Heel netwerk plat door 1 kabeltje

[BramT]

Gisteren ging hier het complete bedrijfsnetwerk plat. Nou bleek dat te komen omdat iemand per ongeluk in een spreekkamer een UTP kabel met beide kanten in dezelfde switch had geprikt.

Nou is dat op zichzelf een domme/onnodige actie, maar hoort een beetje netwerk daar niet tegen te kunnen? Met zo'n ouderwetse 'hub' kan ik me dat nog wel voorstellen...

[CyBeR]

Ja, mits configureerd. Om dat te voorkomen bestaat o.a. STP maar dat moet dan natuurlijk wel aan staan.

[Cor453]

Broadcast storm protection zit volgens mij standaard in een aantal Netgear switches uit hun enterprise-lijn. Het is iets wat bijna niet te voorkomen is, omdat zo'n broadcast storm niet altijd af te vangen is. Het beste werkt het goed informeren van je gebruikers over de gevolgen hiervan.

http://documentation.netg...-02/GS700TS_UM-08-11.html

[ Voor 12% gewijzigd door Cor453 op 19-06-2014 11:47 ]

[NeHoX]

Welke Switch hangt er? HP heeft het ook die zet gewoon de poortjes uit.

[Cor453]

NeHoX schreef op donderdag 19 juni 2014 @ 11:48:
Welke Switch hangt er? HP heeft het ook die zet gewoon de poortjes uit.

Ik heb alleen ervaring met Netgear, maar ik weet dat HP inderdaad ook een effectieve manier heeft. Volgens mij moet je gewoon een goede switch aanschaffen met Storm Control, dan zit je al een stuk beter.

[The Realone]

Cor453 schreef op donderdag 19 juni 2014 @ 11:46:
Broadcast storm protection zit volgens mij standaard in een aantal Netgear switches uit hun enterprise-lijn. Het is iets wat bijna niet te voorkomen is, omdat zo'n broadcast storm niet altijd af te vangen is. Het beste werkt het goed informeren van je gebruikers over de gevolgen hiervan.

http://documentation.netg...-02/GS700TS_UM-08-11.html

Volgens mij is dat juist prima af te vangen mits gebruik gemaakt wordt van de juiste technieken. STP kan dit probleem oplossen, maar HP heeft bijvoorbeeld ook loop-protect in hun switches zitten en volgens mij is dat bij Cisco niet anders.

[ExploitSolo]

Wikipedia: Spanning tree protocol ?

[Cor453]

The Realone schreef op donderdag 19 juni 2014 @ 11:49:
[...]


Volgens mij is dat juist prima af te vangen mits gebruik gemaakt wordt van de juiste technieken. STP kan dit probleem oplossen, maar HP heeft bijvoorbeeld ook loop-protect in hun switches zitten en volgens mij is dat bij Cisco niet anders.

Ik bedoelde dat het zonder switches met die mogelijkheid moeilijk is. Er zijn er genoeg (zeker de semi-consumenten meuk) die niet beveiligd is op zulk soort dingen en dan plat gaat. Cisco doet het, Netgear doet het, HP doet het, maar er zijn genoeg switches die dit niet doen.

[ Voor 7% gewijzigd door Cor453 op 19-06-2014 11:52 ]

[Dennism]

BramT schreef op donderdag 19 juni 2014 @ 11:42:
Gisteren ging hier het complete bedrijfsnetwerk plat. Nou bleek dat te komen omdat iemand per ongeluk in een spreekkamer een UTP kabel met beide kanten in dezelfde switch had geprikt.

Nou is dat op zichzelf een domme/onnodige actie, maar hoort een beetje netwerk daar niet tegen te kunnen? Met zo'n ouderwetse 'hub' kan ik me dat nog wel voorstellen...

Mits je inderdaad je netwerk correct configureert kan een netwerk daar prima tegen, spanning tree op de meeste managed switches of loop-protect op HP switches bijvoorbeeld vangen dit prima af. Eigenlijk alle grote vendors hebben wel een of meerdere functies in hun switches zitten om dit tegen te gaan.

