메인스위치로 C3850을 쓰고잇구요. 여기에 각각 층간으로 VLAN을 구성해서 총 8층에 각각 3포트씩 할당하여 24포트를 활용해서 운영중입니다.
어제 갑자기 불특정 층에서 OQD가 엄청 쌓이면서 사용자들이 인터넷이 안되는 현상이 발생되었습니다. 스위치를 재부팅한후에 정상적으로 살았구요.
혹시 이러한 증상으로 경험해보신적이 있으신지요?.
타사이트에서 경험한 바로는 방화벽의 병목현상으로 일시적으로 몇일간 발생한 적이 있었다는데.. 이곳 사이트도 같은 증상인지가 의문이 되고...
또다른 생각으로는 좀비 pc가 내부 pc에서 ddos공격을 외부로 하는 것은 아닌지 의심스럽기도 하구요.
이곳에 ip폰은 200여대, 그리고 유저수는 300명정도 됩니다.
혹시 이런 경험당해보신분들 있으신지요? 보안스위치를 제안해면 낳아질수 있는지도 .. 조심삼아 문의 드립니다.
두번째로 NMS와 연동되어 있다면...Traffic 추이/CPU부하율/메모리 사용률 등 확인이 필요해 보입니다.
Input 없이 Output Queue Drop 만 있는지....확인이 필요해 보입니다.
또한 스위치 행업에 대한 조건은 알 수 없지만.....행업 이전에 여러가지 CASE가 있기 때문입니다.
이슈 발생당시 LOG가 출력되었다면, Cisco CASE 를 통해 원인분석 요청하시면 됩니다. (단 워런티_서비스가 살아 있다는 조건입니다.)
스위치 재부팅으로 LOG가 날아갔다면, 로그서버에 남은 로그 또는 스위치 자체에 덤프를 띄울 가능성도 있습니다.
단 인터페이스 show interface summary상에서는
이상없는데는 oqd가 안찍혀잇꾸요. 이상있는 사용자들이 물려있는 포트에서는 oqd가 다량으로 발생 된거 밖에는 확인할수 없엇어요.
그리고 스위치도 재부팅도 안했다고 하네요. 몇시간 있으니깐 정상적으로 돌아왔다고하는데.ㅠㅠ
로그가 전혀 없어서 지금 문제입니다.ㅠ.ㅠ.ㅠ
그래서 대부분의 큰 사이트는 로그서버를 이중으로 두고....
NMS도 이중(Active-Backup)으로 운용하지요~
스위치/라우터 등등 대부분의 네트웍 제품은 재부팅이 되면 LOG가 날아가기 때문입니다.
우선 3850 서비스 계약이 되어 있다면, 해당 증상을 가지고 CASE OPEN 해보세요~
TAC 에서 원인분석에 필요한 명령어 리스트를 회신합니다.
또한 해당 OS 버젼에서 Bug가 있는지도 확인해 달라고 하시면 됩니다.
언지 주신내용 참고하도록 하겠습니다.
감사합니다.
UDP는 필수포트를 제외하고 전부 차단하였는지(인바운드가 아니고 아웃바운드입니다.)
만약 위 충족조건을 사용하지 않았을 경우 공짜백신 및 P2P 서비스만 돌아도 내부망 다운되는건 시간문제입니다.
잘 사용하다가 일어난 일인지라. 방화벽 룰설정은 기본정책을 설정해놨습니다.