Почему дуплицируются ack пакеты?

Question

[cascado]

Добрый день. С недавнего времени упала производительность сети, а конкретно пользователей remoteapp и сетевого приложения, симптом - жуткие лаги приложений. При анализе сети сниффером Wireshark было установлено, что 95% трафика занимают пакеты "TCP Dup ACK" между двумя виртуальными машинами на одном физическом сервере, причем строго в одну сторону, на машине - отправителе развернут IIS (виртуалки обе Win 2008 R2), на второй сервер приложений remoteapp. Трафик пользователей как раз проходит через этот маршрут. Подскажите, что это может быть, в какую сторону копать? Скрин с WIreshark-а - https://yadi.sk/i/vrkwpQxPcu7Bc. Причем такое поведение сети происходит только при хотя бы минимальной нагрузке на сервер приложений, т.е. работают сотрудники. Заранее спасибо.

Answer 1

[throughtheether]

Я навскидку оценил интенсивность трафика (дублирующихся ack-сегментов) в 2700 пакетов в секунду. На мой взгляд, это многовато для штатной работы TCP. Склоняюсь к мысли об L2-петле. Пронаблюдайте уровень трафика на ключевых линках в момент наблюдения проблемы. Также опишите, пожалуйста, как организована виртуальная сеть между хостами, сколько сетевых интерфейсов на каждом из хостов, как они настроены. На физическом сервере сколько физических интерфейсов? Как они настроены? Как настроены порты устройства, в которое он подключен? На этом физическом сервере есть еще виртуальные хосты?

Comments

[cascado]

Дерьмовая прошивка на промышленном Netgear, который висел за главного, похоже на петлю. Боже, это было 2 года назад)

Answer 2

[Валентин]

Скриншот закрыт. Может троян какой-нибудь DDOS устраивает? А может петля l2 где-нибудь?

Comments

[throughtheether]

Скриншот закрыт.

Точка лишняя в конце ссылки.

[Валентин]

throughtheether: спасибо. походу так и получается, что либо троян, либо какой-то пользователь устраивает ackflood. Жаль, не видно количество syn и ack+syn трафика. Но если их нет, значит кольца скорее всего тоже нет.