From ales@ripn.net Tue Sep 8 14:09:34 2009 Received: from mx1.lanck.net (62.152.64.1) by corp.exmail.net (62.152.71.254) with Microsoft SMTP Server (TLS) id 8.1.240.5; Tue, 8 Sep 2009 14:09:34 +0400 Received: from iruno.ripn.net ([194.226.71.76]) by mx1.lanck.net with esmtps (TLS-1.0:DHE_RSA_AES_256_CBC_SHA1:32) (Exim latest version) (envelope-from ) id 1MkxdC-0006uX-8V for nnovikov@lanck.net; Tue, 08 Sep 2009 14:08:58 +0400 Received: from ales by iruno.ripn.net with esmtp (RIPN) id 1Mkxdb-00029c-Am; Tue, 08 Sep 2009 14:09:23 +0400 From: "Alexandr D. Sergeev" To: =?utf-8?B?0J3QvtCy0LjQutC+0LIg0J3QuNC60L7Qu9Cw0Lkg0JLQu9Cw0LTQuNC80Lg=?= =?utf-8?B?0YDQvtCy0LjRhw==?= , "spb-ix-noc@ripn.net" Date: Tue, 8 Sep 2009 14:09:23 +0400 Subject: =?utf-8?B?UmU6IFtsYW5ja10g0LrQsNC90LDQuyAg0LTQviBtc2staXg=?= Thread-Topic: =?utf-8?B?W2xhbmNrXSDQutCw0L3QsNC7ICDQtNC+IG1zay1peA==?= Thread-Index: AcowbHdbvQACcdUaQsWr7mOJwRujTg== Message-ID: <4AA62D57.2030401@ripn.net> References: <1252399264.7781.4.camel@lumbre.lanck.net> <20090908091106.GB98834@runo.ripn.net> <1252401377.7781.9.camel@lumbre.lanck.net> <4AA622D6.5050800@ripn.net> <1252402773.7781.14.camel@lumbre.lanck.net> In-Reply-To: <1252402773.7781.14.camel@lumbre.lanck.net> Accept-Language: ru-RU Content-Language: ru-RU X-MS-Exchange-Organization-AuthAs: Anonymous X-MS-Exchange-Organization-AuthSource: corp.exmail.net X-MS-Has-Attach: X-MS-TNEF-Correlator: x-spamtest-envelope-from: ales@iruno.ripn.net x-spamtest-group-id: 00000000 x-spamtest-info: Profiles 9594 [Sen 08 2009] x-spamtest-rate: 0 x-spamtest-status: Not detected x-spamtest-version: SMTP-Filter Version 3.0.0 [0278], KAS30/Release x-virus-scanned: ClamAV Content-Type: text/plain; charset="utf-8" MIME-Version: 1.0 X-Evolution-Source: imap://nnovikov@corp.exmail.net/ Content-Transfer-Encoding: 8bit Nick Novikov пишет: > В Втр, 08/09/2009 в 13:24 +0400, Alexandr D. Sergeev пишет: > >> Nick Novikov пишет: >> >>> В Втр, 08/09/2009 в 13:11 +0400, Alexandr D. Sergeev пишет: >>> >>> >>>> Здравствуйте. >>>> >>>> На вашем подключении к MSK-IX в Петербурге обнаружена L2 петля >>>> (с вашей стороны поступают пакеты с SRC MAC клиентов MSK-IX). >>>> Это является грубым нарушением технологических условий подключения. >>>> >>>> >>> Это все очень странно. Изменений конфигурации у нас не производилось. >>> Можно ли увидеть какие именно нелегитимные MAC адреса вы зафиксировали? >>> >>> >>> >> Видимо, все активные (вывод, обрезан, полный, к сожалению, не сохранил). >> > > Наверно по причине того, что наше подключение находится в карантинном > vlan'е, то я не вижу ни одного из ниже перечисленных MAC адресов. > Нет ли у Вас других каналов до MSK-IX, например, через партнеров? (не обязательно прямое L2 соединение). Если нет, то скорее всего причина - создание петли в день пропадания связи, на короткое время. Этого было достаточно, чтобы MAC адреса "залипли" на порту вашего подключения. Петля в данном случае могла быть вызвана соединением двух портов в одном VLAN на вашем оборудовании. В логи успели попасть два факта нарушения port-security (MACи участников MSK-IX) Событие совпадает по времени с падением трафика на канале. Sep 3 12:15:04 SPB 49522: Sep 3 12:15:02 MSK: %PORT_SECURITY-SP-2-PSECURE_VIOLATION: Security violation occurred, caused by MAC address 0012.437a.55c0 on port FastEthernetX/X. Sep 3 12:15:09 SPB 49523: Sep 3 12:15:07 MSK: %PORT_SECURITY-SP-2-PSECURE_VIOLATION: Security violation occurred, caused by MAC address 0015.fae1.3f40 on port FastEthernetX/X. > Скажите, а почему не были оповещены (или были?) технические службы нашей > компании? > К сожалению, мы узнали о нарушении только после вашего сегодняшнего письма. А заранее предупреждать о блокировке мы не можем, так как от подобных нарушений страдают другие участники. > Какие действия в данной ситуации необходимы с нашей стороны для > возобновления сервиса? > Необходимо выяснить, что могло быть причиной создания петли и убедиться, что ситуация не повториться в будущем. О чем сообщите нам, и мы вернем порт в общий VLAN. > > >> #show mac-address-table int FaX/X all >> Legend: * - primary entry >> age - seconds since last seen >> n/a - not available >> >> vlan mac address type learn age ports >> ------+----------------+--------+-----+----------+-------------------------- >> Active Supervisor: >> 701 0012.1e03.f803 static Yes - FaX/X >> 701 0017.cb0c.783f static Yes - FaX/X >> 701 0017.cbc5.84db static Yes - FaX/X >> 701 001f.12bc.233a static Yes - FaX/X >> 701 0090.696c.88db static Yes - FaX/X >> 701 0015.17a6.420c static Yes - FaX/X >> 701 001b.c08a.9cdb static Yes - FaX/X >> 701 0017.cba0.51fe static Yes - FaX/X >> 701 001e.8ccf.4834 static Yes - FaX/X >> 701 000b.45b7.3600 static Yes - FaX/X >> 701 0023.0418.f380 static Yes - FaX/X >> 701 0011.2ffa.dae9 static Yes - FaX/X >> 701 0017.cb03.743e static Yes - FaX/X >> 701 001f.9d8d.4d00 static Yes - FaX/X >> 701 000c.f1d5.74b8 static Yes - FaX/X >> 701 0090.69eb.301f static Yes - FaX/X >> 701 0017.cb23.7ff0 static Yes - FaX/X >> 701 0005.5ed0.b920 static Yes - FaX/X >> 701 0012.1e11.e000 static Yes - FaX/X >> 701 0015.fa76.5d11 static Yes - FaX/X >> 701 001d.b5c1.17c0 static Yes - FaX/X >> 701 001b.90f4.b81a static Yes - FaX/X >> 701 0011.5dec.4400 static Yes - FaX/X >> 701 0015.fae1.3f40 static Yes - FaX/X >> 701 001f.12ba.6a6a static Yes - FaX/X >> 701 001b.c09b.d9f6 static Yes - FaX/X >> 701 001a.6499.8d62 static Yes - FaX/X >> 701 0015.1749.eccd static Yes - FaX/X >> 701 0017.cbc6.d400 static Yes - FaX/X >> 701 0012.008c.9206 static Yes - FaX/X >> 701 001f.12bd.7295 static Yes - FaX/X >> 701 0021.59ad.fa95 static Yes - FaX/X >> 701 0050.e27d.bc1a static Yes - FaX/X >> 701 0007.e906.5f06 static Yes - FaX/X >> 701 0013.c39a.ce21 static Yes - FaX/X >> 701 0015.176d.188c static Yes - FaX/X >> 701 0014.f6db.3f13 static Yes - FaX/X >> 701 0015.1746.a379 static Yes - FaX/X >> 701 001d.b5cf.5339 static Yes - FaX/X >> 701 0014.f6f1.08db static Yes - FaX/X >> 701 0015.c7e3.d800 static Yes - FaX/X >> 701 0012.1e5e.197a static Yes - FaX/X >> 701 000a.8b11.a01c static Yes - FaX/X >> 701 0015.1720.126d static Yes - FaX/X >> 701 0020.ed61.27d5 static Yes - FaX/X >> 701 0017.cbdd.2716 static Yes - FaX/X >> 701 0002.17e5.a806 static Yes - FaX/X >> 701 0012.1ec9.0c00 static Yes - FaX/X >> 701 0021.590e.8001 static Yes - FaX/X >> 701 0017.cbdf.6052 static Yes - FaX/X >> 701 0015.c6ee.32c5 static Yes - FaX/X >> 701 0012.f291.5f00 static Yes - FaX/X >> 701 0005.85a5.d0db static Yes - FaX/X >> 701 001a.3008.b400 static Yes - FaX/X >> 701 0010.dbec.9fec static Yes - FaX/X >> 701 0005.019a.8c1a static Yes - FaX/X >> 701 001d.b590.dbf0 static Yes - FaX/X >> 701 000d.6136.fabc static Yes - FaX/X >> 701 00e0.fcd4.1c08 static Yes - FaX/X >> 701 001a.2f5b.8c19 static Yes - FaX/X >> 701 001c.c039.a67b static Yes - FaX/X >> 701 001a.6499.879a static Yes - FaX/X >> 701 001b.c058.6b80 static Yes - FaX/X >> 701 0011.92fa.a700 static Yes - FaX/X >> 701 0019.e282.34db static Yes - FaX/X >> 701 0012.1e24.64db static Yes - FaX/X >> 701 001d.7075.2000 static Yes - FaX/X >> 701 0023.9cf0.5fc0 static Yes - FaX/X >> 701 0012.1e5e.187e static Yes - FaX/X >> 701 0018.e709.1e1e static Yes - FaX/X >> 701 001b.213d.c1ad static Yes - FaX/X >> 701 0030.48d1.b021 static Yes - FaX/X >> 701 0014.f6c3.aff0 static Yes - FaX/X >> 701 0019.e29b.a7f0 static Yes - FaX/X >> 701 0017.0e5a.ad41 static Yes - FaX/X >> 701 0017.0fac.3cc0 static Yes - FaX/X >> 701 0021.59a8.83df static Yes - FaX/X >> 701 0024.972f.ce80 static Yes - FaX/X >> 701 0030.4864.fe00 static Yes - FaX/X >> 701 0012.437a.55c0 static Yes - FaX/X >> 701 0021.590c.d5cf static Yes - FaX/X >> 701 0022.8330.733a static Yes - FaX/X >> >> -- >> ______________________________________________________________________ >> >> Alexandr D.Sergeev MSK-IX & Russian Institute for Public Networks >> E-mail: ales@ripn.net Network Operational Center >> Phone: +7 (495) 737-0685, +7 (499) 192-9179 >> >> >> -- ______________________________________________________________________ Alexandr D.Sergeev MSK-IX & Russian Institute for Public Networks E-mail: ales@ripn.net Network Operational Center Phone: +7 (495) 737-0685, +7 (499) 192-9179