¿como solucionar la Saturación de red?

[josemendozar]

Hola a todos, hace algunas semanas postee un problema que tengo en mi red, creí que estaba solucionado con la asistencia de mi proveedor, pero luego de algunas semanas el problema a aparecido nuevamente, este es mi problema, tengo una red con 20 usuarios y un servidor de archivos que a su vez hace de PDC y DNS, el asunto es que desde el día lunes la conexión a internet es muy lenta, accedo con mucha dificultad a las paginas web, demoran en cargar y el envío y recepción de correo también es muy lento en algunos casos sale un cuadro de dialogo que dice que el tiempo de espera es muy prolongado (más de 60 segundo) y si se desea reintentar o esperar a que se envíe el correo, no he podido implementar aún un servidor proxy/firewall como me recomendaron anteriormente (estoy en eso) pero hasta que lo haga necesito saber como puedo descartar que es lo que está ocurriendo en la red, instalé el wireshark en el servidor de ficheros para analizar el tráfico de red, leí el manual de INTECO-CERT sobre este tema, pero aún tengo muchas dudas y creo que no lo estoy haciendo bien pues no visializo nada fuera de lo normal, asumo que al capturar el tráfico, las IPs que aparecen con más frecuencia son las que están generando tráfico, revisé todas las PCs en busca de virus, troyanos y demás y nada, mi conexión a internet sigue excesivamente lenta. Dentro de la red no hay problema, las maquinas acceden a los archivos del servidor y a carpetas compartidas en otras pcs sin problemas, la red en general se encuentra bien, es mi acceso a internet el que está lento, llamé a mi proveedor pero como siempre ellos dicen que todo marcha de las mil maravillas y lo que está mal es mi red, que tiene mucha saturación, ¿alguien tiene idea de como solucionar este problema?

[bufom]

Muy buenas,

1- Para salir de duda que no es el ISP podrias colocar una tu Pc esclava al modem y testiar tu conexion a internet e inclusive verificar tu velocidad con algun tester que existe en internet asi sabras tu velocidad de subida y bajada.
2- Podrias realizar pruebas despues de horas laborales, encender las 20 Pcs y ver la velocidad de la internet, desconectar una por una y viceversar.
3- Que las Pcs esten bien configuradas (mismo rango IP, mascara, puerta de enlace, DNS, mismo grupo de trabajo o dominio)...mencionas que tienes un servidor de DNS que el mismo este funcionando correctamente y envie los DNS a los clientes.
4- Prueba cambiando el switch, de repente este este generando muchos broadcast a la red.
5- Que marca de Router tienes? este ultimo bien configurado y que este haciendo NAT en la RED, si es de ultima generacion podrias crear reglas de filtrado web o de ancho de banda en el mismo.
6- Tarjetas de red viejas (NIC) también generan mucho broadcast a la red, revisa que todas esten funcionales.


suerte...

[josemendozar]

Hola a todos, disculpa por recien responder Bufom, sucede que estuve muy ocupado con esto de la red, no me dejaban respirar, para comenzar, segun mi proveedor ya solucionó el tema, era un problema, de ruido (interferencia en la señal, mi conexión con el proveedor es por antena), no he podido certificar esto ya que me avisaron cuando ya los usuarios se habían retirado y pues claro la conexion era super rápida. Te indico los pasos que seguí y si puedes orientarme aportando algo te agradeceré:

1.- como me indicaste conecté una laptop al modem y testee la conexión con una utilidad que me da el proveedor y con otras que hay por la web, mientras no hubieran muchos usuarios no había problema, pero al encontrarse ya todos laborando la conexión se iba al suelo, normalmente de bajada tengo 1.90 MB de velocidad y de subida tengo entre +-1.50Mb y +-95Mb, pero con todos los usuarios conectados es +-1.90Mb de bajada y +-0.09Mb de subida, todo un drama. Duarnte la noche fui encendiendo PC por PC, abriendo un explorardor y el outlook express y testeando la velocidad de la conexión con las utilidades y no hubo varianción, se mantenía en +-1.90Mb de bajada y +-1.50Mb de subida. Luego durante horas laborables, cuando ya la conexión estaba en el suelo, fui desconectando PCs por lapsos de 30 minutos y testenado la conexión cada 10 minutos y nada la conexión se mantenía entre +-1.90Mb de bajada y +-0.09Mb de subida.

2.- Borré la caché del DNS, pero no he checado si está resolviendo bien, ¿cómo lo hago? ¿con nslookup?

