один в один Ваши. Посниффали и поотрубали заражённых абонентов, после этого как рукой сняло...

а можно поподробней, как вычислили и как убили его? Просто у меня те клиенты у которых проблемы абсолютно разные, один пользуется только планшетом, у второго виндовс 8, у остальных ХР...

[SDE 52]

 

Скорее всего Syn-flood не так давно (около полгода назад), выловили такой в сети из около 70 абонов проблемы были один в один Ваши. Посниффали и поотрубали заражённых абонентов, после этого как рукой сняло...

а можно поподробней, как вычислили и как убили его? Просто у меня те клиенты у которых проблемы абсолютно разные, один пользуется только планшетом, у второго виндовс 8, у остальных ХР...

 

Можно. Скачиваваете любой сниффер-анализатор, например отсюда. Затем перенаправляете/зеркалируете весь трафф по проблемным домам на подконтрольный Вам порт. Затем анализируете ситуцию по логам, смотрим всю цепочку IP адресов с которых была атака(нужно понимать, что они не обязательно заражены), приходим домой и тушим порт атакующим или звоним и просим, чтоб поставили на время триал версию KIS и просканировали свой компьютер. Так повторять несколько раз пока не вычислишь главный атакующий комп(у меня было таких 2).

 

ПС: желательно этот делать в момент проявления активности вируса, потому как он не всегда активен, насколько я понимаю.

ПС2: я сканировал полный стек протоколов своей сети, но в Wire shark можно сразу поставить галку напротив SYN. 

ПС3: Очень легко обнаруживается фаэрволом Касперского

Відредаговано 2014-02-11 14:43:38 SDE