Daarnaast misschien er voor zover dat er ook geen losse switches in spreekkamers staan, en geen rondslingerende UTP kabels.

Cor453 schreef op donderdag 19 juni 2014 @ 11:51:
[...]


Ik bedoelde dat het zonder switches met die mogelijkheid moeilijk is. Er zijn er genoeg (zeker de semi-consumenten meuk) die niet beveiligd is op zulk soort dingen en dan plat gaat. Cisco doet het, Netgear doet het, HP doet het, maar er zijn genoeg switches die dit niet doen.

Semi consumenten meuk hoort niet zakelijk ingezet te worden, Netgear vind ik trouwens ook niet de kwaliteit beiden die zakelijk nodig is, teveel problemen mee gehad. Dan kan je imho beter een HP instap switch uit dezelfde prijsklasse pakken.

[ Voor 26% gewijzigd door Dennism op 19-06-2014 12:00 ]

[DarkSide]

yep wel vaker meegemaakt. Alles netjes geconfigureerd op de bedrijfs switches.
Maar dan vind iemand het handig om zijn sitecom van thuis mee te nemen voor een test opstelling. En plugt daar dan per ongeluk de kabel verkeerd met als gevolgd dat het netwerk plat gaat.....

[BramT]

Is dat echt zo makkelijk ja? Dus ik kan een willekeurig gebouw binnen lopen, mijn netwerkbom (domme switch met kabeltje in loop) inpluggen en presto? Slecht zeg...

[Delta2]

DarkSide schreef op donderdag 19 juni 2014 @ 12:04:
yep wel vaker meegemaakt. Alles netjes geconfigureerd op de bedrijfs switches.
Maar dan vind iemand het handig om zijn sitecom van thuis mee te nemen voor een test opstelling. En plugt daar dan per ongeluk de kabel verkeerd met als gevolgd dat het netwerk plat gaat.....

Dan is dus niet alles netjes geconfigureerd op de bedrijfs switches.
Netjes configureren betekend dat je minimaal toch wel STP enabled op je Access Layer (liefst natuurlijk met BPDU/rootguard).
Kun je switches inprikken wat je wilt, daar gaat je netwerk dan echt niet van plat (op je aangesloten switchje na )

[looc]

BramT schreef op donderdag 19 juni 2014 @ 11:42:
Gisteren ging hier het complete bedrijfsnetwerk plat. Nou bleek dat te komen omdat iemand per ongeluk in een spreekkamer een UTP kabel met beide kanten in dezelfde switch had geprikt.

Nou is dat op zichzelf een domme/onnodige actie, maar hoort een beetje netwerk daar niet tegen te kunnen? Met zo'n ouderwetse 'hub' kan ik me dat nog wel voorstellen...

Als spanning tree protocol aanstaat, dan is er niks aan de hand.
Zoniet dan krijg je dus een broadcast storm en dat legt inderdaad heel je netwerk plat

[Pittie]

BramT schreef op donderdag 19 juni 2014 @ 12:17:
Is dat echt zo makkelijk ja? Dus ik kan een willekeurig gebouw binnen lopen, mijn netwerkbom (domme switch met kabeltje in loop) inpluggen en presto? Slecht zeg...

Nu ben ik wel benieuwd naar het waarom?
Waarom gaat je netwerk dan down? Kortsluiting? Server die dat niet begrijpt?

Edit..

Een broadcast storm dus

[ Voor 5% gewijzigd door Pittie op 19-06-2014 13:18 ]

[Joolee]

looc schreef op donderdag 19 juni 2014 @ 13:13:
[...]

Als spanning tree protocol aanstaat, dan is er niks aan de hand.
Zoniet dan krijg je dus een broadcast storm en dat legt inderdaad heel je netwerk plat

Correct me if I'm wrong here; STP kan alleen maar een loop voorkomen tussen apparaten waarop STP is ingeschakeld. Tegen het aansluiten van een netwerk bom () kun je alleen maar port security gebruiken om te voorkomen dat er uberhaupt meer dan één mac adres bekend mag zijn óf om te voorkomen dat iemand onbekende apparatuur aansluit. Dat geeft een hoop administratieve overhead in een bedrijf dus het zou me niets verbazen als dat in de meeste omgevingen staat uitgeschakeld.

