dalt_ud

Я могу сказать только одно, за 13 лет, что я здесь работаю, проблемы с серьезной перегрузкой сети были 4 раза. Один раз лет 10 назад был вирус, а последние 3 раза (с интервалами в год-два) были связаны с криво настроенными микротиками. Сейчас нейтрализуем и микротики, благо IP-MAC биндинг на порту не позволит им шалить с мак-адресами.

В общем разобрались, как и предполагали, виновник был микротик. Клиенту было выделено 4 IP, внутреннюю их структуру сети не представляем, но к нам они были подключены 1 кабелем, который втыкался, как я понял как раз в микротик. Он часть времени на ip1 держал mac1, а большую часть времени, брал mac2 от ip2. И получалось когда шлюз возвращал пакеты на адрес ip1 и mac1, коммутатор не знал, кому принадлежит mac1, потому что в этот момент времени у ip1 и ip2 был mac2, и слал входящий на ip1 траффик широковещательно, из-за чего у нас и случились потери и просадки сети. Их админ что-то прикрутил, и проблема ушла, а нас выручила функция IP-MAC binding на порту коммутатора, которая и позволила увидеть всё это безобразие в логах коммутатора. upd, после общения с их админом, выяснилось, что сдвоить один мак-адрес на два IP адреса было их осознанное решение, из серии "самый легкий путь" к тому, чтобы что-то работало у них.

А что меняется принципиально? Сейчас трафик добегает до корневого свитча без пересечения с другими пользователями, по vlan`ам будет то же самое. Причем наша проблема никуда не исчезнет, просто я видеть этот траффик перестану, но отражение его никуда не денется. Я так это понимаю, будет всё равно лишняя нагрузка на оборудование, так или иначе. Да и со слов начальника, который изучал этот вопрос, в случае в vlan на каждого пользователя - очень сильно возрастает нагрузка на корневой свитч. Не знаю так это или нет, но экспериментировать на живой сети - желания крайне мало. Порт другой попробуем, это относительно не сложно. Зеркалирования у нас точно нигде не включено. Правда если битый порт на клиентском микротике, то тут упираемся в проблему.

К сожалению клиент организация, и поставить вместо их микротика другой девайс проблематично, у них работа встанет. Подобная проверка это крайний вариант, когда все другие будут исчерпаны.

Единая локалка, в которой порты изолированы друг от друга, т.е. да, все могут передавать в направлении центра, но не друг другу. Прилагаю скриншот настроек изоляции портов, чтоб понятнее было. А дальше уже корневой свитч, в котором настроено по тому же принципу, все могут передавать на uplink к шлюзу, ну и соответственно на мой порт, куда я подключаюсь для доступа к свитчам в этой локалке. Но то, что они могут передавать, это не значит, что я должен видеть весь их траффик :) А подключаюсь я отдельной машиной на порту на котором изоляция снята, и он может отправлять и видеть траффик с других портов. Проблема в том, что туда прилетает входящий траффик адресованный клиенту с микротиком (в пакетах правильно указан и dst_ip и dst_mac этого клиента, а не мой) в больших количествах (подозреваю, что весь входящий). У самого клиента интернет работает, и неудобств они не испытывают. От других клиентов ни с реальными, ни с внутренними адресами - ничего не прилетает, кроме стандартных широковещательных запросов. Изначально, в сети начались потери примерно 0.3-0.5%, поэтому я включил wireshark, увидел траффик которого видеть не должен и начал разбираться с этим. Может быть потери с этим не связаны, но разобраться всё равно нужно.

з.ы. несколько лет назад, я видел ситуацию с отражением трафика в локалку, тоже от микротика, но там ситуация была другой. Там у микротика сменился мак-адрес (последний символ), а на шлюзе у нас привязка по мак-адресу. Вот там у клиента с микротиком работал инет (хотя не должен был бы по-идее), шлюз нам бодро рапортовал о попытках подмены мак адреса, а трафик зеркалился в локалку. Как только привязали новый мак-адрес на шлюзе - всё прекратилось. Общего в этих ситуациях только появление траффика внутри локалки, и то, что оба раза были микротики. Сейчас на шлюзе все точно привязано правильно, более того, на всякий случай привязку для этого клиента вообще убрали. Но мак-адрес у него не меняется сам по себе. В логах шлюза (FreeBSD) вообще ничего подозрительного.

