Como identifico protocolos desconhecidos no meu Cisco 2811?

Question

Tenho um Cisco 2811 com comportamento inadequado. Ele atende nosso escritório de 20 com internet e telefones via Call Manager Express. Exceto que ultimamente os telefones não estão funcionando direito e a internet está instável. A interface externa conectada ao nosso provedor está bem. A interface interna é conectada a um 2960 onde nossa rede interna está conectada. Existem problemas óbvios na interface do programa:

    FastEthernet0/1 is up, line protocol is up 
  Hardware is MV96340 Ethernet, address is 001b.d40a.e071 (bia 001b.d40a.e071)
  Internet address is 192.168.1.254/24
  MTU 1500 bytes, BW 100000 Kbit/sec, DLY 100 usec, 
     reliability 255/255, txload 13/255, rxload 19/255
  Encapsulation 802.1Q Virtual LAN, Vlan ID  1., loopback not set
  Keepalive not set
  Full-duplex, 100Mb/s, 100BaseTX/FX
  ARP type: ARPA, ARP Timeout 04:00:00
  Last input 00:00:00, output 00:00:00, output hang never
  Last clearing of "show interface" counters 00:54:10
  Input queue: 1/150/420/0 (size/max/drops/flushes); Total output drops: 0
  Queueing strategy: fifo
  Output queue: 0/40 (size/max)
  5 minute input rate 7463000 bits/sec, 1038 packets/sec
  5 minute output rate 5244000 bits/sec, 880 packets/sec
     3021883 packets input, 2691686783 bytes
     Received 7649 broadcasts, 0 runts, 0 giants, 95 throttles
     2155 input errors, 0 CRC, 0 frame, 0 overrun, 2155 ignored
     0 watchdog
     0 input packets with dribble condition detected
     2537251 packets output, 1717084791 bytes, 0 underruns
     0 output errors, 0 collisions, 0 interface resets
     464 unknown protocol drops
     0 babbles, 0 late collision, 0 deferred
     0 lost carrier, 0 no carrier
     0 output buffer failures, 0 output buffers swapped out

Substitui o cabo por um novo, sem efeito. Eu configurei o switchport nonegotiate no 2960 ao qual ele está anexado. Eu verifiquei que as configurações são as mesmas em ambas as interfaces (100M, Auto / Auto). Eu assegurei que o CDP está ativado e os keepalives estão desativados.

Eu estou distante hoje, mas vou colocar uma porta SPAN no 2960 amanhã para tentar obter mais informações. Há mais alguma coisa que eu possa fazer para descobrir de onde vêm esses problemas?

Eu fiz uma interface do Mac e o computador de uma pessoa está enviando cerca de 80% do tráfego total para o roteador ... 2800M bytes de um total de 3100M bytes. Minha assistente verificou seu PC e não encontrou nada fora do comum.

EDITAR:

Por solicitação, aqui está o sh int da porta do switch:

GigabitEthernet1/0/48 is up, line protocol is up (connected) 
  Hardware is Gigabit Ethernet, address is b414.89ba.32b0 (bia b414.89ba.32b0)
  MTU 1500 bytes, BW 100000 Kbit, DLY 100 usec, 
     reliability 255/255, txload 22/255, rxload 4/255
  Encapsulation ARPA, loopback not set
  Keepalive not set
  Full-duplex, 100Mb/s, media type is 10/100/1000BaseTX
  input flow-control is off, output flow-control is unsupported 
  ARP type: ARPA, ARP Timeout 04:00:00
  Last input 00:00:03, output 00:00:00, output hang never
  Last clearing of "show interface" counters never
  Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 20147
  Queueing strategy: fifo
  Output queue: 0/40 (size/max)
  5 minute input rate 1883000 bits/sec, 693 packets/sec
  5 minute output rate 8721000 bits/sec, 1020 packets/sec
     64561402 packets input, 46701593519 bytes, 0 no buffer
     Received 109892 broadcasts (102372 multicasts)
     0 runts, 0 giants, 0 throttles
     0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored
     0 watchdog, 102372 multicast, 0 pause input
     0 input packets with dribble condition detected
     66138056 packets output, 36914890016 bytes, 0 underruns
     0 output errors, 0 collisions, 0 interface resets
     0 babbles, 0 late collision, 0 deferred
     0 lost carrier, 0 no carrier, 0 PAUSE output
     0 output buffer failures, 0 output buffers swapped out

    

Answer 1

Então, saindo de um histórico de solução de problemas, eu olharia dessa maneira.