3.- El switch que tenemos es un D-Link de 24 puertos, no es administrable. Como no tengo otro lo reemplazé por 3 de 8 puertos, no sé que tan exitosa pudo ser esta prueba, lo cierto es que el asunto no varió se mantenía entre +-1.90Mb de bajada y +-0.09Mb de subida.

4.- Mi router es un Cisco Linksys (no recuerdo el modelo) pero si tiene la opción para crear reglas de filtrado web; sin embargo, para hacer uso de esta opción tengo que mandar una carta al proveedor solicitándolo pues no tengo acceso al router. Esto ya está en proceso.

5.- Revisé las tarjetas de red, lo hice con Ping 127.0.0.1 -t y ping www.google.com.pe -t, sin perdida de paquetes; sin embargo, ¿existe alguna mejor forma de hacerlo?

6.- revisé los historiales de las pcs (aún no tengo implementado el proxy/firewall) para ver que paginas estan revisando y a excepción de paginas de radio y paginas de video en un par de pcs no encontré nada especial.

7.- Revisé los programas instalados y no encontre ningún programa de descarga, chequé el inicio de cada maquina en busca de programas que requieran acceso a internet y nada, busqué virus y troyanos y nada.

Uffff!!! ya me cansé de sólo recordarlo. Claro si el error estaba en la antena es obvio que no iba ha encontrar nada; sin embargo, que sucede si el día lunes voy a trabajar y a pesar de los cambios hechos por el poveedor mi acceso a internet sique lento? que más puedo hacer ¿que harías tú? gracias por el tiempo. Saludos

[moeb]

Algo se te ha escapado.

Si resulta que NO es cosa de tu proveedor, y con tu ordenador solamente conectado al router la velocidad no baja, y que al ir conectando PCs, la velocidad cae... Lo qu eparece evidente es que alguno/algunos PCs están haciendo que eso ocurra.

Puede ser por descargadores automáticos, downloads de videos y/o MP3, actividad vírica, troyanos de spam, problemas hardware (tarjetas de red, switch), etc...

Como no lo sabes, y ya has revisado todo al parecer, Mientras no tengas centralizado un proxy/firewall, lo más fácil (aparte de un análisis de red que es bastante coñazo) es que ahgas de nuevo la prueba...

Hazla de varias formas: Con tu equipo conectado al router de salida y el resto apagado verifica de nuevo que la velocidad se mantiene estable... Luego ve encendiendo equipos UNO A UNO y verifica en que momento cae la velocidad... A ver si puedes identificar el/los PCs que te están provocando la caida.

Es un poco coñazo... Pero a falta de un punto centralizado desde el que verificar todo tipo de conexoines a otodo tipo de IPs/puertos externos, es lo más fácil que podrías intentar.

[terbium_lt]

amigo, seria util si nos mostraras un esquema de tu topologia de red.

pero de cajon noto que cambiaste tu switch de 24 por 4 de 8, esto ademas de generar latencia (si, mientras mas dispositivos de red haya se produce mas retardo) y otros problemas tambien evidencia que tienes un solo dominio de broadcast.

mi recomendacion a ciegas obviamente por no conocer con exactitud tu topologia de red es

adquiere un switch administrable, tomando en cuenta la cantidad de puntos de red que requieres actualmente y un extra por una posible expansion, te recomiendo uno de 48.
o mejor aun, si tienes suficientes recursos (aunque la inversion parezca grande en un principio notaras con el tiempo que tu red se ravaloriza pues disminuyes costos de administracion, aumentas disponibilidad y efectividad de la red etc) sigas un modelo de 3 capas (acceso, distribucion y nucleo) y compres 3 switches de 24 que tengan las sigueintes caracteristicas

administrables principalmente

dos de ellos deben tener
QoS
seguridad de puertos
puertos para uplink o para modulos trasnceiver para añadir enlaces troncales de fibra optica

el tercero debe tener las mismas caracteristicas pero con funcionalidad para capa tres (enrutamiento basico y ACL)

en fin, tomes el modelo de un switch o 3 switches la idea es que:

dividas en grupos segun el trafico generado, recursos a utilizar etc y les asignes una VLAN
que actives la calidad de servicio (QoS) en el o los switches asi como en el router


ademas puedes establecer algunas politicas, como restringir el acceso de ciertos usuarios o de todos a paginas que generan mucho trafico como youtube o cualquier otra de video streaming juegos en linea entre otras, esto mediante un proxy

hay otras cosas que puedes hacer pero en este momento solo recuerdo las que te mencione, cualquier duda preguntar.

que quede claro que solo pretendi darte una idea, pues son temas extensos, de todos modos sube el esquema de tu topologia de red para asi darte una solucion mas acertada

saludos

[josemendozar]

Hola a todos, disculpen la demora en responder pero he estado algo atareado, mi topologia es la siguiente:

router ---- switch --- patch panel ---- pcs

toda la red es de categoria 5

[URL="http://www.flickr.com/photos/66507297@N07/6054828270/"]http://www.flickr.com/photos/66507297@N07/6054828270/[/URL]

según mi proveedor:

línea color azul: Tráfico recibido por su enlace desde internet en kbps (download)
línea color verde: Tráfico enviado desde su enlace hacia internet en kbps (upload)

¿es normal que el tráfico de subida sea mayor al de bajada?

cualquier sugerencia será agradecida.

