Странные проблемы с коммутатором

[alibek]

Есть коммутатор QTECH 2800 (К1) (это то же самое, что SNR-S2960). К нему подключены два D-Link DES-3200 ревизии B1 (К2, К3).

До недавнего времени все работало.

Все эти коммутаторы мониторятся (отслеживаются пинги, время отклика, отклонения) и четыре дня назад на К1 вдруг начались проблемы с доступностью (периодические потери до 10-15% пакетов). Также начались жалобы у абонентов на К1, К2, К3, то не могут подключиться, то их отключает, то скорость низкая.

Зашел на коммутатор, а там загрузка CPU под 100%. Судя по статистике пакетов, атака типа arp scan.

Включил функцию anti-arpscan, настроил доверенные порты, на К1 ситуация нормализовалась, а на К2 и К3 без изменений.

С тех пор что я только не делал, но наладить не получается.

 

Сейчас на К2 и К3 отключены все абонентские порты, на К1 отключена функция anti-arpscan, dhcp-snooping, pppoe-intermediate-agent. Судя по статистике на К1, флуда больше нет.

Подключаюсь ноутбуком в К2 (в разблокированный порт) — линк есть, IP-адреса по DHCP получаю. Шлюз не пингую (хотя шлюз одновременно является DHCP-сервером и именно он выдал IP-адреса). Подключение по PPPoE устанавливается не с первого раза (со второго, с третьего), через некоторое время соединение обрывается.

При этом сами коммутаторы имеют интерфейс управления в отдельном VLAN. Пингую коммутаторы, на все три коммутатора пинги размером 1500 байт с запретом фрагментации проходят без потерь и без задержек.

Не посоветуете что еще смотреть?

[tartila]

Определитесь все же с типом проблемы... Порт мирроринг и wireshark.

[anikishov]

Приветствую!

 

Вероятно в вилане абонентского доступа завелся кто то, подсидел шлюз и т.п.

Сверьте арп со стороны пользователя - кто шлюз и , правильно говорят, смотрите wireshark'ом - кто по pppoe отвечает.

Traffic_segmentation частично решит проблему.

[alibek]

Сегментация трафика у меня настроена, трафик может ходить только между абонентскими портами и аплинком.

[anikishov]

Сверьте арп со стороны пользователя - кто шлюз и , правильно говорят, смотрите wireshark'ом - кто по pppoe отвечает.