Проблема с сетью (Сервер не доступен секунд 10)

[RaptoR]

Всем привет!

У меня такая проблема.
Бьюсь уже 3 неделю, не могу понять в чем проблема
Был сервер (древний как мамонт еще с 2.2 ядром), занимается он расдачей инета на небольшую сетку.
3 недели назад начались проблемы. Примерно каждые 30 минут, пропадали до него пинги из внутренней сети, буквально на секунд 5-10, этого хватает чтоб прервались TCP сессии...

Сначала грешил на оборудование в сети, свитчи работают уже около 5 лет, и в некоторах местах стояли хабы... Как пошли проблемы заменил все оборудование на новое, проблема осталась. Сменил сетевушки в сервере, все тож самое. Решил что сервер свое отработал, тем более не за долго до этого с ним были проблемы по железу. Сейчас вместо него поставил новый сервак, с FC5, проблема осталась...

При этом сеть работает нормально, во время пропадания сервера, пинги до всех концов сети ходят отлично, и остальные интерфейсы работают без проблем...

Собственно вопрос, как можно отловить причину проблемы?
Может кто то сталкивался с таким?
Возможно проблема в клиентском оборудование, но доступа ессно к нему нету, отключать сегменты от сервера не могу
Сижу и бьюсь головой об стенку.

[petka]

А с любой машины пропадают пинги?
А когда пингуешь с сервера на машины потери идут?

[RaptoR]

По поводу всех сказать не могу, но у меня там своя машина в той же стойке и клиент с друого конца сети, а так же спрашивал у некоторых клиентов, проблемы тоже есть, подозреваю что со всех

И в обратную тоже проблемы

[petka]

Если сменил карточку и хабы то имхо может это провод от хаба к серваку

[RaptoR]

Все патчкорды новые
Не то что карточку сменил, я сервак сменил

[petka]

И всетаки трасировку пакетов в студию
ps уважаемые модераторы перенесите эту тему в другой подфорум

[RaptoR]

Вот с стороны клиента:

Код: Выделить всё

Ответ от 192.168.3.1: число байт=32 время=1мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=5мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=20мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=15мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=14мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=13мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=12мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=11мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=10мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=10мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=10мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=9мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=8мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=7мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=6мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=6мс TTL=63
Ответ от 192.168.3.1: число байт=32 время=5мс TTL=63
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Ответ от 192.168.3.1: число байт=32 время<1мс TTL=63
Ответ от 192.168.3.1: число байт=32 время<1мс TTL=63
Ответ от 192.168.3.1: число байт=32 время<1мс TTL=63
Ответ от 192.168.3.1: число байт=32 время<1мс TTL=63
Ответ от 192.168.3.1: число байт=32 время<1мс TTL=63
Ответ от 192.168.3.1: число байт=32 время<1мс TTL=63
Ответ от 192.168.3.1: число байт=32 время<1мс TTL=63

От сервера:

Код: Выделить всё

64 bytes from 192.168.3.114: icmp_seq=889 ttl=64 time=0.481 ms
64 bytes from 192.168.3.114: icmp_seq=890 ttl=64 time=0.415 ms
64 bytes from 192.168.3.114: icmp_seq=891 ttl=64 time=0.490 ms
64 bytes from 192.168.3.114: icmp_seq=892 ttl=64 time=0.431 ms
64 bytes from 192.168.3.114: icmp_seq=893 ttl=64 time=0.480 ms
64 bytes from 192.168.3.114: icmp_seq=894 ttl=64 time=0.421 ms
64 bytes from 192.168.3.114: icmp_seq=895 ttl=64 time=0.384 ms
64 bytes from 192.168.3.114: icmp_seq=896 ttl=64 time=0.447 ms
64 bytes from 192.168.3.114: icmp_seq=897 ttl=64 time=0.392 ms
64 bytes from 192.168.3.114: icmp_seq=898 ttl=64 time=0.457 ms
64 bytes from 192.168.3.114: icmp_seq=899 ttl=64 time=0.401 ms
64 bytes from 192.168.3.114: icmp_seq=900 ttl=64 time=0.467 ms
64 bytes from 192.168.3.114: icmp_seq=901 ttl=64 time=0.409 ms
64 bytes from 192.168.3.114: icmp_seq=902 ttl=64 time=0.476 ms
64 bytes from 192.168.3.114: icmp_seq=903 ttl=64 time=0.423 ms
64 bytes from 192.168.3.114: icmp_seq=904 ttl=64 time=0.364 ms

--- 192.168.3.114 ping statistics ---
904 packets transmitted, 887 received, 1% packet loss, time 9037
71ms
rtt min/avg/max/mdev = 0.341/0.697/19.078/1.650 ms

Только эт пинги, а трассы некуда пускать, это один сегмент

[RaptoR]

Проблема решена...
арп-спуфинг атака на сервер и компы клиентов
Вирус или нет, не знаю, физически выдернул клиента и все нормализовалось, разбор полетов в понедельник

Окончательно зайдя в тупик, решил записать сниффером час и посмотреть логи
Кроме стандартного трафика было много такого:

Код: Выделить всё

16:36:33.509913 arp who-has 407408-1 tell 192.168.3.128
16:36:33.510037 arp who-has 407408-1 tell 192.168.3.128
16:36:33.541148 arp who-has 407408-2 tell 192.168.3.128
16:36:33.541165 arp who-has 407408-2 tell 192.168.3.128
16:36:33.572501 arp who-has 407408-3 tell 192.168.3.128
16:36:33.572516 arp who-has 407408-3 tell 192.168.3.128
16:36:33.603604 arp who-has 427mnya tell 192.168.3.128
16:36:33.603728 arp who-has 427mnya tell 192.168.3.128
16:36:33.634964 arp who-has 192.168.3.24 tell 192.168.3.128
16:36:33.634976 arp who-has 192.168.3.24 tell 192.168.3.128
16:36:33.666070 arp who-has 192.168.3.25 tell 192.168.3.128
16:36:33.666083 arp who-has 192.168.3.25 tell 192.168.3.128
16:36:33.703921 arp who-has Ilya tell 192.168.3.128
16:36:33.703933 arp who-has Ilya tell 192.168.3.128
16:36:33.728533 arp who-has 192.168.3.27 tell 192.168.3.128
16:36:33.728548 arp who-has 192.168.3.27 tell 192.168.3.128
16:36:33.759886 arp who-has 192.168.3.28 tell 192.168.3.128
16:36:33.760008 arp who-has 192.168.3.28 tell 192.168.3.128
16:36:33.793366 arp who-has 192.168.3.29 tell 192.168.3.128
16:36:33.793376 arp who-has 192.168.3.29 tell 192.168.3.128

Запустил arpwatch (и что я раньше не догадался Ведь знал что такое ток по макам может быть)
В итоге получил отчет на мыло о сплошных flip flop (изменение мак адреса)

Такие вот пироги