Как ловить флуд на Huawei MA5600

Однажды на порту одного из L3 коммутаторов Cisco 6509e, к которому был подключен Huawei MA5683T, я увидел что очень увеличился Multicast трафик, при этом загрузка CPU процессора коммутатора увеличилась на 30%.

Посмотреть счетчики пакетов на Huawei MA5683T можно через терминал:

enable
config
display gpon statistics ethernet 0/0 0
display gpon statistics ethernet 0/0 1
display gpon statistics ethernet 0/0 2
...

Обнаружив на каком GPON порту больше всего увеличивается значение счетчика, например broadcast или multicast трафика, потом также можно посмотреть счетчики пакетов для каждого ONT:

interface gpon 0/0
display statistics ont-eth 0 0 ont-port 1
quit

Однако для GPON портов более удобнее рисовать графики, так как счетчики только увеличиваются, а на графике визуально видно где поднималось и уменьшалось количество multicast и broadcast пакетов.

Кстати по SNMP почему-то OLT не отдавал информацию на ifInBroadcastPkts, ifInMulticastPkts и ifHCInOctets, а например на 32 битный счетчик ifInOctets отдавал, но это бессмысленно так как график выше 100 мб/с не будет рисоваться.

Смотрите также мою статью:
Список SNMP OID и MIB для интерфейсов

К счастью компания в которой я ловил флуд, использовала программу iManager U2000, в которой можно создавать графики по тем же счетчикам которые отображаются в терминале по команде выше.

Открыв программу я выбрал «Performance Monitoring Management» — «NE» — «Access» — «Port» — «GPON UNI Port» и создал для всех портов графики. А точнее, после того как выбрал порты для которых рисовать графики, я нажал «Create Monitoring Template» и создал свой шаблон, в котором выбрал:

During Collection Period GPON UNI Port Ethernet Statistics Template(Profile Mode)
+ Received discarded frames during collection period(frames)
+ Received broadcast frames during collection period(frames)
+ Received multicast frames during collection period(frames)
+ Received CRC error frames during collection period(frames)
+ Sent broadcast frames during collection period(frames)
+ Sent multicast frames during collection period(frames)

А также чтобы рисовались графики общего трафика на портах:

GPON UNI Up and Down Stream Rate Statistics Template(Profile Mode)
+ Upstream Rate(kbit/s)
+ Downstream Rate(kbit/s)

Время обновления статистики я выбрал «15 min».

В итоге по графиками я увидел что от одного из GPON портов начало приходить несколько тысяч Multicast пакетов в секунду, на графике это отображалось в миллионах, так как данные с GPON портов собирались каждые 15 минут (это 900 секунд), то есть если на графике 2 700 000 pkts / 900 sec = 3000 pkts/s.

Далее я посмотрел вручную счетчики на всех ONT этого GPON порта и нашел вредительский ONT, деактивировал его и флуд исчез.

Если перед OLT используется коммутатор Cisco, то на нем можно заблокировать неизвестный multicast и unicast трафик, например:

interface ethernet 1/28
switchport block multicast
switchport block unicast
storm-control multicast level 0.01

Смотрите также мои статьи:
Как ловить широковещательный флуд на D-Link
Как ловить широковещательный флуд на MikroTik
Как ловить широковещательный флуд на FoxGate