20 GB aan ARP ?

[Erhnam]

Sinds een tijdje hangen wij met een machine bij een datacenter in amsterdam. Nu blijkt tot onze grote schrik dat wij in een maand tijd met een server waarwij 5 websites op hosten en dns afhandelen 20 gb aan data hebben verstookt. Plesk en de stats onder linux vertelde ons dat dit op ongeveer 500mb lag. Er zit dus ergens een gat van 19.5 GB. Na nader onderzoek ben ik er achter gekomen dat er verschrikkelijk veel arp requesten op onze server binnen komen. Hier een voorbeeld:

code:

15:44:49.910630 alpha.hostlab.nl.domain > 213.189.5.10.33028:  48277
NXDomain 0/1/0 (99)
15:44:49.910826 213.189.5.10.33028 > alpha.hostlab.nl.domain:  48278+ PTR?
248.12.189.213.in-addr.arpa. (45) (DF)
15:44:49.911079 alpha.hostlab.nl.domain > 213.189.5.10.33028:  48278
NXDomain 0/1/0 (100)
15:44:49.911206 213.189.5.10.33028 > alpha.hostlab.nl.domain:  48279+ PTR?
24.10.189.213.in-addr.arpa. (44) (DF)
15:44:49.911459 alpha.hostlab.nl.domain > 213.189.5.10.33028:  48279
NXDomain 0/1/0 (99)
15:44:49.911618 213.189.5.10.33028 > alpha.hostlab.nl.domain:  48280+ PTR?
197.2.189.213.in-addr.arpa. (44) (DF)
15:44:49.911867 alpha.hostlab.nl.domain > 213.189.5.10.33028:  48280
NXDomain 0/1/0 (99)
15:44:49.911992 213.189.5.10.33028 > alpha.hostlab.nl.domain:  48281+ PTR?
33.11.189.213.in-addr.arpa. (44) (DF)
15:44:49.912246 alpha.hostlab.nl.domain > 213.189.5.10.33028:  48281
NXDomain 0/1/0 (99)
15:44:49.912367 213.189.5.10.33028 > alpha.hostlab.nl.domain:  48282+ PTR?
219.11.189.213.in-addr.arpa. (45) (DF)
15:44:49.912620 alpha.hostlab.nl.domain > 213.189.5.10.33028:  48282
NXDomain 0/1/0 (100)
15:44:49.912762 213.189.5.10.33028 > alpha.hostlab.nl.domain:  48283+ PTR?
226.15.189.213.in-addr.arpa. (45) (DF)
15:44:49.913043 p50892689.dip.t-dialin.net.27005 > 213.189.5.16.27015: udp 38
15:44:49.913144 213.189.5.10.33028 > alpha.hostlab.nl.domain:  48284+ PTR?
14.3.189.213.in-addr.arpa. (43) (DF)

Deze requesten komen in een constante stroom binnen. Via de stats die wij van het datacenter hebben is te zien dat er soms een dataverkeer van 40 a 100 kb/s constant onze servers op gaat. Nu heb ik hierover contact gehad met het datacenter en zij zeiden dat arp requesten best een grote hoeveelheid dataverkeer voor hun rekening kunnen nemen.

Nu vraag ik mij af of dit een 'gezonde' situatie is? 20 GB aan arp klopt dat? Kan ik hier verder wat aan doen? Is het mogelijk dit te blokken om zo het dataverkeer omlaag te brengen of komen deze paketten toch gewoon binnen. Zelf heb ik een vermoeden dat er iets niet helemaal pluis is.

[Verwijderd]

Dit is geen arp verkeer, dit is DNS verkeer... NXDomain = Non Existant Domain... ik denk dat je server voor elke client een DNS lookup probeert te doen...

[ Voor 32% gewijzigd door Verwijderd op 02-12-2003 13:00 ]

[hammerhead]

Lijkt er niet op dat dit ARP requests zijn volgens mij. ARP heeft te maken met Ethernet enzo dacht ik.

Volgens mij zijn dit DNS lookups. Maar 20 GB aan DNS lookups lijkt me opzich ook best wel wat veel.

[SambalBij]

Jouw DNS server wordt zo te zien gebruikt voor reverse lookup voor het 213.189.x.y net.
Je DNS server lijkt echter die zone niet te hebben. Configuratie probleem misschien, of draai je geen reverse DNS voor dat netblock? Misschien is het dan handig even contact op te nemen met de provider.

[Erhnam]

Operations schreef op 02 december 2003 @ 13:13:
Jouw DNS server wordt zo te zien gebruikt voor reverse lookup voor het 213.189.x.y net.
Je DNS server lijkt echter die zone niet te hebben. Configuratie probleem misschien, of draai je geen reverse DNS voor dat netblock? Misschien is het dan handig even contact op te nemen met de provider.

Nee ik draai geen reverse dns voor dat netblock, dat is immers in bezit van de provider. Ik snap daarom ook niet waar al die aanvragen vandaan komen.