[Comm] Непонятный траффик

[Comm] Непонятный траффик

[Michael Holzman]

Здравствуйте, все!

У меня обнаружилась следущая проблема. Компьютер почему-то все время
качает что-то с какого-то внутре-провайдеровского сайта из bootps
порта. Забивает весь канал. Жить это сильно мешает.

Куда копать?

Система: ALJ 4.0

-- 
Regards,
 Michael Holzman

Re: [Comm] Непонятный траффик

[Boltris Alexandr]

Michael Holzman пишет:
> Здравствуйте, все!
> 
> У меня обнаружилась следущая проблема. Компьютер почему-то все время
> качает что-то с какого-то внутре-провайдеровского сайта из bootps
> порта. Забивает весь канал. Жить это сильно мешает.
> 
> Куда копать?
> 
> Система: ALJ 4.0
> 
С помощью netstat -apntu ты можешь узнать, какой именно процесс качает

Re: [Comm] Непонятный траффик

[Michael Holzman]

2008/7/4 Boltris Alexandr:
> С помощью netstat -apntu ты можешь узнать, какой именно процесс качает
Если бы все было так просто:
# netstat -apntu
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address               Foreign Address
     State       PID/Program name
tcp        0      0 127.0.0.1:2628              0.0.0.0:*
     LISTEN      3738/0
tcp        0      0 0.0.0.0:41703               0.0.0.0:*
     LISTEN      2502/rpc.statd
tcp        0      0 0.0.0.0:5800                0.0.0.0:*
     LISTEN      5581/kded [kdeinit]
tcp        0      0 0.0.0.0:5900                0.0.0.0:*
     LISTEN      5581/kded [kdeinit]
tcp        0      0 0.0.0.0:111                 0.0.0.0:*
     LISTEN      2475/portmap
tcp        0      0 0.0.0.0:21                  0.0.0.0:*
     LISTEN      3983/xinetd
tcp        0      0 0.0.0.0:22                  0.0.0.0:*
     LISTEN      4047/sshd
tcp        0      0 127.0.0.1:631               0.0.0.0:*
     LISTEN      4210/cupsd
tcp        0      0 172.22.216.25:33588         212.143.209.13:1723
     ESTABLISHED 8792/pptp
tcp        0      0 89.139.212.202:35683        74.125.19.18:443
     ESTABLISHED 7919/firefox-bin
tcp        0   1494 89.139.212.202:35684        74.125.19.18:443
     ESTABLISHED 7919/firefox-bin
tcp        0   1576 89.139.212.202:46140        74.125.19.18:443
     ESTABLISHED 7919/firefox-bin
udp        0      0 0.0.0.0:32768               0.0.0.0:*
                 2502/rpc.statd
udp        0      0 0.0.0.0:32770               0.0.0.0:*
                 3952/avahi-daemon:
udp        0      0 0.0.0.0:982                 0.0.0.0:*
                 2502/rpc.statd
udp        0      0 0.0.0.0:5353                0.0.0.0:*
                 3952/avahi-daemon:
udp        0      0 0.0.0.0:111                 0.0.0.0:*
                 2475/portmap
udp        0      0 0.0.0.0:631                 0.0.0.0:*
                 4210/cupsd
udp        0      0 172.22.216.25:123           0.0.0.0:*
                 4703/ntpd: ntp engi
udp        0      0 192.168.110.1:123           0.0.0.0:*
                 4703/ntpd: ntp engi
udp        0      0 127.0.0.1:123               0.0.0.0:*
                 4703/ntpd: ntp engi


bootps - это 67 порт. Его здесь нет.

Другие идеи?

-- 
Regards,
 Michael Holzman

Re: [Comm] Непонятный траффик

[Алексей Шенцев]

В сообщении от Friday 04 July 2008 12:35:59 Michael Holzman написал(а):
> Если бы все было так просто:
<кусь>
> Другие идеи?
tcpdump на интерфейс и смотри что и как у тебя происходит.
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845

Re: [Comm] Непонятный траффик

[Michael Holzman]

2008/7/4 Алексей Шенцев:
>> Другие идеи?
> tcpdump на интерфейс и смотри что и как у тебя происходит.
Происходит вот это (пакеты повторяются все время):

# tcpdump -v -vv -i eth0 port 67
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
11:51:07.293574 IP (tos 0x0, ttl 255, id 21431, offset 0, flags
[none], proto UDP (17), length 328) 10.176.128.1.bootps >
255.255.255.255.bootpc: BOOTP/DHCP, Reply, length 300, xid 0x2c4a,
Flags [Broadcast] (0x8000)
          Gateway-IP bzq-84-109-152-1.red.bzqint.net
          Client-Ethernet-Address 00:16:32:82:0c:bb (oui Unknown) [|bootp]
11:51:07.298149 IP (tos 0x0, ttl 255, id 21452, offset 0, flags
[none], proto UDP (17), length 328) 10.176.128.1.bootps >
255.255.255.255.bootpc: BOOTP/DHCP, Reply, length 300, xid 0x2c4a,
Flags [Broadcast] (0x8000)
          Gateway-IP bzq-84-109-152-1.red.bzqint.net
          Client-Ethernet-Address 00:16:32:82:0c:bb (oui Unknown) [|bootp]

Для меня, к сожалению, китайская грамота.


