что происходит в сети?

[biruk Профиль]

залез на сервачек в филиале, запустил
~# tcpdump -nvi eth0 not host adminwks
и вижу такую фигню:

17:57:10.900723 802.1d config 8000.00:30:85:60:81:4e.800d root 8000.00:30:85:60:81:4e pathcost 0 age 0 max 20 hello 2 fdelay 15
17:57:11.621891 802.1d config 8000.f2:1a:20:d1:c8:d1.8001 root 8000.f2:1a:20:d1:c8:d1 pathcost 0 age 0 max 8 hello 2 fdelay 5
17:57:11.638396 802.1d config 8000.12:80:05:db:c8:d3.8001 root 8000.12:80:05:db:c8:d3 pathcost 0 age 0 max 8 hello 2 fdelay 5
17:57:11.900198 802.1d config 8000.00:30:85:60:81:4e.800d root 8000.00:30:85:60:81:4e pathcost 0 age 0 max 20 hello 2 fdelay 15
17:57:12.901425 802.1d config 8000.00:30:85:60:81:4e.800d root 8000.00:30:85:60:81:4e pathcost 0 age 0 max 20 hello 2 fdelay 15
17:57:13.627977 802.1d config 8000.f2:1a:20:d1:c8:d1.8001 root 8000.f2:1a:20:d1:c8:d1 pathcost 0 age 0 max 8 hello 2 fdelay 5
17:57:13.634044 802.1d config 8000.12:80:05:db:c8:d3.8001 root 8000.12:80:05:db:c8:d3 pathcost 0 age 0 max 8 hello 2 fdelay 5
17:57:13.923066 802.1d config 8000.00:30:85:60:81:4e.800d root 8000.00:30:85:60:81:4e pathcost 0 age 0 max 20 hello 2 fdelay 15
17:57:14.922531 802.1d config 8000.00:30:85:60:81:4e.800d root 8000.00:30:85:60:81:4e pathcost 0 age 0 max 20 hello 2 fdelay 15
17:57:15.617242 802.1d config 8000.f2:1a:20:d1:c8:d1.8001 root 8000.f2:1a:20:d1:c8:d1 pathcost 0 age 0 max 8 hello 2 fdelay 5
17:57:15.644862 802.1d config 8000.12:80:05:db:c8:d3.8001 root 8000.12:80:05:db:c8:d3 pathcost 0 age 0 max 8 hello 2 fdelay 5
17:57:15.924120 802.1d config 8000.00:30:85:60:81:4e.800d root 8000.00:30:85:60:81:4e pathcost 0 age 0 max 20 hello 2 fdelay 15
17:57:16.926027 802.1d config 8000.00:30:85:60:81:4e.800d root 8000.00:30:85:60:81:4e pathcost 0 age 0 max 20 hello 2 fdelay 15
17:57:17.615640 802.1d config 8000.f2:1a:20:d1:c8:d1.8001 root 8000.f2:1a:20:d1:c8:d1 pathcost 0 age 0 max 8 hello 2 fdelay 5
17:57:17.641853 802.1d config 8000.12:80:05:db:c8:d3.8001 root 8000.12:80:05:db:c8:d3 pathcost 0 age 0 max 8 hello 2 fdelay 5
17:57:17.928059 802.1d config 8000.00:30:85:60:81:4e.800d root 8000.00:30:85:60:81:4e pathcost 0 age 0 max 20 hello 2 fdelay 15
17:57:18.948578 802.1d config 8000.00:30:85:60:81:4e.800d root 8000.00:30:85:60:81:4e pathcost 0 age 0 max 20 hello 2 fdelay 15
17:57:19.624846 802.1d config 8000.f2:1a:20:d1:c8:d1.8001 root 8000.f2:1a:20:d1:c8:d1 pathcost 0 age 0 max 8 hello 2 fdelay 5
17:57:19.641166 802.1d config 8000.12:80:05:db:c8:d3.8001 root 8000.12:80:05:db:c8:d3 pathcost 0 age 0 max 8 hello 2 fdelay 5
17:57:19.929676 802.1d config 8000.00:30:85:60:81:4e.800d root 8000.00:30:85:60:81:4e pathcost 0 age 0 max 20 hello 2 fdelay 15
17:57:20.931156 802.1d config 8000.00:30:85:60:81:4e.800d root 8000.00:30:85:60:81:4e pathcost 0 age 0 max 20 hello 2 fdelay 15


т.е за 10 сек 20 сообщений. это нормально?
как такое может быть?

ps: eth0 - это интерфейс который смотрит в инет.

[Harry33 Профиль СайтICQ]

Это не нормально это надо ругаться с провом на предмет просачивающегося от него не заказанного трафика.

[PavelKHTW Профиль]

[Harry33 Профиль СайтICQ]

вполне нормально. незаказанный трафик - трафик, связанный с неверными настройками интерфейса со стороны провайдера. Чаще всего наблюдается в случаях, когда интернет отдается по eth интерфейсу и помимо тебя его получают еще несколько соседних контор. Бродкаст и прочие радости жизни. И кстати подобная накрутка действительно выгодна провайдеру. Если изначально не оговаривается что подсчет трафика ведется с двух сторон и при значительном расхождении не всегда спор решается в пользу оператора связи. Реально на практике с првайдерами приходилось спорить на эту тему и не однократн.
В любом случае необходимо определить источник флуда.

[biruk Профиль]

почтал договор с провайдером, ничего сделать с этим не можем
кстати, по логам провайдера (он сам прислал, типа вот все ваши ходы записаны), выходит что шел досточно сильный скан с разных хостов (>800)
правда, трафик скана, на порядки меньше чем юзеры накачали

интересно, кто-нибудь отражал такие ситуации в договорах с провайдером?
имются ввиду скан (входящий трафик!) и всякий служебный (spannig tree ) и бродкасты на внешнем интерфейсе.

[Harry33 Профиль СайтICQ]

biruk
Бродкасты да, можно отразить а вот со сканом на много сложнее.
Бродкаст как таковой - широковещательный трафик ясное и понятное определение, а вот сканирование портов так однозначно не определить.