Добрый день. Имеется небольшая сеть, примерно на 500 абонентов, на свитчах d-link 3526 и zyxel mes3500, ну и корневой, куда это всё втыкается SNR S2985G-24T. Все клиенты изолированы друг от друга посредством port-based vlan, т.е. от каждого порта траффик допускается только на uplink порт. И соответственно на корневом свитче есть разизолированный порт, куда я и подключаюсь, для управления всем этим хозяйством своим компом. Есть клиент с mikrotik, от которого на своем порту я вижу весь его входящий траффик. Т.е. подключившись в корневой свитч, я wireshark`ом вижу широковещательные запросы от всех других клиентов (что нормально), и весь входящий траффик идущий на реальный адрес клиента с микротиком, исходящего траффика не вижу. Этого траффика я видеть не должен вообще на этом порту, клиентов с реальными адресами много, а я вижу траффик только одного из них, что ненормально. Иногда траффик пропадает на несколько минут, потом появляется снова. Совпадение mac-адресов мы исключили. Я их даже попросил поменять mac-адрес на своем микротике, чтобы проверить не коллизия ли это хэш-функций, они поменяли, примерно через полчаса-час, всё началось снова. Может ли каким-нибудь образом сам микротик принимать адресованный ему траффик, но при этом еще зеркалить его обратно в локалку? Или любые другие идеи, как это может происходить? Я уже полностью исчерпал все свои идеи.

После обновления все заработало. Всем спасибо за помощь.

не получается задать 0, говорит, что интервал от 1 до 4096 прошивка SoftWare Version 7.0.3.5(R0241.0053) SNR-S2985G-8T(config-if-ethernet1/0/1)#switchport port-security maximum 0 ^ % Invalid input detected at '^' marker. SNR-S2985G-8T(config-if-ethernet1/0/1)#switchport port-security maximum ? <1-4096> Maximum secure address <1-4096> 2. изоляция портов включил 7 портов в isolate group, 8 оставил как предположительный uplink. Порты 9 и 10 тоже оставил вне группы. SNR-S2985G-8T#show isolate-port group Isolate-port group d20uz-sw The isolate-port Ethernet1/0/7 The isolate-port Ethernet1/0/6 The isolate-port Ethernet1/0/5 The isolate-port Ethernet1/0/4 The isolate-port Ethernet1/0/3 The isolate-port Ethernet1/0/2 The isolate-port Ethernet1/0/1 воткнул ноуты в порты 1 и 5 и они без проблем пингуют друг друга, а по идее видеть друг друга не должны. В остальные порты ничего не подключал. Я опять чего-то не понимаю?

Здравствуйте. Есть коммутатор SNR-S2985G-8T, до этого я не имел дела ни с Cisco ни с SNR коммутаторами, так что могу не знать элементарных вещей. 1. Есть необходимость ограничивать доступ на порту только для определенного мак адреса. 2. Нужно настроить изоляцию портов, чтобы все порты могли общаться с uplink и не могли общаться между собой. По пункту 1 я включил port-security на порту 1 прописал мак адрес ноутбука1 которому разрешен доступ NR-S2985G-8T(config-if-ethernet1/0/1)#switchport port-security mac-address 00-13-a9-fa-20-6 поставил violation на protect в итоге получилось вот так SNR-S2985G-8T(config-if-ethernet1/0/1)#show port-security Secure Port MaxAddr(secured,secures) CurAddrNum(secured,secures) StaticAddrNum SecurityViolation (count) Security Action ------------------------------------------------------------------------------------------------------------------------------------------------------ Ethernet1/0/1 1 1 0 0 Protect после этого, отключил ноутбук1, подключил в первый порт ноутбук2, и он не блокирует трафик от ноутбука2. в таблице мак адресов картина такая SNR-S2985G-8T(config-if-ethernet1/0/1)#show mac-address-table Read mac address table.... Vlan Mac Address Type Creator Ports ---- --------------------------- ------- ------------------------------------- 1 00-13-a9-fa-20-69 SECUREC PSecure Ethernet1/0/1 1 00-26-5a-05-d6-da DYNAMIC Hardware Ethernet1/0/7 1 64-70-02-05-2a-7d DYNAMIC Hardware Ethernet1/0/7 1 f0-de-f1-0e-17-17 SECURED PSecure Ethernet1/0/1 1 f8-f0-82-75-a0-57 STATIC System CPU Я что-то не так делаю, или неправильно понимаю функцию port-security? А по поводу изоляции портов, я еще на практике не экспериментировал, но из описания я понял так, что нужно просто добавить все порты (кроме аплинка) в isolate group и все будет работать так, как нужно. Я правильно это понимаю?