RE: lug-bg: Lan problem

[bkrosnov@email.domain.hidden (Boyan Krosnov)]

Izglejda tova da e za net listata
subscribe at: mailto:net-subscribe_at_unix-bg.org?subject=Just%20Click%20%22SEND%22!
archive at: http://net.unix-bg.org/

Kak da dejstvash pri takava sluchka --------------------
Pyrvata ti rabota pri takava sluchka e da pozapishesh malko trafik za analiz.

tcpdump -i ethX -s 2000 -w dump-fileche.tcpdump

Puskash go da runva okolo minuta i posle go utrepvash.

Posle go razglejdash s 

tcpdump -n -e -r dump-fileche.tcpdump
ili s (po-dobriq paketen analizator) ethereal

Ot kakvo moje da se predizvikva ARP request: ---------------
t.k. tova e mnogo populqrna informaciq, shte obqnsnq mnogo na kratko.
Za vseki multiple access interfeis (kato eth0) na vseki IP host se poddyrja tablica koqto sydyrja syotvetstvieto na IP adresi s mac adresi na tozi interfeis. Tova e ARP tablicata.
Vseki pyt kogato trqbva da se prashta paket prez takyv interfeis se pravi tyrsene v tazi tablica za mac adresa kojto syotvetstva na nexthop ip adresa asociiran s paketa.
Primerno:
   mrejichka 192.168.0.0/24
   pc v neq 192.168.0.2
   router s nat, za vryzka kym internet 192.168.0.1
   
   user sqda na pc-to i startira ping 1.1.1.1
   pc-to generira icmp request i go rutira navyn prez eth0 s nexthop 192.168.0.1
   pc-to si gleda v arp tablicata za eth0 dali ima mac adresa na 192.168.0.1
   vzima mac adresa ot tam i paketira ip-icmp paketa v ethernet frame: ethernet_header-ip_header-icmp_message-ethernet_footer
   pc-to izprashta paketa navyn prez ethernet interfeisa si. ot tam go poemat switchove i hubove i v normalnata situaciq tochno edno kopie ot nego dostiga do vseki host zakachen v tazi mreja, v tova chislo 192.168.0.1

Ako pri tyrseneto na ARP tablicata ne nameri nexthop adresa, host-a prashta ARP request na broadcast v tazi mreja za da popita, na koj mac adres se namira tozi ip adres.

Ili poluchava otgovor ot nqkoj (obiknovenno drugiq host na kojto se "hostva" tozi ip adresa) che tozi ip adres se namira na mac adres X, v kojto sluchaj si popylva v tablichkata. Ili ne poluchava otgovor, v kojto sluchaj prodyljava da prashta po edin ARP request na nqkakvo fixirano vreme (1 sekunda pri linux), ako razbira se ima vse oshte trafik za syotvetniq nexthop.

Ima dve greshni konfiguracii, pri koito sym vijdal generirane na nenormalno kolichestvo arp requesti ot edin host: 
  setnat samo interface vmesto nexthop za nqkakvo napravlenie (obiknovenno 0.0.0.0/0)
  mashina s pusnato proxyarp i dve ethernet karti ot razlichni subneti zakacheni v syshtata fizicheska mreja

Za jalost ne izglejda tvoq sluchaj da e tozi t.k. za teb izglejda che vsichki mashini sa se pobyrkali. Tova moje da e predizvikano primerno ot virus kojto se e namyknal na golqmo kolichestvo pc-ta i se opitva da se svyrje sys vsevyzmojni ip adresi iz mrejata ti.

A naj-veroqtnata prichina e che vsichki broadcast paketi ti se kopirat po mnogo pyti, poradi cikyl nqkyde ethernet-a ti. Specialno vnimanie obryshtam na fakta che cikyl moje da se obrazuva i samo s edin switch (ot edin port na swticha na drug) i dori samo s edin port na switch - paketi izlizashti ot switcha se vryshtat poradi nqkakva prichina obratno.

malko ASCII art:
A,B,C,D switches 
1,2,3 hosts
------------
 2
 |
[A]-+
 | [C]--1
[B]-+
 |
 3
------------
predstavi si sega arp requestche ot 1 za adresa na 2. t.k. e broadcast vsichki switchove shte go kopirat po vednyj na vsichkite si portove C shte go kopira vednyj kym A i vednyj kym B. A shte go kopira vednyj kym 2 i vednyj kym B i t.n. vij kak izglejdat "pokoleniqta" klonirani paketi
1. 1->C
2. C->A,C->B
3. A->2,A->B,B->A,B->3
4. B->C,B->3,A->2,A->C
5. C->1,C->A,C->1,C->B
6. obratno na stypka 3 (wash, rinse, repeat)

pri prilichno byrzi 100 megabitovi switchove tova shte se sluchva 100-na hilqdi pyti v sekunda i shte zadrystva na maksimum vryzkite do vsichki pc-ta i mejdu vsichki switchove.
Syznatelno ne opisah pytishtata na arp responsite koito shte se poluchavat ot 2 kym 1 za po-prosto.

