Freewaretool zur Netzwerkanalyse

[Durigon 10]

Hallo zusammen!

 

Wir haben hier im Netzwerk einen Poolraum der derzeit 2-3mal am Tage Probleme verursacht und das ganze Netzwerk lahm legt. Das sieht so aus:

 

Vom Hochschulnetz kommt eine 100Mbit-Leitung rein in einen 8-Port-Switch. Von diesem gehen dann 6 Kabel weg zu 6 anderen Switches, die unter den einzelnen Tischreihen hängen. An jedem dieser Switches hängen 4 PCs mit Windows 7 Enterprise 64bit. 

 

Soweit so gut (es gibt noch einen weiteren Poolraum mit identischer Ausstattung, bei dem besteht das Problem aber nicht).

 

Ab und zu fängt der Switch (bzw. die LEDs des Switches), der an der Leitung aus dem Netzwerk hängt, an mit allen LEDs synchron zu blinken (ziemlich schnell). Dann ist das ganze Netzwerk ausgebremmst. Im Poolraum selbst geht dann weder anmelden noch sonstwas. Im restlichen Netzwerk lahmt dann auch fast alles. Ping-Zeiten von 1000-1500 ms und manche Server und PCs sind nicht zu erreichen.

 

Sobald man den Stecker an dem Switch zieht und ihn vom Strom trennt und danach wieder einsteckt, läuft wieder alles. Auch die LEDs blinken dann nicht mehr synchron, sondern unterschiedlich.

 

Von unserem Rechenzentrum habe ich die Info, dass in diesem Poolraum irgendwas (PC, Programm etc) Unmengen an Daten ins Netzwerk schickt (Broadcast). Jetzt muss ich irgendwie herausfinden, welcher Rechner das ist bzw. von welchen PC da irgendwas in so grßer Mengen geschickt wird.

 

Da ich dieses Verhalten aber nicht wirklich reproduzieren kann (um dann die einzelnen PCs vom Netz zu nehmen und dadurch heraus zu finden, wer der Störenfried ist) bräuchte ich ein Programm/Tool, um den Netzwerkverkehr in diesem Poolraum zu kontrollieren (25 festvergebene IP-Adresses via DHCP).

 

Habe einige schon herunter geladen, aber so wirklich was brauchbares ist da nicht dabei.

 

Was würdet ihr empfehlen? Oder was hättet ihr an Tipps, wie ich dem Fehler auf die Spur kommen kann?

 

Danke schon mal!

[NeMiX 76]

Mit Wireshark mittracen kann in dem Fall helfen.

Ist das ein Switch mit Management? Dann mal in die Logs vom Switch schauen.

Ansonsten würde ich im akuten Fall einfach die Uplinks der Tische einzeln ziehen, wenn sich das bei beruhigt hast du die Reihe und kannst dort genauer nachschauen

[Durigon 10]

Leider kein Switch mit Management... :(

 

Mal schauen... danke schon mal für die Tips!

[Sunny61 806]

Kannst Du die Firmware der Switche prüfen/aktualisieren?

[Durigon 10]

Nein, aber ich werde die Switche sowieso mit Gigabit-Geräten ersetzen. Wenns an einem Switch liegen würde, wäre das Problem damit wohl behoben...

 

Kann das von einem Switch kommen?

bearbeitet 5. April 2014 von Durigon

[zahni 554]

Prüfe, ob Du Dir einen Loop gesteckt hast.

[h-d.neuenfeldt 21]

Sobald man den Stecker an dem Switch zieht und ihn vom Strom trennt und danach wieder einsteckt, läuft wieder alles.

Das spricht eigentlich dafür diesen Switch auszutauschen.

Daneben solltest du das 40 cm Problem nicht aus den Augen verlieren.

Stecken deine User selbstständig in dem Raum Netzwerkstecker ein bzw aus ?

 

Broadcast: kann theoretisch auch von dem Switch ausgelöst werden, wenn die interne MAC-Liste überläuft bzw. fehlerhaft ist.

 

Unterm Strich betreibst du hinter diesem Switch aber ja nur 24 Geräte und wenn davon nicht gerade einer versucht das ganze Internet zu scannen sollte auch bei kleinen Switchen die MAC-Liste groß genug sein.

[Durigon 10]

Prüfe, ob Du Dir einen Loop gesteckt hast.

 

Hab ich schon geschaut. Es läuft ja auch alles einwandfrei, bis plötzlich irgendwas das Poolnetz blockiert und den Rest des Gebäudenetzwerkes ebenfalls ausbremmst.

 

Einen Loop habe ich nicht. Der Switch wars auch nicht, den hab ich je schon getauscht.

 

 

 

Sobald man den Stecker an dem Switch zieht und ihn vom Strom trennt und danach wieder einsteckt, läuft wieder alles.

Das spricht eigentlich dafür diesen Switch auszutauschen.

Daneben solltest du das 40 cm Problem nicht aus den Augen verlieren.

Stecken deine User selbstständig in dem Raum Netzwerkstecker ein bzw aus ?

 

Broadcast: kann theoretisch auch von dem Switch ausgelöst werden, wenn die interne MAC-Liste überläuft bzw. fehlerhaft ist.

 

Unterm Strich betreibst du hinter diesem Switch aber ja nur 24 Geräte und wenn davon nicht gerade einer versucht das ganze Internet zu scannen sollte auch bei kleinen Switchen die MAC-Liste groß genug sein.

