Просто жутко много валит причем одновременно на всех коммутаторах, в сети 5 штук по краям 3526 и в центре 3828+3312,
как можно определить что вызывает на всех коммутаторах перегрузку.

прошивки
5.01-B05 - 3526
3.00.B57 - 3828
3.60-S12 - 3312
вот пример лога

3684 2007/10/15 21:18:42 SafeGuard Engine enters NORMAL mode
3683 2007/10/15 21:18:17 SafeGuard Engine enters EXHAUSTED mode
3682 2007/10/15 21:18:12 SafeGuard Engine enters NORMAL mode
3681 2007/10/15 21:17:47 SafeGuard Engine enters EXHAUSTED mode
3680 2007/10/15 21:17:37 SafeGuard Engine enters NORMAL mode
3679 2007/10/15 21:17:12 SafeGuard Engine enters EXHAUSTED mode
3678 2007/10/15 21:16:42 SafeGuard Engine enters NORMAL mode
3677 2007/10/15 21:16:17 SafeGuard Engine enters EXHAUSTED mode
3676 2007/10/15 21:09:07 SafeGuard Engine enters NORMAL mode
3675 2007/10/15 21:08:57 SafeGuard Engine enters EXHAUSTED mode
3674 2007/10/15 21:08:32 SafeGuard Engine enters NORMAL mode
3673 2007/10/15 21:08:22 SafeGuard Engine enters EXHAUSTED mode
3672 2007/10/15 21:06:37 SafeGuard Engine enters NORMAL mode
3671 2007/10/15 21:06:12 SafeGuard Engine enters EXHAUSTED mode
3670 2007/10/15 21:06:02 SafeGuard Engine enters NORMAL mode
3669 2007/10/15 21:05:37 SafeGuard Engine enters EXHAUSTED mode
3668 2007/10/15 21:04:32 SafeGuard Engine enters NORMAL mode
3667 2007/10/15 21:04:22 SafeGuard Engine enters EXHAUSTED mode
3666 2007/10/15 21:04:12 SafeGuard Engine enters NORMAL mode
3665 2007/10/15 21:03:47 SafeGuard Engine enters EXHAUSTED mode

У Вас ARP spoofing или шторм скорее всего. Попробуйте поснифферить магистральный порт.

как это может выглядеть в виде tcpdump ?

Множество ARP запросов на разные в том числе и невалидные в сети адреса. Также может меняться SA.

а разве у этих коммутаторов нет фильтров на такие шторма

SafeGuard Engine это и фильтрует в итоге. Просто Вам нужно точно понять что за тип шторма. Это сделать можно только сниффером.

т.е. процедура должна быть такой?
делаем зеркалирование магистрали на порт а там с буком смотрим что сыпется ? правильно, или это можно как то сделать без выезда к свичу?

Нет к сожалению чтобы понять точно что за тип нельзя по другому.

ладно будем искать

при снифе обнаружил очень много паетов эзернет типа 0806, его можно запретить

Это пакеты ARP.
Без них, если вы работаете с TCP/IP, обойтись трудно
Если их всё же слишком много, смотрите, нет ли конкретных хостов, которые генерируют таковые в большом количестве. Если есть, выясняйте причину (например, вирусня, выполняющая атаки типа ARP-spoofing)

Сегодня запретил 0806, и всеравно несколько коммутаторов дружно впадали в этот режим. может быть причина в чемто другом.

А как запретили и где?

на всех портах кроме магистрального так же как и 0х800, как мане написано, только прописал 0х806

А у вас функция IP-MAC-Port Binding не включена?