Tova se naricha broadcast/unknown unicast storm. Drugiq problem kojto se poluchava pri takiva cikli e mac table instability i ebava mamata ot update-i na tablichkite na procesornoto vreme na vseki switch s izkljuchenie na high end modelite na golemite proizvoditeli, koito imat hardware-no realiziran mac learning s dostatychna skorost.

Kak da otkriem kyde imame cikyl v mrejata: ---------

Govorim za nemenajiruemi switchove predpolagam :)

Zastavash pred switcha, kojto sveti kato koledno dryvche i zapochvash da vadish kabelite edin po edin prez okolo 2 sekundi (t.k. mrejata taka ili inache e neizpolzvaema v tozi moment, edva li nqkoj "potrebitel" shte ima neshto protiv :) ). v momenta v kojto switcha prestane da sveti kato koledno dryvche, znachi che ili toku shto si iztrygnal vryzkata prez koqto idvat broadcastite ili si prekysnal cikyla. S nqkolko vadeniq i pyhaniq na kabeli dosta byrzo shte otkriesh izvajdaneto na koi kabeli prekysva burqta. ako sa poveche ot edin, znachi che switcha pred kojto stoish uchastva v cikyla. Ako e samo edin, znachi che po nego poluchavash broadcastite i cikyla se namira nqkyde v tazi posoka.

I taka ot gybka na gybka i ot switch na switch dostigash do nqkakva ideq, prez koi vryzki se obrazuva cikyla. Ostanaloto e istoriq.

BR,
Boyan Krosnov, CCIE#8701
http://boyan.ludost.net/
just another techie speaking for himself

<p><p><em class="quotelev1">> -----Original Message-----
<em class="quotelev1">> From: Atanas Vlasakiev [mailto:sup3r_at_mail.bg] 
<em class="quotelev1">> Sent: Friday, April 04, 2003 9:51 PM
<em class="quotelev1">> To: lug-bg_at_linux-bulgaria.org
<em class="quotelev1">> Subject: lug-bg: Lan problem 
<em class="quotelev1">> 
<em class="quotelev1">> 
<em class="quotelev1">> Zdraveite,
<em class="quotelev1">> Predi 2h v Lan-a mi se poqvi ujasno golqm traffic.
<em class="quotelev1">> Vseki pita vsekigo arp who-has ....Kogato pratq nqkakvo message po 
<em class="quotelev1">> broadcast to na momenti se izprashta vednuj na momenti moje i nqkolko 
<em class="quotelev1">> hilqdi da go povtori .. Strashno se pretovarvam mrejata i 
<em class="quotelev1">> pochti nishto 
<em class="quotelev1">> ne minava.Slojix statichni MAC addressi i pochna da vryshta 
<em class="quotelev1">> po nqkoi dryg 
<em class="quotelev1">> ping ..
<em class="quotelev1">> Na nqkoi dryg da my se e slychilo neshto podobno i da znae nachin za 
<em class="quotelev1">> razreshavane ? 
<em class="quotelev1">> Priemam vsqkakvi predlojeniq i syveti !
<em class="quotelev1">> Sega izsledvam malko po obstoino neshtata ...no sym dosta ozadachen..
<em class="quotelev1">> 
<em class="quotelev1">> -=Atanas Vlasakiev=-
<em class="quotelev1">> 
<em class="quotelev1">> ------------------- ÉÚÐÒÁÔÅÎÏ ÏÔ  mail.bG
<em class="quotelev1">> óÉÌÎÁ áÎÔÉ-ÓÐÁÍ ÚÁÝÉÔÁ
<em class="quotelev1">> 12MB íÑÓÔÏ ÚÁ ÐÏÝÁ
<em class="quotelev1">> SMS ÚÁ ÎÏ× ÅÍeÊÌ É ËßÍ Ä×ÁÔÁ ÏÐÅÒÁÔÏÒÁ!
<em class="quotelev1">> POP3/WAP äÏÓÔßÐ
<em class="quotelev1">> _________________________________________
<em class="quotelev1">> HOB âEúðìATEH AäPEC - http://mail.bg/new/
<em class="quotelev1">> 
<em class="quotelev1">> ==============================================================
<em class="quotelev1">> ==============
<em class="quotelev1">> A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers).
<em class="quotelev1">> http://www.linux-bulgaria.org - Hosted by Internet Group Ltd. 
<em class="quotelev1">> - Stara Zagora
<em class="quotelev1">> To unsubscribe: http://www.linux-bulgaria.org/public/mail_list.html
<em class="quotelev1">> ==============================================================
<em class="quotelev1">> ==============
<em class="quotelev1">> 
============================================================================
A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers).
http://www.linux-bulgaria.org - Hosted by Internet Group Ltd. - Stara Zagora
To unsubscribe: http://www.linux-bulgaria.org/public/mail_list.html
============================================================================