Spustoszenie w sieci ethernet - trochę NTG

W dniu 2020-07-31 o 20:03, Mirek pisze:

Wystarczy, że na prostym przełączniku zrobisz pętlę i sparaliżujesz całą sieć. Packet storm.

Niektóre switche, szczególnie tanie z lat 200x, potrafiły to zrobic bez pętli, zalewajac sieć śmieciami i produkując je bez ani jednej wpiętej karty sieciowej. Wystarczył skok napięcia. Adminowałem siecią amatorską w tamtym czasie i procedura "resetowania switcha" była normalną rzeczą, nie tylko u nas, ale w ogóle w sieciach opartych o tani złom.

I co w tych śmieciach było? Bo zwykły switch żeby zapętlić musisz mu wpuścić przynajmniej jeden pakiet... I tu przyznaję się, że nie wiem, czy musi być broadcast, czy dowolny, pojedynczy też spowoduje zapętlenie.

Nie miałem narzędzi do analizy tak szybkich sygnałów. Z faktu że migały switche podpięte do zarażonego wynika że mogły to być pakiety broadcast, w dodatku taki pakiet składajacy sie z samych ff ma całkiem sporo sensu z puntku widzenia jakiegoś deadlocku maszyny stanów w chipie.

On się "zapętlał" sam z siebie, udało mi się w jednym, wyjątkowo kiepskim, wygenerować ten efekt sztucznie, kręcąc wtykiem zasilającym (i pewnie produkując chwilowe szpilki w zasilaniu). On i podpięty pod niego innych switch (i nic więcej), zaczynały nagle migać jak przy packet storm.

Ten temat był szeroko wałkowany w forach dla administratorów sieci amatorskich w latach 200x. Najłatwiej było odsunąc problem w czasie, dodająć kondensator w zasilanie. Ale to tylko powodowało że potrafił przetrwać dłużej.

Pan Mirek napisał:

Może by mu tak wpuścić pakiet z komputera, a potem szybko przełożyć kabelek, zanim zdąży wylecieć z drugiej strony?

Miganie drugiego jeszcze o niczym nie świadczy - ot po prostu otrzymał jakiś pakiet - niekoniecznie poprawny. Trzeba było do niego podłączyć trzeci... A w ogóle to sprawdzić Wiresharkiem co tam lata.

Obserwacja z adminowania sieciami jest następująca:

Zgadaka podstawowa: dlaczego dopiero po kilku h? Hipoteza jest taka że może to niezwiązane przypadki, ale z drugiej strony obserwowałem to kilka razy w miesiacu i działało zawsze tak samo, pada jeden i po kilku h pada sąsiedni, jak się nie zatrzymało to po dobie leżała prawie cała sieć (prawie, bo były w strategicznych miejscach "lepsze", bodaj 3comy).

To akurat sprawdziłem (acz tcpdumpem czy ettercapem, o ile pamietam). Nic. Zakładam że to są "pakiety" z uszkodzonymi sumami kontrolnymi lub same nagłówki. Oscyloskop potrzebny.

Ale czym? To musiały by być ramki z losowymi MAC-ami... albo losowo są generowane ramki ze śmieci w pamięci.

Napełnienie tablicy może trochę trwać, aczkolwiek nie widzę powodu żeby stał się generatorem - w najgorszym razie powinien się zresetować.

Na oscyloskopie jak się zamrozi to widać taką jakby rysowaną przez pijanego sinusoidę, czy pakiety lecą czy nie - czym to chcesz zinterpretować?

OK, dowolny. Pakiet, którego odbiorcy nie ma w tablicy zostaje wysłany na wszystkie porty tak jak broadcast.

Ciekawostka -- tu gość miał wieszającego się switcha i winne były kable eth, co ciekawe podobno niepodłączone do niczego po drugiej stronie.

"Or you could've just fixed / updated the old buggy Intel NIC driver that was probably the root cause there"

Może przesłuchy na kablu i wolne końce spowodowały zapętlenie TX.RX? W takim przypadku się też cuda mogą dziać - przede wszystkim zdublowane są broadcasty - widziałem coś takiego.

Miałem przypadek uszkodzenia kabla przy wtyczce do switcha, które bylo najwyraźniej tak osobliwe, że switch kompletnie głupiał i odcinał sieć od innych portów. Nie była to wtyczka z up/downlinkiem.

W dniu 31.07.2020 o 19:03, Mirek pisze:

Miałem w ciągu ostatnich dwóch lat ze 3-4 takie przypadki więc już nic mnie nie zdziwi :). Najlepsze to to, że jak coś tam rozłączysz, to wydaje ci się, że jest poprawa... po czym problem powraca. W pierwszej kolejności trzeba wyłączać przekazywanie broadcast na czym się da (w moim przypadku switche zarządzalne i anteny Ubiquity. Wtedy zwykle problem zawęża się do okolic uszkodzonego urządzenia. Ja miałem o tyle ułatwioną sprawę, że mogłem na chwilę zrzucać połączenia bezprzewodowe żeby podzielić sieć na mniejsze kawałki i sprawdzać efekty