[Sysadmins] pcap - потеря пакетов

[Sysadmins] pcap - потеря пакетов

[Eugene Prokopiev]

Здравствуйте!

Есть порт на коммутаторе, в который за минуту насыпается десяток гиг
(mirroring-group monitor-port), а еще есть 2 идентичных сервера (IBM
x3250 с Broadcom Corporation NetXtreme BCM5721 Gigabit Ethernet PCI
Express) c Windows 2003 SP2 и ALT t6/branch, на обоих установлен
tshark. Запускаю примерно так:

tshark -f "udp port 2944" -i интерфейс

И вот тут разница - виндовый сервер отлавливает все необходимое,
линуксовый вообще ничего не отлавливает. И даже если снять фильтр, то
в отловленном никаких UDP-пакетов через требуемый порт не наблюдается.

Аналогичным образом ведут себя все pcap-based-снифферы (а какие еще
бывают?). Гугл ничего путного не предложил, может кто тут сталкивался
с таким поведением?

-- 
С уважением,
Прокопьев Евгений

Re: [Sysadmins] pcap - потеря пакетов

[Eugene Prokopiev]

> 1. Promiscuous mode на чипе интерфейса точно включился? Точно-точно? А убедиться в этом можно?

Включился, т.к. с ключем -p вообще ничего не ловится

> 2. Идентичные серверы != одинаковые. Что если изготовить третий сервер, тестовый, и напялить ему пробную Windows 2003 и    ALT t6/branch, причем именно в таком порядке, чтобы получалась мультизагрузка? А ещё лучше, за компанию, ещё и ALT p5/branch?
> Как тогда поведёт себя tshark?

Удалось загрузить на сервере с Windows 2003 livecd на базе ALT
p5/branch - и имевшийся там tcpdump отработал нормально. Т.е. под
подозрением помимо версии libpcap еще объем RAM (на винде он вчетверо
больше) и x86_64 (т.к. livecd был i586) - никаких других видимых
различий нет

--
С уважением,
Прокопьев Евгений

Re: [Sysadmins] pcap - потеря пакетов

[Eugene Prokopiev]

Как ни удивительно, виноватым оказалось ядро el-smp, помогла замена на std-def.

-- 
С уважением,
Прокопьев Евгений

Re: [Sysadmins] pcap - потеря пакетов

[Anton Farygin]

25.11.2011 14:44, Eugene Prokopiev пишет:
> Как ни удивительно, виноватым оказалось ядро el-smp, помогла замена на std-def.

Серьёзная новость.

Повесьте ошибку ?

Re: [Sysadmins] pcap - потеря пакетов

[Eugene Prokopiev]

https://bugzilla.altlinux.org/26626

-- 
С уважением,
Прокопьев Евгений

Re: [Sysadmins] pcap - потеря пакетов

[Dubrovskiy Viacheslav]

25.11.2011 05:44, Eugene Prokopiev пишет:
> Как ни удивительно, виноватым оказалось ядро el-smp, помогла замена на std-def.
>
А какая сетевая и какой модуль для неё?

-- 
WBR,
Dubrovskiy Viacheslav

Re: [Sysadmins] pcap - потеря пакетов

[Eugene Prokopiev]

> А какая сетевая и какой модуль для неё?

См. первое сообщение и:

# ethtool -i none
driver: tg3
version: 3.119
firmware-version: 5721-v3.65, ASFIPMI v6.24
bus-info: 0000:03:00.0

-- 
С уважением,
Прокопьев Евгений

Re: [Sysadmins] pcap - потеря пакетов

[Sergey]

On Saturday 26 November 2011, Eugene Prokopiev wrote:

> # ethtool -i none
> driver: tg3
> version: 3.119
> firmware-version: 5721-v3.65, ASFIPMI v6.24
> bus-info: 0000:03:00.0
 
У меня поток значительно поменьше, правда, но ловится. А проверялось
с маленьким потоком ? И информацию про драйвер и про сетевую карту бы
тоже в баг.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] pcap - потеря пакетов

[Eugene Prokopiev]

> У меня поток значительно поменьше, правда, но ловится. А проверялось
> с маленьким потоком ?

С маленьким ловится, но все ли - зуб уже не дам ;)

> И информацию про драйвер и про сетевую карту бы
> тоже в баг.

уже

-- 
С уважением,
Прокопьев Евгений

Re: [Sysadmins] pcap - потеря пакетов

[Sergey]

On Saturday 26 November 2011, Eugene Prokopiev wrote:

> > У меня поток значительно поменьше, правда, но ловится.
> > А проверялось с маленьким потоком ?
> 
> С маленьким ловится, но все ли - зуб уже не дам ;)

Я в баге написал, что у меня получилось. Это бы подтвердить или
опровергнуть... Потому как вот это "С маленьким ловится" выпадает
из моего варианта.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] pcap - потеря пакетов

[Dubrovskiy Viacheslav]

[-- Attachment #1: Type: text/plain, Size: 592 bytes --]

26.11.2011 06:05, Eugene Prokopiev пишет:
>> А какая сетевая и какой модуль для неё?
> См. первое сообщение и:
>
> # ethtool -i none
> driver: tg3
> version: 3.119
> firmware-version: 5721-v3.65, ASFIPMI v6.24
> bus-info: 0000:03:00.0
>
Я бы попробовал поставить pf_ring и модуль сетевухи с его поддержкой. А
так-же патченную libpcap.
В любом случае libpcap на таких объемах будет терять пакеты.

-- 
WBR,
Dubrovskiy Viacheslav


[-- Attachment #2: Криптографическая подпись S/MIME --]
[-- Type: application/pkcs7-signature, Size: 4903 bytes --]

Re: [Sysadmins] pcap - потеря пакетов

[Sergey]

On Friday, November 25, 2011, Eugene Prokopiev wrote:

> Как ни удивительно, виноватым оказалось ядро el-smp, помогла
> замена на std-def.

Ещё подумалось. Может попробовать LiveCD с CentOS ? На сколько
я понимаю, ядро там должно быть похожее. И ovz-el до кучи...

-- 
С уважением, Сергей
a_s_y@sama.ru