[ Voor 10% gewijzigd door Joolee op 19-06-2014 14:02 ]

[Marcks]

Zodra de switch een broadcast frame ontvangt, moet hij datzelfde bericht via alle andere aangesloten kabels weer doorgeven. Op deze eenvoudige en betrouwbare manier verspreidt de data zich over het hele broadcast domain, tenzij je bekabeling een loop heeft, want dan komen reeds doorgegeven frames weer terug op de switch. Zonder de beveiligingsfeatures die enkel op high-end netwerkapparatuur te vinden zijn, zal die switch dat zien als een nieuwe broadcast die hij opnieuw aan iedereen moet doorgeven. Enzovoorts. De hoeveelheid broadcast messages die doelloos op je netwerk circuleren explodeert en verdringt het legitieme verkeer.

[ChaserBoZ_]

Je vraagt je af wat, als zoiets al niet wordt ondervangen, er nog meer mogelijk is met dat netwerk

[BramT]

Marcks schreef op donderdag 19 juni 2014 @ 14:02:
[...] Zonder de beveiligingsfeatures die enkel op high-end netwerkapparatuur te vinden zijn, [...]

Waar moet je in dit geval aan denken bij "high-end netwerkapparatuur"?
Ik probeer een beetje te kwalificeren of wat er hier gebeurt is "logisch" of juist "nalatig" is geweest. (Los van wat er met het kabeltje is gedaan..)
Overigens puur uit persoonlijke interesse. Ik heb zelf helemaal niks met de situatie te maken.

[ppl]

Delta2 schreef op donderdag 19 juni 2014 @ 12:26:
[...]


Dan is dus niet alles netjes geconfigureerd op de bedrijfs switches.
Netjes configureren betekend dat je minimaal toch wel STP enabled op je Access Layer (liefst natuurlijk met BPDU/rootguard).
Kun je switches inprikken wat je wilt, daar gaat je netwerk dan echt niet van plat (op je aangesloten switchje na )

De gemiddelde persoon heeft thuis alleen geen losse switch maar een router met ingebouwde switch en wifi (en daar maakt Sitecom er nogal veel van). Dat soort devices inpluggen op een bedrijfsnetwerk gooit alles aardig plat zonder dat je ook maar iets hebt aan STP (iets met DHCP...). Dat lijkt mij in zijn scenario eerder aan de hand te zijn. Daarnaast is STP ook niet zaligmakend. Het kan veel maar niet alles. We hebben wel vaker gehad dat de poort alsnog handmatig op disabled gezet moest worden.

[looc]

Joolee schreef op donderdag 19 juni 2014 @ 14:01:
[...]

Correct me if I'm wrong here; STP kan alleen maar een loop voorkomen tussen apparaten waarop STP is ingeschakeld. Tegen het aansluiten van een netwerk bom () kun je alleen maar port security gebruiken om te voorkomen dat er uberhaupt meer dan één mac adres bekend mag zijn óf om te voorkomen dat iemand onbekende apparatuur aansluit. Dat geeft een hoop administratieve overhead in een bedrijf dus het zou me niets verbazen als dat in de meeste omgevingen staat uitgeschakeld.

Zover ik het begrijp, als 1 switch STP aan heeft en een andere niet en je maakt een loop (switch 1 port 1 gaat naar switch 2 port 1. Switch 2 port 2 gaat naar switch 1 port 2), dan gaat de eerste switch the broadcast frames niet doorsturen, waardoor je geen broadcast storm krijgt en het netwerk dus niet plat gaat.

Ook in het geval van een "netwerkbom" heb je dan geen probleem.

ppl schreef op donderdag 19 juni 2014 @ 21:22:
[...]