[moeb]

En absoluto.

Si no tienes servicios haci aInternet muy intensivos, y la gente de tu LAN navega y recibe correos de forma habitual, el tráfico de bajada debería ser SENSIBLEMENTE mayor (esa es la razón de que la mayor parte de las conexiones a Internet sean asimétricas... mayor caudal en bajada que en subida, porque se adapta perfectamente a los hábitos actuales de conexión a la red).

Eso huele a que:

a) Alguien está subiendo información a Internet sin que sepas de que se trata (mal rollo)... O enviando unos correos enormes (vídeos, pelis, CDs, música, etc...)

b) Tienes bastante actividad vírica/troyanos en tus PCs, lo que hace que se esté enviando la leche de SPAM desde tus máquinas internas.

Generalmente es una de estas dos opciones.

Sigues sin tener implementado el proxy ni controlada la salida de correo... Y sin verificar que equipos son los que te generan más tráfico. Dificilemente podrás ver cual es el problema exacto si no vas acotando... Creo yo.

[josemendozar]

Hola a todos, gracias moeb por las observaciones, la verdad los correos aqui son monstruosos, pero siempre me llamó mucho la atención este gráfico. estoy adquiriendo un nuevo servidor con el cual implementaré los servicios de proxy y firewall, pero hasta ese momento estoy atado de pies y manos, pensé en implementar el proxy en cualquier maquina mientras tanto, pero la verdad no me fio mucho, uso el nod 32 como antivirus y para los spyware utilizo el malware bytes, según ellos todo está bien, no hay bichos, si tienes alguna recomendación sobre antivirus o hábitos de administración, te lo agradeceré.

[moeb]

Pues... Aparte de centralizar tu salida a Internet a través de un proxy/firewall, tener antivirus en todos los equipos es necesario, tal y como estás haciendo (el NOD32 es excelente).

Es importante que tu S.O., antivirus estén permanentemente actualizados. Tambien sería recomendable que, mediante políticas de directorio activo si lo tienes, limitases la capacidad de tus usuarios para instalar cosas (y que no fuesen administradores en sus PCs locales)... Eso es algo más de chollo para tí, pero evita bastantes problemas relacionados con malware y "herramientas" de terceros.

Ahora mismo tienes un problema de ancho de banda... En cuanto tengas centralizada la salida a Internet, monitorízala. Observa de que máquinas sale tráfico hacia que IPs/puertos para verificar que el tráfico es legítimo.

Si detectas que los correos que estais mandando son muy gordos, cambia la política de envío de correo... El correo no está pensado para enviar archivos de 10MB (o de 300MB como he visto algún "listo" por ahí). Es un protocolo pensado para enviar texto (de ahí que necesite la codificación MIME para enviar adjuntos binarios, que hace crecer el tamaño del adjunto alrededor de un 30%... encima).

Asegúrate de que esos correos "grandes" son necesarios. Enviar ficheros grandes a través de Internet es algo que se ha generalizado, pero no es una gran idea (la gente cree que es como copiar archivos en una LAN... Y se equivocan pero mucho). Si hay que hacerlo es mejor usar el protocolo y herramientas adecuadas para ello.

Si quieren enviar ficheros grandes, buscaros un servicio de ftp, por ejemplo, Ahorrarás mucho ancho de banda y el trabajo será más eficiente.

Aparte de eso, de estar al dia en cuanto a parches y bugs, de empaparse de temas de seguridad y buscar alternativas mejores para dar los servicios que debes dar (estar siempre al loro de lo que va apareciendo, sobre todo en el mundo open source que suele ser muy interesante), poco más puedes hacer.

Yo diría que estás dando los pasos correctos... Montar un proxy/firewall es el siguiente paso lógico (más a más, con el problema que tienes entre manos). Establecer políticas de seguridad y protocolos de organización para que la gente las cumpla respecto a los recursos informáticos debería ser el objetivo después... El eslabón más débil en toda la cadena de prevención de problemas informáticos siempre es el usuario... Una buena educación y unas normas comprometidas por la empresa ayudan a que no sea traumático.

