Флуд в сети

[morfey]

Проблемная ситуация. Пропадает связь с шлюзом на протяжении дня. 

 

Порт 1 - Debian шлюз (10.10.0.1)

Порт 2 - DHCP server (10.10.0.2)

Порты 3-5 - P3310b с включенным dhcp_snooping (его отключение тоже не помогает .

Это часть сети в 1 влане. Остальная сеть - влан на абонента (accel-ipoe), работает нормально. 

 

Симптомы - перестает ходить арп к шлюзу, хотя свою подсеть клиентвидит. 

На шлюзе в арп-таблице мак пропадает ( "(10.10.0.35) at <incomplete> on bond0" ). Клиент не может пропингать шлюз.

По графику DHCP сервера видно скачки траффика, почти совпадают с  моментом падения.

 

На свиче настроен "filter dhcp_server". 

В логе свича пр ипроблеме появляется запись:

 Detected untrusted DHCP server (IP: 10.10.0.2, Port: 3)

 Detected untrusted DHCP server (IP: 10.10.0.2, Port: 4)

 Detected untrusted DHCP server (IP: 10.10.0.2, Port: 5)

Но этот айпи (DHCP сервера) находится во 2 порту. Если на олте отключить dhcp_snooping - проблема остается, а в лог свича не ругается.

 

Так же на свиче включен arp_spoofing_prevention, что наверное исключает arp-spoofing.

 

На шлюзе установлен Debian 7. 4 карточки в бондинге. Все абоненты в своем влане (accel-ipoe), кроме сегмента с олтами. Включен arp-proxy как в accel так и на интерфейсе bond0 (возможно с єтим связано). bond0 смотрит в сеть с олтами.

 

Проблему наблюдаю уже несколько дней. Идеи кончились.  

Відредаговано 14 травня, 2015 morfey

[zulu_Radist]

поочередное отключение портов на которых висят олты что-то дает?

похоже на кольцо

Відредаговано 14 травня, 2015 zulu_Radist

[morfey]

Проблема появляется на несколько минут, не успею отследить ничего(. Только юзеров разозлит

[zulu_Radist]

ок

сделай на этих портах loopback detection 

хоть поймешь с какого порта плюет гавнище

отвалится только тот отл который виновен

 

я поимаю что это не эндюзер порты, но другого в голову не лезет,

чем-то надо жертововать 

 

на олтах в логах ничего о петлях не было?

Відредаговано 14 травня, 2015 zulu_Radist

[morfey]

Loopback detection включен, ноне дропает ничего, и в логах тоже по этому поводу пусто

[USD]

слежу

[zulu_Radist]

ок, раскинь три олта на разные вланы

или может это повод перевести эту часть сети тоже на влан-абон? 

Відредаговано 14 травня, 2015 zulu_Radist

[wantmore]

Попробуй Traffic segmentation на коммутаторе.

[morfey]

Попробуй Traffic segmentation на коммутаторе.

 

О том же подумал только что)

[Sergek]

И запрети ходить трафику между клиентами в дереве.

[martin]

и поменяй режим лупбека, у тебя походу стандартный по порту, поставь по Вланам (он тебе даже покажет в каком влане говнище). И проверь чтобы в логи заносилась запись о событии.

И поставь ограничения на бродкаст\юникаст\мультикаст на свиче.

И покажи на графиках всплеск чего у тебя ? а то как то совсем не понятно.

[morfey]

Все прописал.

 

Всплеск хз чего, в логе dhcp сервера видел пару раз тучу запросов от одного клиента, может это паранойя уже)

 

Есть график выше и этот, за сегодня.

[supportod]

Флуд юникаст пакетами.

Ищите порт откуда сыпется, зеркальте траффик с этого порта и анализируйте его.

[morfey]

Проблема продолжается .  В одном из портов подключил тестовый олт. К нему подключил только ноут. Порт олта тоже изолирован Traffic segmentation. Видит только шлюз (порт 1). Тем не менее это не помогло.

Проблема на шлюзе с арпом?

Відредаговано 15 травня, 2015 morfey

[Ihorg]

Все прописал.

 

Всплеск хз чего, в логе dhcp сервера видел пару раз тучу запросов от одного клиента, может это паранойя уже)

 

Есть график выше и этот, за сегодня.

У нас было похожее, когда немог получить ip адрес

[morfey]

 

Все прописал.

 

Всплеск хз чего, в логе dhcp сервера видел пару раз тучу запросов от одного клиента, может это паранойя уже)

 

Есть график выше и этот, за сегодня.

У нас было похожее, когда немог получить ip адрес

 

Со статически назначеными адресами та же беда.

[l1ght]

похоже на отсыхание арпов на дебиане

попробуйте поигратся с таймаутами арп кеша.

[Den_LocalNet]

может для пары юзеров "прибить гвоздями" арпы и посмотреть в момент падения доступны ли они или нет?

попробуйте еще арпингом поглядеть доступность "отсыхающих" узлов, в этот же момент можно сдампить арп активность в файлик для разбора полетов

[morfey]

похоже на отсыхание арпов на дебиане

попробуйте поигратся с таймаутами арп кеша.

Прбовал, не помогало

 

может для пары юзеров "прибить гвоздями" арпы и посмотреть в момент падения доступны ли они или нет?

попробуйте еще арпингом поглядеть доступность "отсыхающих" узлов, в этот же момент можно сдампить арп активность в файлик для разбора полетов

Попробую, спасибо.

 

P.S. отключил proxy-arp в аццеле и родной. Пока ничего не отваливается.

[Гайджин]

Сколько записей в арп-таблице линукса в обычном состоянии и вовремя трабла?

Что с таблицей коммутации свича в такие моменты?

Развещать тисипидампы на интерфейсы линукса и пописать арп обмен, а зате проанализировать не?

Відредаговано 15 травня, 2015 Гайджин

[morfey]

может для пары юзеров "прибить гвоздями" арпы и посмотреть в момент падения доступны ли они или нет?

  Не доступно

 

Сколько записей в арп-таблице линукса в обычном состоянии и вовремя трабла?

Что с таблицей коммутации свича в такие моменты?

Развещать тисипидампы на интерфейсы линукса и пописать арп обмен, а зате проанализировать не?

 

Арп таблица в 1500-1600 записей. Во вребя трабла ~1200-1300 записей.

На свиче все ок. В 1 влане около 500 записей все время.

 

Дамп арпов http://91.234.0.2/dump.pcap

[sanyadnepr]

 

 

Арп таблица в 1500-1600 записей. Во вребя трабла ~1200-1300 записей. На свиче все ок. В 1 влане около 500 записей все время.

Какой именно свич ?

[morfey]

 

Арп таблица в 1500-1600 записей. Во вребя трабла ~1200-1300 записей. На свиче все ок. В 1 влане около 500 записей все время.

Какой именно свич ?

 

dgs-3120-24sc

[Den_LocalNet]

я бы для начала разбил 1 влан на три разных

авось всплывет только один падающий влан

я делаю влан на епон порт

[morfey]

я бы для начала разбил 1 влан на три разных

авось всплывет только один падающий влан

я делаю влан на епон порт

Так оно сейчас сегментировано длинковским traffic_segmentation. Получается траффик между олтами не бегает

Відредаговано 16 травня, 2015 morfey