De gemiddelde persoon heeft thuis alleen geen losse switch maar een router met ingebouwde switch en wifi (en daar maakt Sitecom er nogal veel van). Dat soort devices inpluggen op een bedrijfsnetwerk gooit alles aardig plat zonder dat je ook maar iets hebt aan STP (iets met DHCP...). Dat lijkt mij in zijn scenario eerder aan de hand te zijn. Daarnaast is STP ook niet zaligmakend. Het kan veel maar niet alles. We hebben wel vaker gehad dat de poort alsnog handmatig op disabled gezet moest worden.

Tsjaah, als je je homerouter eventjes verkeerd inplugged, dan krijg je dus 2 DHCP servers en dan is het de zaak van wie het eerste DHCP requests kan beantwoorden.

[ Voor 28% gewijzigd door looc op 20-06-2014 08:41 ]

[Verwijderd]

Heren,

conf t
Int x/x
storm-control broadcast level x.x (% bandwidth)

Understanding Storm Control

Storm control prevents traffic on a LAN from being disrupted by a broadcast, multicast, or unicast storm on a port. A LAN storm occurs when packets flood the LAN, creating excessive traffic and degrading network performance. Errors in the protocol-stack implementation, mistakes in network configuration, or users issuing a denial-of-service attack can cause a storm.

Storm control is configured for the switch as a whole but operates on a per-port basis. By default, storm control is disabled.

Storm control uses rising and falling thresholds to block and then restore the forwarding of broadcast, unicast, or multicast packets. You can also set the switch to shut down the port when the rising threshold is reached.

Storm control uses one of these methods to measure traffic activity:

•Bandwidth based

•Traffic rate at which packets are received (in packets per second) (available only on non-Long-Reach Ethernet [LRE] Catalyst 2950 switches)

The thresholds can either be expressed as a percentage of the total available bandwidth that can be used by the broadcast, multicast, or unicast traffic, or as the rate at which the interface receives multicast, broadcast, or unicast traffic.

When a switch uses the bandwidth-based method, the rising threshold is the percentage of total available bandwidth associated with multicast, broadcast, or unicast traffic before forwarding is blocked. The falling threshold is the percentage of total available bandwidth below which the switch resumes normal forwarding. In general, the higher the level, the less effective the protection against broadcast storms.

When a non-LRE Catalyst 2950 switch running Cisco IOS Release 12.1(14)EA1 or later uses traffic rates as the threshold values, the rising and falling thresholds are in packets per second. The rising threshold is the rate at which multicast, broadcast, and unicast traffic is received before forwarding is blocked. The falling threshold is the rate below which the switch resumes normal forwarding. In general, the higher the rate, the less effective the protection against broadcast storms.

Default Storm Control Configuration

By default, broadcast, multicast, and unicast storm control is disabled on the switch. The default action is to filter traffic and to not send an SNMP trap.

STP zal idd niks doen aan een broadcast storm. STP op de edge is meestal spanning-tree port type edge of spanning-tree portfast:

STP PortFast causes a Layer 2 LAN port configured as an access port to enter the forwarding state immediately, bypassing the listening and learning states. You can use PortFast on Layer 2 access ports connected to a single workstation or server to allow those devices to connect to the network immediately, instead of waiting for STP to converge. Interfaces connected to a single workstation or server should not receive bridge protocol data units (BPDUs). When configured for PortFast, a port is still running the spanning tree protocol. A PortFast enabled port can immediately transition to the blocking state if necessary (this could happen on receipt of a superior BPDU). PortFast can be enabled on trunk ports. PortFast can have an operational value that is different from the configured value.

Broadcast/multicast control aanzetten dus.

[Joolee]

looc schreef op vrijdag 20 juni 2014 @ 08:38:
[...]
Tsjaah, als je je homerouter eventjes verkeerd inplugged, dan krijg je dus 2 DHCP servers en dan is het de zaak van wie het eerste DHCP requests kan beantwoorden.

Daar heb je bij Cisco DHCP snooping voor. Als dat, of iets vergelijkbaars, niet is ingeschakeld dan is er een hele goede kans dat de homerouter sneller is met antwoorden.

[KillerAce_NL]

Ff googlen op network loop en je hebt al je antwoorden.