[2003] Bron van hoge netwerkbelasting vinden

[Profidiam]

Sinds een tijd hebben we "last" van een hoge netwerkbelasting. Van onze 2003 domein controller naar een groot aantal van onze cliënt pc's. Het kan zijn dat dit normaal verkeer is, maar voor +- 200 pc's vind ik 60 mbit nogal veel. De gebruikers klagen ook van een zekere traagheid, vandaar dat we dit toch verder uitzoeken.

We hebben het verkeer al eens via ethereal en ntop bekeken en het is voor 99% verkeer dat via de microsoft-ds poort loopt (445) dit is de poort die windows gebruikt om smb verkeer over TCP te sturen, dus volgens mij vooral het gebruiken van shares en overzetten van bestanden tussen windows systemen. Daarom lijkt dit legitieme traffiek te zijn. De cliënts zijn virus- en spywarevrij bevonden.

De server is een 2003 R2 server, met daarop roaming profiles en de redirected desktop, application data en my documents. We gebruiken dus zowel een profiel dat op de server staat als die redirection, omdat er blijkbaar nog een aantal dingen niet meegenomen worden als we enkel redirecten.

Nu vraag ik mij af of er een soort tool bestaat die we op onze server kunnen gebruiken om uit te vissen welke files via het netwerk opgevraagd worden. Op deze manier zien we welk deel van onze server deze traffiek uitdeelt.

[Verwijderd]

Heb je toevallig de virusscanners op de clients zo ingesteld staan dat ze netwerkshares "on access" scannen?

[Profidiam]

Wij gebruiken AVG en ik heb daarnet alle netwerkstations op de exclusion list gezet. Misschien was dit het probleem.

[elevator]

Ik ga je topic even naar Windows Servers en Server-software verplaatsen aangezien het me daar beter op z'n plek lijkt

Verder - met fsmgmt.msc op je server kan je onder 'Open files' zien welke files er geopend zijn over het netwerk maar je kan daar geen specifieke splitsing maken per client. Ik denk dat je moet beginnen met eens te monitoren of je traffic afneemt naar gelang je actieve clients afnemen (bijvoorbeeld na werkuren als dat bestaat, of tijdens een nationale / internationale feestdag als je een 24/7 bedrijf bent)

Windows Clients >> Windows Servers en Server-software

[Fish]

filemon www.sysinternals.com

http://www.microsoft.com/.../FileAndDisk/Filemon.mspx

[ Voor 56% gewijzigd door Fish op 13-02-2007 21:53 ]

[Profidiam]

Fish, filemon geeft mij enkel de files die gebruikt worden vanop de lokale pc en ik heb last van een hoge netwerkbelasting.

Ik heb nog een tijdje NTOP gedraaid. Deze zegt mij dat het voornamelijk tcp traffiek is op poort 445 (microsoft-ds). Dit zou dus het 'normale' gebruik van windows shares moeten zijn.

De traffiek neemt inderdaad af als de cliënt pc's uistaan.

Is er geen manier om op ene fileserver te zien welke files opgevraagd worden? Ik heb me suf gezocht naar een programma dat dit kan, maar niets gevonden. De traffiek sniffen leert je ook niets over welke files gebruikt worden.

Ik heb auditing aangezet, maar dit is zodanig uitgebreid dat ik wsl een programma moet schirjven om dit te kunnen interpreteren, daarom zoek ik iets dat toch meer werkbaar is.

[Verwijderd]

Profidiam schreef op dinsdag 27 februari 2007 @ 16:16:
Is er geen manier om op ene fileserver te zien welke files opgevraagd worden? Ik heb me suf gezocht naar een programma dat dit kan, maar niets gevonden. De traffiek sniffen leert je ook niets over welke files gebruikt worden.

Ik heb auditing aangezet, maar dit is zodanig uitgebreid dat ik wsl een programma moet schirjven om dit te kunnen interpreteren, daarom zoek ik iets dat toch meer werkbaar is.

gewoon basic kijken wat er benadert wordt staat in compmgmt.msc > shared folders > sessions en open files.

[Profidiam]

iis5, inderdaad, maar dan moet ik toch een soort script maken dat mij dit elke second naar een file dumpt en dit dan inleest, want op deze manier kan je toch geen serieuze statistiek maken ...

Dan zal ik toch maar aan het scripten gaan.

[WaSteiL]

Waarom gebruik je geen Performance Monitor i.c.m. object "Server" en counters zoals: "files open". Je kan dan een redelijk historisch beeld krijgen.

Oja zet er ook even je Bytes Total/Sec van je Network Connection bij zodat je kan kijken of dit ongeveer met elkaar communiceert.

[ Voor 31% gewijzigd door WaSteiL op 28-02-2007 16:14 ]

[Verwijderd]

Profidiam schreef op dinsdag 27 februari 2007 @ 16:37:
iis5, inderdaad, maar dan moet ik toch een soort script maken dat mij dit elke second naar een file dumpt en dit dan inleest, want op deze manier kan je toch geen serieuze statistiek maken ...

Dan zal ik toch maar aan het scripten gaan.

pfff

net share >txt.file
net file >txt.file
net session >txt.file

elke seconde dumpen? denk niet dat je server veel diskruimte overheeft in een dagje

naar mijn idee heb je hier alleen niks aan. Je moet gewoon kijken of er geen gekke dingen openstaan. Door op die plek te kijken via de gui, kan je al snel een beeld vormen wat er benadert wordt.
Om een beeld te krijgen van hoevaak er iets geopend wordt, kan je idd beter naar performance counters kijken (hoeveel connecties is normal etc)

[ Voor 33% gewijzigd door Verwijderd op 28-02-2007 17:52 ]

[GrooV]

Bij computer management, Shares, open files kan je zien welke files nu gebruikt worden. Verder moet je kijken hoe groot de profielen van de gebruikers zijn. Soms hebben mensen tig gb's aan prive zooi op hun desktop/my documents staan.

En wat is de network load bijvoorbeeld savonds of in het weekend als er geen of minder gebruikers aan het werk zijn?

[ Voor 20% gewijzigd door GrooV op 28-02-2007 23:20 ]

[Profidiam]

Na dit wat in de gaten te houden, heb ik gezien dat avg wel heel fel zijn update map gebruikte (20pc's = 100mbit). De map is nu aangepast, zodat ze daar geen rechten mee rop hebben en ik heb contact opgenomen met grisoft om dit te bespreken.

[Verwijderd]

Ik had de laatste dagen ook last van veel verkeer naar de server toe, na een uitgebreid onderzoek kwam ik erachter dat het om Windows Desktop Search ging, ie was al die tijd aan het indexeren, dus ook in de shares.

Misschien is dit het wel?