DES3526. Используется 8 портов.
В один из портов подключениа флудящая (броадкасты) ветка.

При настройке ограничения на пропускание броадкастов на всех портах в режиме DROP от 0 до 5000 в остальные сегменты переходит данный флуд.
При настройке режима SHUTDOWN флудящий порт отключается и остальные сегменты хорошо себя чувствуют.

Вопрос: почему режим DROP (даже при ограничении =0) не справляется с этой задачей и как он реализован логически?

Прошивка 5.0В12.

Попробуй прошивку поменять.

_________________
best regards
kuznetsov timofey

поменять на что? Мне эту выслали неделю назад

Весь флуд переходит? Пожалуйста опишите схему подключения подробнее желательно в графической форме. Также пришлите конфиг файл коммутатора и дамп трафика. Может быть на этот трафик функция Traffic Control и не должна действовать. Что это за трафик?

Конфигурация сети

1) Сеть преддставляет собой звезду из 8 сегментов в центре которой стоит DES3526 (собственно он для защиты от флуда и ставился сюда)

2) Каждый сегмент имеет свою структуру построенную на неуправляемых мыльницах.

3) Все находятся в одном VLANe в едином адресном пространстве с маской 255,255,248,0

4) Натроены только траффик контрол, как указано выше.

Дамп траффика снять не могу, так как проблема локализирована и устранена (оказалась битая мыльница).

Еще раз повторюсь, что "При настройке режима SHUTDOWN на броадкасты на все порты флудящий порт отключается". Остальные подсети при этом начинают работать абсолютно нормально. Следовательно функция Traffic Control реально работает.

Все-таки хотельсь бы услышать что делает конфигурация DROP. При этой конфигурации DES3526 периодически даже переставал пинговаться на некоторой время с одной из веток подключенных к нему.

Таблица мак-адресов при этом не переполнялась и находилась в диапазоне 200-500 адресов, что соответствовало его нормальной работе до флуда.

На тестовом стенде проблема не подтвердилась, прошивку с которой я тестировал я Вам выслал по почте.

_________________
С уважением,
Бигаров Руслан.

DES3526

1)Что значит данное сообщение, в котором указам собственный мак-адрес коммутатора и порт, к которому подключен сегмент сети?

Possible spoofing attack from 00-11-22-33-44-55 port 5

2) Что значит данная последовательность сообщений?

89 2007/07/05 10:46:21 SafeGuard Engine enters NORMAL mode
88 2007/07/05 10:45:20 Broadcast storm has cleared (port: 5)
87 2007/07/05 10:45:15 Broadcast storm is occurring (port: 5)
86 2007/07/05 10:45:10 Broadcast storm has cleared (port: 5)
85 2007/07/05 10:45:06 SafeGuard Engine enters EXHAUSTED mode
84 2007/07/05 10:45:05 Broadcast storm is occurring (port: 5)

На пятом порту настроен трафик контроль и shutdown при броадкастах 5000.

Прошивку получил. Спасибо. Пока нет возможности проверить. Проверю - напишу.

Это говорит либо о подмене IP-адреса в сети на адрес коммутатора (указан MAC-адрес злоумышленника), либо петлю в управляющем VLAN-е.


2) Есть функция SafeGuard Engine позволяющая бороться с ARP штормами и спуфингом. Она у Вас включена и срабатывает. Наверное присутствуют шторма. Подробнне можно прочитать здесь http://www.dlink.ru/technical/faq_hub_switch_77.php Кроме того у Вас происходит Broadcast storm с указанным в пороге количество пакетов в секунду или скорее всего больше. Поэтому у Вас порт то включается то отключается. Период псоле которого порт возвращатеся в исходное состояние 5 минут.

а можно и мне новую прошивку на 3526 у меня 4.01-B42

Я Вам прошивку выслал.

А можно прошивку на 3526 сейчас 4.01-B42

Я Вам прошивку выслал.