Broadcast storm da MPS056B320

[Stefano]

In questi giorni ho riscontrato dei problemi di rete ethernet in un sito con vari SlimLine.

Non capivo bene cosa stesse succedendo. Dopo vari sniffing sulla rete mi sono accorto che 5 di questi stavano facendo una miriade di richieste arp al secondo per trovare l’ip del gateway di rete. Ma dopo la risposta ARP non vi erano altri pacchetti che facessero iniziare un ping o una connessione.

Esempio: 19:01:37.636602 arp who-has 172.18.255.254 tell 172.18.6.12

Pensando che fosse un problema di switch l’ho spento e riacceso. Lo storm è continuato ma stavolta lo storm di broadcast era così fatto:

19:27:13.277914 Broadcast arp 60: arp who-has 0.0.0.0 tell 0.0.0.0

Ed i MAC address che lo originavano erano i MAC dei 5 SlimLine di prima.

Dopo averli spenti e riaccesi è tornato tutto a funzionare alla normalità.

I dispositivi sono tutti MPS056B320 con FW SFW210C010, tutti con lo stesso programma e tutti con un uptime di circa 54 giorni.

Il programma esegue la sincronizzazione dell’RTC con SNTPRequest  (eLLabNetworkLib Sfr079d000) ogni mezz’ora.

Per questioni di DEBUG invia un messaggio Syslog al cambiamento dei segnali all’ingresso. La frequenza di invio è circa un messaggio ogni 30 secondi.
Il codice usato per Syslog è quello presente nella FB SysUDPClient

 

 

 

[Sergio Bertana]

Stò cercando di capire cosa può essere successo.

Quando dici “dopo la risposta ARP non vi erano altri pacchetti che facessero iniziare un ping o una connessione” immagino tu stessi spiando con Wireshark con il PC connesso ad una delle porte dello switch. E se sullo switch non hai abilitato il port mirroring quello che potevi spiare erano solo i pacchetti ARP inviati in broadcast perchè tutti gli altri individuato il MAC sarebbero stati inviati alla porta corretta dello switch e non alla porta in cui è connesso il PC.

Lo SlimLine invia i pacchetti ARP con un ritardo di ca 5 secondi, ma avendo 5 SlimLine sulla rete il tuo PC vedeva probabilmente i pacchetti ARP di tutti e 5 i sistemi.

Come sono impostati i sistemi, in DHCP o con IP statico?

 

[Stefano]

Ciao,

l’ispezione dei pacchetti è stata fatta dall’interfaccia di rete del gateway a cui erano destinati i pacchetti, che è un server linux, quindi ti confermo che arrivavano solo richieste arp.
Il rate dei pacchetti non era uno ogni 5 secondi per MAC, non ho il conto preciso ma saranno stati almeno 500 al secondo per ogni MAC.

Gli Slimline sono configurati in DHCP.
Dopo il riavvio fisico dei dispositivi le richieste sono tornate ad un rate simile a quanto hai descritto: una ogni 5 secondi più o meno.

I dispositivi sono interrogati via modbus tcp ogni 250ms.
Per la struttura della rete devono passare da GW durante le risposte modbus e per le query SNTP.
Il Syslog è verso un server presente nello stesso dominio di broadcast quindi il GW non è coinvolto.

A naso sembrerebbe che qualcosa sia andato storto sullo stack ip.
La modifica più recente fatta al SW è quella dell’invio dei messaggi Syslog di debug, quindi non so se il problema sia quello o se sia un caso.

[Autore]

Post