Una empresa que permite que cada uno trabaje "cómodo a su bola, con las herramientas que le gustan y que usa en casa, y con una copia que le ha dejado su primo el gurú", está abocada a perder la hostia de tiempo en cuanto empiezan a surgir los problemas... Y surgen. Y suelen aparecer cuando más prisa hay y más crítico es el tiempo...

Una mala organización y demasiada libertad informática al usuario es, contra lo que la gente suele creer, una pérdida constante de dinero, de tiempo y un mal empleo de los recursos. En su casa cada uno hace lo que le da la gana con sus ordenadores... Pero en una empresa, el administrador de sistemas debe ser DIOS en este tema. Para eso le pagan... ¿no?

[josemendozar]

Hola a todos, una pregunta, es posible que el tráfico de subida lo esté produciendo mi switch central o mi router? como puedo testear ambos equipos? aclaro que mi switch no es administrable, gracias.

[RaanMavi]

Iniciado por josemendozar

Hola a todos, una pregunta, es posible que el tráfico de subida lo esté produciendo mi switch central o mi router? como puedo testear ambos equipos? aclaro que mi switch no es administrable, gracias.

Por si solos no, ¿Que tal si implementas un proxy de prueba en una máquina que te esté sobrando?

Saludos

[josemendozar]

Hola a todos, la verdad, el lugar donde trabajo es un estudio de abogados pequeño, 22 usuarios, ninguna maquina me sobra a no ser de una pentium III con 784 Mb de RAM y 80 de disco, ¿podré implementar el proxy en esta pc mientras adquiero mi nuevo fierro?

[josemendozar]

Hola a todos, esta semana monte un servidor router linux, mediante la herramienta tcptrack monitorié la red y salvo 2 pcs, el resto no hacían tráfico. las puebas las hice en horas en las que no habían usuarios, fue así que me percaté de estas dos pcs. Luego noté que una IP de internet se conectaba a una PC dentro de mi LAN y ocasionaba cierto tráfico, analizé la pc en busca de virus y malware, resultó que la pc tenía 10 trojanos, los eliminé; sin embargo, En ciertas horas como las 11:00 de la mañana y las 5:30 de la tarde la conexión se vuelve lenta y en ocasiones hasta se corta por 5 o 6 minutos. Voy a tratar de montar un servidor proxy para restringir el acceso a internet, pero no me parece que fuera por consumo, pues según lo mostrado por el tcptrack, el consumo no es muy intensivo. cualquier luz sobre este tema les agradeceré mucho.

[moeb]

Pues poco más te podemos comentar sobre este tema, la verdad...

Si tienes unas horas concretas a las que te va mal, tendrás que ver que tipo de tráfico se realiza a esas horas...

Para empezar, cierra puertos en el firewall Linux (deja sólo los de correo), y monta el proxy (permite tráfico HTTP y HTTPS).

Despues verifica el tráfico web en los logs del proxy, a ver si te da alguna pista... Incluso podrías cerrar los puertos de correo un dia (problemas "indetermiandos con el servidor de correo", por ejemplo :)) y ver si sin ningún puerto de salida abierto, la velocidad cae solo con el tráfico web a través del proxy...

Es decir, ve "eliminando opciones", como te comentamos a lo largo del hilo...

[josemendozar]

Hola a todos, primero agradecer su ayuda, logré, finalmente, solucionar este tema. como me indicó moeb, cerré todos los puertos del firewall, al hacerlo, noté que habían muchas conexiones al puerto 139 y 137, averiguando, llegué a la conclusión que era un problema de protocolos, así que quité de todas la tarjetas el protocolo NETBIOS sobre TCP/IP, además de quitar el servicio WINS de cada PC (sí lo sé, no dije nada de tener activado este servicio, me disculpo por eso, pero yo tampoco lo sabía) al hacerlo, la red comenzó a volar jeje;sin embargo, ahora no puedo navegar por mis sitios de red. Sólo tengo activado este servicio y este protocolo en las máquinas Win XP Home y Win 98 (sólo dos), sólo espero que esta sí sea la solución y dentro de unos días no se vuelva a caer la red. Realmente el servidor Firewall/Proxy es muy útil. Ahora, como he adquirido un switch administrable (HP v1905-24 o 3com Baseline 2226) me dedicaré a investigar sobre la calidad de servicio, de tal manera de poder darle mayor ancho de banda a quienes realmente lo necesitan, pero lo hare en un nuevo post, ahora sí doy por cerrado este tema, muchas gracias nuevamente. nos escribimos.