-- 
Regards,
 Michael Holzman

Re: [Comm] Непонятный траффик

[Mikhail A. Pokidko]

2008/7/4 Michael Holzman:
> 2008/7/4 Boltris Alexandr:
>> С помощью netstat -apntu ты можешь узнать, какой именно процесс качает
> Если бы все было так просто:

>
> bootps - это 67 порт. Его здесь нет.
>
> Другие идеи?

Значит, не компьютер качает, а ему шлют?


-- 
xmpp: pma AT altlinux DOT org

Re: [Comm] Непонятный траффик

[Michael Holzman]

2008/7/4 Mikhail A. Pokidko:
>
> Значит, не компьютер качает, а ему шлют?
Насколько я понимаю, DHCP на моей машине - это клиент, а не сервер.
BOOTP - тоже. Я плохо себе представляю, как сервер провайдера может
насильно прислать что-либо моему клиенту. Кажется, клиент все-таки
тянет.


-- 
Regards,
 Michael Holzman

Re: [Comm] Непонятный траффик

[Sergey]

On Friday 04 July 2008, Michael Holzman wrote:

> BOOTP/DHCP, Reply,

а где request ?

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Comm] Непонятный траффик

[Michael Holzman]

2008/7/4 Sergey:
> On Friday 04 July 2008, Michael Holzman wrote:
>
>> BOOTP/DHCP, Reply,
>
> а где request ?
Правильный вопрос :-) Я request не обнаружил, хотя искал долго. Т.е.
идут потоком ответы без единого запроса.


-- 
Regards,
 Michael Holzman

Re: [Comm] Непонятный траффик

[Sergey]

On Friday 04 July 2008, Michael Holzman wrote:

> >> BOOTP/DHCP, Reply,
> >
> > а где request ?

> Правильный вопрос :-) Я request не обнаружил, хотя искал долго. Т.е.
> идут потоком ответы без единого запроса.

Всё чудесатее и чудесатее... (с) Алиса (если не ошибаюсь :-) )
А если посмотреть, какие процессы активны и пристреливать по одному ?
Или их много ?

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Comm] Непонятный траффик

[Michael Shigorin]

On Fri, Jul 04, 2008 at 02:22:52PM +0300, Michael Holzman wrote:
> > Значит, не компьютер качает, а ему шлют?
> Насколько я понимаю, DHCP на моей машине - это клиент, а не
> сервер.  BOOTP - тоже. Я плохо себе представляю, как сервер
> провайдера может насильно прислать что-либо моему клиенту.
> Кажется, клиент все-таки тянет.

В конце концов, поинтересоваться у провайдера?..

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] Непонятный траффик

[Michael Holzman]

2008/7/5 Sergey :
> А если посмотреть, какие процессы активны и пристреливать по одному ?
> Или их много ?
А их вообще нет. Активных. Стоит отойти от клавиатуры процессор уходит в 0.

А самое грустное, что через несколько часов этого безобразия, все
прекратилось. Без каких-бы то ни было моих телодвижений!

Видимо так и буду жить дальше, пережидая молча. А может и решу когда-нибудь :-)


-- 
Regards,
 Michael Holzman

Re: [Comm] Непонятный траффик

[Michael Holzman]

2008/7/6 Michael Shigorin:
> В конце концов, поинтересоваться у провайдера?..
Безнадега. Я пробовал в одно из предыдущих таких происшествий (в
пятницу был далеко не первый раз). Они так и не смогли понять в чем
проблема и как я вообще об этом узнал. Провайдер слышал слово Linux,
но что с ним делать не знает. Они наняли внешнюю фирму для работы с
такими как я. Последний раз на получение ответа ушло полторы недели.
За это время я сам все починил.
Про средства мониторинга поддержка представления не имеют. Уровень
знаний у них ниже всякой критики. Я, после пары попыток, стараюсь с
ними не общаться. Потому и пытался получить здесь помощь.


-- 
Regards,
 Michael Holzman