Tudo está agitado / lento, certo? Internet e telefones. E você nos mostrou as estatísticas da interface. Eu estou olhando para este pedaço aqui:

   ->3021883 packets input, 2691686783 bytes
->Received 7649 broadcasts, 0 runts, 0 giants, 95 throttles
->2155 input errors, 0 CRC, 0 frame, 0 overrun, 2155 ignored
->464 unknown protocol drops

Primeiro, vamos eliminar o fácil, quedas de protocolo e erros de entrada. 464 gotas representam 0,01% dos 3.021.883 pacotes de entrada, mais uma vez os erros de entrada são uma história semelhante. Essas coisas acontecem ocasionalmente, é uma preocupação que você tem algum, mas estou disposto a apostar que você diria que é pior do que 0,01% mais devagar, certo?

De qualquer forma, os aceleradores podem lançar alguma luz sobre os problemas, com as acelerações ocorrendo quando o dispositivo está sobrecarregado. Então, isso pode ser algo para se olhar.

Lentidão é uma dor no bumbum para diagnosticar, no entanto, eu realmente tentaria amarrá-lo a um período de tempo, talvez ficar até tarde uma noite, quando a maioria das pessoas tem ido e ver se ainda é lento? 90% do tempo, descobri que toda lentidão está relacionada à capacidade.

Então, algumas coisas para verificar.

• Verifique o uso da CPU ("show process cpu history") e veja se houve algum pico.
• Você está usando QoS? verifique se há quedas na interface ("show policy-map interface xx / xx)
• Quantas VLANs você está executando? Eu suponho que você estará usando uma configuração de roteador em um bastão em caso afirmativo?

Eu pessoalmente suspeito de algum tipo de gargalo de CPU / memória em algum lugar, isso não vai aparecer nos comandos show normal da interface. Do comando show que você colou, não vejo nenhum problema "real", nada que possa causar problemas visíveis.

Além disso, dê uma reinicialização. Você nunca sabe:)

    

Answer 2

Tente desativar o DTP na interface do switch. switchport nonegotiate Como o roteador não é um switch, ele não entenderá o protocolo de truncamento dinâmico.

    

Answer 3

A Artanix sugeriu algumas ótimas dicas de solução de problemas, que são uma ótima maneira de começar um problema de roteador.

Também usei algumas das dicas de solução de problemas aqui porque o Uso da CPU no roteador regularmente indexado em 99-100%.

Configurando a contabilidade de endereços MAC via NetFlow (conforme descrito aqui ) me levou a um único dispositivo que estava gerando 80% do tráfego vindo na interface Fa0 / 1. Rastreando isso para um único computador, meu estagiário não encontrou nada que ele pudesse culpar, mas eu verifiquei sua caixa de saída no MS Outlook ... ela enviou um e-mail com anexos de mais de 50MB para um colega de trabalho em nosso escritório em outra cidade.

De acordo com a minha sessão de SPAN, o servidor de e-mail deve obedientemente receber todos esses dados, informar ao Outlook que ele ultrapassou o limite de tamanho e descartar a conexão. O Outlook, sabendo que ainda não havia enviado a mensagem, continuou tentando enviá-la novamente e de forma muito agressiva. Eu não sei porque as mensagens de erro não estavam voltando, mas eu suspeito que isso tenha algo a ver com o Outlook, supondo que a largura de banda do servidor de e-mail seja barata.

Depois de excluirmos essa mensagem de e-mail da caixa de saída e demos uma pequena palestra sobre o uso do servidor de arquivos para transferir arquivos grandes em vez de e-mail, o uso da CPU caiu para a faixa normal de 40 a 60% e os telefones e a rede retornaram à estado normal e as acelerações na interface voltaram a zero.

Então, isso resolveu o problema e tornou a questão relativamente discutível. Ainda não sei quais eram os protocolos desconhecidos, mas tenho certeza de que minha sessão de SPAN os listou.