faq обучение настройка
Текущее время: Сб июл 19, 2025 10:39

Часовой пояс: UTC + 3 часа




Начать новую тему Ответить на тему  [ Сообщений: 9 ] 
Автор Сообщение
 Заголовок сообщения: DGS-3627G as router
СообщениеДобавлено: Сб фев 05, 2011 14:03 
Не в сети

Зарегистрирован: Пн окт 19, 2009 19:39
Сообщений: 132
Натолкнулись на некий неприятный момент. В сети порядка 10 сабжевых коммутаторов используются как маршрутизаторы. Имеют статический дефолт и группу маршрутов по OSPF. На одном из них периодически происходит следующая проблематика.
На порядка 10 ВЛАНах создано по 3 ipif. Итого чуть более 30ipif на коммутатор. В таблице arp и ipfdb обычно не более 2500 записей. В некоторых вланах (лично наблюдал только в 2х) происходит следующее. По некоторым (именно по некоторым, а не по всем) ip-адресам трафик начинает ходить через CPU, а не через L3-свичинг. То есть если создать CPU ACL такого плана:
create cpu access_profile profile_id 1 ip vlan source_ip_mask 255.255.255.0 icmp
config cpu access_profile profile_id 1 add access_id 1 ip vlan ClVlan icmp port 1-27 permit
config cpu access_profile profile_id 1 add access_id 2 ip vlan ClVlan port 1-27 deny
У клиента транзитом работает только ping. Задропать все - у клиента не работает ничего. Снять ACL - трафик идет, но начинаются потери. Отключить cpu_rx_rate_control - начинает бегать хорошо, но уже спустя секунд 30 у коммутатора процессор в 100% и снова потери у клиента.
Первый раз пронаблюдали проблему когда отвалилась таким образом целая подсеть /24. Тогда в ходе экспериментов полечилось удалением и пересозданием интерфейсов с нуля. Позже начало иногда всплывать точечно - по некоторым ip.
Наблюдалось на прошивках 2.81.B03, 2.82.B20. Но скорее всего дело не в них - на других коммутаторах те же версии, но проблематики пока замечено не было.


Вернуться наверх
 Профиль  
 
 Заголовок сообщения: Re: DGS-3627G as router
СообщениеДобавлено: Пн фев 07, 2011 15:47 
Не в сети
Сотрудник D-LINK
Сотрудник D-LINK

Зарегистрирован: Вт янв 18, 2011 13:29
Сообщений: 8999
Посмотрите тему
viewtopic.php?f=2&t=133241


Вернуться наверх
 Профиль  
 
 Заголовок сообщения: Re: DGS-3627G as router
СообщениеДобавлено: Пн фев 07, 2011 17:25 
Не в сети

Зарегистрирован: Пн окт 19, 2009 19:39
Сообщений: 132
В принципе с топиком знаком. Но соль вопроса не в том, что большая загрузка CPU - ибо если включены CPU ACL, пропускающие трафик к CPU только ICMP - нагрузка в норме. Но вот у абонента кроме icmp ничего не ходит, потому что он по какой-то причине транзитным трафиком попадает на CPU, в то время как должен был минуя CPU просто пройти. И вполне логично, когда я отключаю ACL - трафик начинает ходить, но при этом плохеет CPU (ну или при включенном cpu_rx_rate - трафик режется и теряется).

Artem Kolpakov писал(а):
Посмотрите тему
viewtopic.php?f=2&t=133241


Вернуться наверх
 Профиль  
 
 Заголовок сообщения: Re: DGS-3627G as router
СообщениеДобавлено: Пн фев 07, 2011 18:16 
Не в сети
Сотрудник D-LINK
Сотрудник D-LINK

Зарегистрирован: Ср май 10, 2006 16:40
Сообщений: 12251
Откуда: D-Link, Moscow
Сколько префиксов в таблице маршрутизации на коммутаторе?


Вернуться наверх
 Профиль  
 
 Заголовок сообщения: Re: DGS-3627G as router
СообщениеДобавлено: Пн фев 07, 2011 18:25 
Не в сети

Зарегистрирован: Пн окт 19, 2009 19:39
Сообщений: 132
Alexandr Zaitsev писал(а):
Сколько префиксов в таблице маршрутизации на коммутаторе?


Код:
sh iprou
...
Total Entries : 404


Вернуться наверх
 Профиль  
 
 Заголовок сообщения: Re: DGS-3627G as router
СообщениеДобавлено: Ср фев 09, 2011 17:59 
Не в сети
Сотрудник D-LINK
Сотрудник D-LINK

Зарегистрирован: Пт янв 21, 2005 11:52
Сообщений: 11212
Откуда: D-Link, Moscow
На доступе у Вас какие коммутаторы стоят?

Приведите, пожалуйста, полные настройки CIF в CLI.

_________________
С уважением,
Бигаров Руслан.


Вернуться наверх
 Профиль  
 
 Заголовок сообщения: Re: DGS-3627G as router
СообщениеДобавлено: Ср фев 09, 2011 18:35 
Не в сети

Зарегистрирован: Вт дек 09, 2003 21:16
Сообщений: 212
Где-то тут уже создавал подобную тему, списывался с Бигаровым Русланом, отправляли логи/конфиги, выводили "волшебными" командами трафик в консоль. Никакого решения.
Cpu_rx_rate включаешь - CPU в норму приходит, транзитные SNMP-пакеты начинают теряться массово, выключаешь cpu_rx_control - получаешь в логах ругательства от сейвгарда с загрузкой CPU под 100%.
Единственное подозрение было - гадкие коммутаторы на доступе. Два месяца мучились, купили DES-7210, и счастья нет предела :)
Самое интересное, что когда терминацию районов перевели со стека из DGS-3627 на 7210, при этом в стеке осталось, ну максимум десяток линков со всякой мелочевкой, каких-то серверов и прочего. Так вот загрузка CPU была близка к 3-5% - странности с загрузкой CPU начали повторяться!!! Идет график загрузки, часов 8 - 3-5%, потом резкий скачек к 90%, так часа три, и потом резко назад к 3-5%. При этом, повторюсь, _ни одного_ говнокоммутатора к стеку не было подключено.
Т.е. проблема есть, как они будут искать решения я не знаю.