 

 

 

 

Habe jetzt ALLE Switches in dem Poolraum getauscht. Trotzdem hat es sich wieder aufgehängt.

Was meinst du mit "40-cm Problem"?

 

Die User sollren eigentlich garnichts aus- und wieder einstecken. Sind alles fest installierte PCs ohne wirklichen Zugriff.

 

Samstag war ich hier und habe um 13 Uhr den Stecker gezogen, neu eingesteckt und die Switches alle getauscht und um 16.30 Uhr abgeschlossen. Heute morgen um 7 Uhr hing das Netzwerk wieder (war also niemand in dem Raum seit Samstagmittag).

 

Habe Wireshark übers WE mitlaufen lassen und heute morgen - als das Netzwerk blockiert war - kam immer die gleiche Meldung:

 

 

Werde aber daraus nicht wirklich schlau. Wenns normal läuft treffen alle möglichen Meldungen ein. Sobald es hängt nur noch dieses.

 

Hängt das eventuell mit IPv6 zusammen? Würde es vielleicht was helfen das IPv6-Protokoll auf den Rechnern zu deaktivieren?

 

Habe eventuell die Reihe gefunden an der es hängen könnte. Habe heute Morgen nacheinander alle Reihen einzeln vom blockierten Switch genommen und bei der letzten Reihe hörte es auf. An dieser hängt auch ein Netzwerkdrucker... könnte der der Störenfried sein?

 

Habe ihn mal aus dem Poolraum genommen und schaue mal obs wieder hängen bleibt...

 

Danke schon mal für die Tips und Anregungen...

 

Hab grad was gefunden... scheint schon jemand anders gehabt zu haben. Mal sehen was sich da finden lässt:

 

http://social.technet.microsoft.com/Forums/windows/en-US/945125a7-035f-4f33-a9d2-c274717d7706/icmpv6-multicast-listener-report-messages-are-flooding-the-local-network?forum=w7itpronetworking

bearbeitet 7. April 2014 von Durigon

[lefg 276]

Morn,

 

ob der Netzwerkdrucker oder ein andere Gerät der Störer, wir werden es hier nicht beantworten können, Du must es selbst austesten.

 

Ich schildere mal ein Erlebnis in Kurzform: Eine Kollegin verabschiedete sich und der Zentralswitch begann hektisch zu blinken syncron auf allen Ports. Die Kollegin hatte iheren Rechner diesmal heruntergefahren. Durch Ab- und Ankabeln fand ich den Störer herauas  Er war aus, das Netzwerkinferface bekam aber ja intern immer noch Spannung für WO, es erzeugte ausgeschaltet einen von mir so genannten Quasi-Broadcaststorm, dieser "drückte" das Netzwerk zu, ich betrachte es so. Bei dem verwendeten Switch handelte es sich um einen 3Com, der war jedoch ein einfachen Layer-2, nicht konfigurierbar, es damals schon ein altes Gerät.

 

Ob ich in dem Fall mit einem Analysetool etwas geworden wäre? Ich hatte keine Liste der MAC-Adressen. Ich hatte auch keine Zeit und keine Ahnung, ich war überrascht, es war am Abend und am nächsten Morgen war Geschäftsbetrieb. Ich zog also die Kabel und steckte sie wieder, liess dem Switch dabei Zeit zum Reagieren, denn der Effekt trat leicht verzögert zum Stecken auf.

bearbeitet 7. April 2014 von lefg

[Durigon 10]

Habe gerade - durch den von mir zuvor geposteten Atrikel - Mal nochmal alles durchgegangen. Der Hinweis auf die Einstellungen in den Enegrieoptionen fielen mir gleich ins Auge. mir ist aufgefallen dass in dem betroffenen Poolraum einige Inhalte der GPO nicht wirkten. Dan mal geschaut und tatsächlich fehlte eine GPO mit den Einstellungen für die Energieverwaltung... Habe sie jetzt mal hinzu gefügt und da du ähnliches berichtest könnte es fast das Problem sein. Muss nur schauen wann ich die Rechner neu starten kann da ja Vorlesung in den Räumen ist.

 

Da ich aber nebenbei den Wireshark laufen habe sehe ich ja wenns zu geht und kann dann notfalls reagieren ich grad da bin.

 

Melde mich dann wenn ich weiß ob es nun läuft oder nicht.

[lefg 276]

Gruppenrichtlinien ziehen nicht?

 

Hauptverdächtig ist die Namensauflösung per DNS.

[Durigon 10]

Gruppenrichtlinien ziehen nicht?

 

Hauptverdächtig ist die Namensauflösung per DNS.

 

Nein, hab mich vielleicht nicht genau ausgedrückt: Es fehlte eine GPO (war nicht aktiviert in der OU des entsprechenden Poolraums).

 

Seit 7 Uhr läuft der Raum stabil... :thumb1:

[lefg 276]

Dann ist ja alles gut. :)

[h-d.neuenfeldt 21]

OT: 40 cm Problem : Problem sitzt vor dem Monitor --> Benutzerfehler

[NeMiX 76]

Hier jemand mit gleichen Problemen:

http://community.spiceworks.com/topic/422869-dell-optiplex-9020-blasting-icmpv6-multicast-listener-discovery-during-s1-sleep

 

 

Latest version of the Intel driver solved the problem.

(I got the diver from Fujitsu)

Driver Date: 11.2.2014

Driver version: 12.11.77.0

bearbeitet 7. April 2014 von NeMiX