Como identificar qual processo / atividade / software / protocolo está tornando a LAN mais lenta em um único computador

Question

De esta pergunta sobre a depuração de LAN da nossa empresa, consegui identificar um único computador que atrasa nossa rede .

Quando o computador está ligado e conectado à rede, aproximadamente 5% de todas as interações do site (ou seja, cliques nos links de um site) são desacelerados em grande parte, às vezes renderizando uma página após 40 segundos em vez de o regular um ou dois segundos.

Quando desconectamos o computador, a carga da rede é suave.

Temos um switch de catalizador Cisco gerenciado, um firewall Cisco ASA-5505, bem como algumas ferramentas de monitoramento (wireshark e nmap).

O computador funciona como um servidor de fotos (usando o iPhoto) e transmite algumas informações entre os computadores da nossa rede.

Como posso rastrear e / ou monitorar a atividade de minha rede ou computadores de uma forma que me permita saber, em um único computador definido conectado à rede, que processo / protocolo / atividade está retardando a rede?

    

Answer 1

Quando se trata de um único computador, geralmente você deseja obter uma captura de pacotes e fazer algumas análises na captura de pacotes que inclui coisas como:

• Divisão do protocolo
• Pacotes por segundo
• Principais receptores de remetentes, etc.

Eu recomendo usar o wireshark ou talvez Microsoft Network Monitor . Com o Network Monitor, você obterá uma análise de processo da captura, que pode ser útil (se estiver no Windows):

Vocêprovavelmentedesejaexecutá-locomprivilégiosdeadministradorparaisso.

TambémépossívelqueaNICnãoestejafuncionandocorretamente.Portanto,verifiqueastaxasdepacotesevárioscontadoresdeerrosnoladodoswitchparaessainterface.Vocêtambémpodemonitoraroswitchportusandoafuncionalidade"monitor de porta" do seu switch. Se algo assim está acontecendo, eu esperaria que a LAN ficasse lenta (ou seja, de computador a computador) e não apenas da Internet.

    

Answer 2

Você não menciona o SO da máquina problemática? Então eu vou responder a partir da perspectiva da distribuição GNU / Linux (como o Debian), embora parte da resposta seja multiplataforma.

Como mencionado, o iptraf (8) ou o Wireshark lhe dirão quais IPs / portas são problemáticos, mas não qual aplicativo os gerou. Você pode verificar isso com netstat (8):

netstat -tupn

(ele mostrará a você quais portas são usadas por qual programa, mas geralmente somente se essas forem conexões de longa duração).

No entanto, eu recomendaria ferramentas como ntop para obter uma visão geral mais fácil.

Além disso, o ifconfig (8) informará se há algum erro, operadora, problemas de sobrecarga, etc. Se houver, tente alterar o cabo, a porta no comutador ou (no final) a placa de rede (ou seus drivers) máquina problemática.

    

Answer 3

Você fala sobre o computador ser um servidor iPhoto, suspeito que você tenha o iCloud ativado ou outro backup semelhante na nuvem neste sistema que esteja carregando toda a sua biblioteca de fotos. E ao saturar o upload ele está atrasando alguns dos downloads porque alguns pacotes tcp ack se perdem. Isso explicaria seus 800GB.

Gostaria de obter uma captura de pacote com wireshark para ver onde estão os dados e, em seguida, procurar o culpado.

    

Answer 4

O roteador / firewall que uso é o Mikrotik e o limite de tela abaixo é de uma ferramenta chamada Torch no meu roteador Mikrotik. Eu não tenho certeza de como você faria isso na Cisco, mas tenho que acreditar que existe um analógico.

Como mostrado na imagem, estou filtrando o tráfego na minha interface de LAN (ether-2) cuja origem é 192.x.x.7. Neste caso, estou mantendo conexões por 30s depois que elas fecham (valor de tempo limite de entrada), mas em um caso como o seu pode definir isso em um par de horas. A informação mais interessante é o endereço IP e porta dst.

Usando uma ferramenta como essa no roteador, posso ver exatamente quanto tráfego está sendo enviado / recebido por host: porta e protocolo. Como você já identificou a máquina com problemas, eu filtraria para o IP dessa máquina (como fiz na imagem). Depois, classificando por Taxa de Rx, você veria os maiores uploads acontecendo e de que porta eles estão vindo e indo. Usando portas bem conhecidas, posso restringir a qual aplicativo está causando isso. Se não for uma porta bem conhecida ou por qualquer motivo, você pode executar um netstat na máquina para ver qual aplicativo está usando essa porta (diferentes SOs usam diff switches, basta procurar ou especificar seu sistema operacional e tentarei responder. )

Isso é muito mais rápido / fácil do que capturar quadros em wireshark (e precisar de um hub ou porta promíscua para fazê-lo) e depois analisá-los e, em muitos casos, você obterá sua resposta ou a maior parte do caminho.

Eu não tenho pontos de repetição suficientes para anexar a imagem, então aqui está um link para acessá-lo do meu servidor: link

Desculpe por ter que encobrir muitas informações, mas acho que você vai ter a idéia.