Вернуться наверх
 Профиль  
 
 Заголовок сообщения: Re: DGS-3627G as router
СообщениеДобавлено: Ср фев 09, 2011 19:38 
Не в сети

Зарегистрирован: Пн окт 19, 2009 19:39
Сообщений: 132
На доступе 3028/3200.

Код:
create cpu access_profile profile_id 1 ip vlan source_ip_mask 255.255.255.0 icmp
config cpu access_profile profile_id 1 add access_id 1 ip vlan OSPF source_ip <net1>  port 1-27 permit
config cpu access_profile profile_id 1 add access_id 2 ip vlan OSPF source_ip <net2>  port 1-27 permit
config cpu access_profile profile_id 1 add access_id 3 ip vlan OSPF source_ip <net3>  port 1-27 permit
config cpu access_profile profile_id 1 add access_id 4 ip vlan OSPF  port 1-27 deny
config cpu access_profile profile_id 1 add access_id 5 ip vlan default source_ip <net_mgm>  port 1-27 permit
config cpu access_profile profile_id 1 add access_id 6 ip vlan default  port 1-27 deny
config cpu access_profile profile_id 1 add access_id 7 ip vlan NAS icmp  port 1-27 permit
config cpu access_profile profile_id 1 add access_id 8 ip vlan NAS port 1-27 deny
config cpu access_profile profile_id 1 add access_id 9 ip vlan Gr1 icmp  port 1-27 permit
config cpu access_profile profile_id 1 add access_id 10 ip vlan Gr1  port 1-27 deny
config cpu access_profile profile_id 1 add access_id 11 ip vlan Gr2 icmp  port 1-27 permit
config cpu access_profile profile_id 1 add access_id 12 ip vlan Gr2  port 1-27 deny
config cpu access_profile profile_id 1 add access_id 13 ip vlan Gr3 icmp  port 1-27 permit
config cpu access_profile profile_id 1 add access_id 14 ip vlan Gr3  port 1-27 deny
config cpu access_profile profile_id 1 add access_id 15 ip vlan Gr4 icmp  port 1-27 permit
config cpu access_profile profile_id 1 add access_id 16 ip vlan Gr4  port 1-27 deny
config cpu access_profile profile_id 1 add access_id 17 ip vlan Gr5 icmp  port 1-27 permit
config cpu access_profile profile_id 1 add access_id 18 ip vlan Gr5  port 1-27 deny
config cpu access_profile profile_id 1 add access_id 19 ip vlan Gr6 icmp  port 1-27 permit
config cpu access_profile profile_id 1 add access_id 20 ip vlan Gr6  port 1-27 deny
enable cpu_interface_filtering


Хотя не совсем понятно - какое отношение CIF и коммутаторы доступа имеют к тому, что пакеты, которые должны маршрутизоваться на DGS-3627G, начинают с некоторых айпишников ходить на CPU и там застревать в том же CIF, cpu_rx_rate и т.д.?

Bigarov Ruslan писал(а):
На доступе у Вас какие коммутаторы стоят?

Приведите, пожалуйста, полные настройки CIF в CLI.


Вернуться наверх
 Профиль  
 
 Заголовок сообщения: Re: DGS-3627G as router
СообщениеДобавлено: Вт фев 22, 2011 20:30 
Не в сети

Зарегистрирован: Пн сен 27, 2004 18:18
Сообщений: 1642
Откуда: Vault 13
на 36-й серии можно использовать CPU ACL примерно такого вида:
Код:
# разрешаете ICMP
create cpu access_profile profile_id 1                 ip source_ip_mask 0.0.0.0 icmp type
config cpu access_profile profile_id 1 add access_id 1 ip source_ip      0.0.0.0 icmp type  0 port 1-12 permit
config cpu access_profile profile_id 1 add access_id 2 ip source_ip      0.0.0.0 icmp type  3 port 1-12 permit
config cpu access_profile profile_id 1 add access_id 3 ip source_ip      0.0.0.0 icmp type  8 port 1-12 permit
config cpu access_profile profile_id 1 add access_id 4 ip source_ip      0.0.0.0 icmp type 11 port 1-12 permit

# разрешаете подсеть управления
create cpu access_profile profile_id 2                 ip source_ip_mask х.х.х.х
config cpu access_profile profile_id 2 add access_id 1 ip source_ip      y.y.y.y port 1-12 permit

# запрещаете все
create cpu access_profile profile_id 3                 ip source_ip_mask 0.0.0.0
config cpu access_profile profile_id 3 add access_id 1 ip source_ip      0.0.0.0 port 1-12 deny

все что нужно работает, а что не нужно - идет лесом ...
естессно по нужде - дописать ;)

_________________
с уважением, БП


Вернуться наверх
 Профиль  
 
Показать сообщения за:  Сортировать по:  
Начать новую тему Ответить на тему  [ Сообщений: 9 ] 

Часовой пояс: UTC + 3 часа


Кто сейчас на форуме

Сейчас этот форум просматривают: Google [Bot] и гости: 318


Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете добавлять вложения

Найти:
Перейти:  
Создано на основе phpBB® Forum Software © phpBB Group
Русская поддержка phpBB