GuilleSQL :: Microsoft SQL Server, SSIS, y más !!

Bogus IP y consumo de memoria con WireShark


Recientemente, como parte de un estudio de rendimiento en que participé, estuve realizando un estudio del consumo de Red de un producto de Microsoft. Para realizar dicho estudio, decidimos realizar un ciclo de pruebas, y en cada prueba utilizar un Sniffer (o Analizador de Protocolos de Red) para capturar el tráfico de red en modo promiscuo y analizarlo posteriormente. Elegimos como Sniffer el WireShark (antes conocido como Ethereal) en la versión 0.99.8 (la disponible para descarga en aquel momento), al tratarse de un producto con años en mercado y gratuito. En este Artículo pretendo compartir con vosotros los problemas encontrados de consumo de memoria y de medición de paquetes Bogus IP.

En dichas pruebas de captura de tráfico de red, decidimos instalar el Sniffer (WireShark) en los distintos servidores y estaciones de trabajo que deseábamos analizar. También habría sido posible utilizar la característica de Port Mirroring de los Switches de Red Ethernet (típico en switches como Cisco Catalyst, 3Com, SMC, etc.), pero decidimos no hacerlo así, para evitar dependencias con el personal del cliente (principalmente de agenda).

Una vez que empezamos las medidas, una de las pruebas que necesitábamos realizar implicaba la captura de gigabytes de tráfico de red, en unas máquinas que sólo disponían de 1GB de memoria RAM cada una, y al alcanzar un tamaño de 1GB de captura de red, empezaron a cargarse al 100% de CPU y después WireShark produjo un error (petó). Es decir, con WireShark (al menos con la versión 0.99.8 para Windows) no se debe realizar una captura de mayor tamaño que la memoria de la máquina en la que se está realizando dicha captura (o al menos no encontramos la forma, que el tiempo es un bien escaso). Al menos ésta versión de WireShark, parece que almacena la captura en memoria, siendo éste el motivo de dicho error.

A todo esto, en caso de estar monitorizando contadores de rendimiento, debe de tenerse en cuenta que en función de qué contadores (ej: % de CPU) estos pueden resultar alterados y falseados por la carga que implica la propia ejecución de WireShark.

Entre nuestras pruebas, teníamos la necesidad de medir el tráfico HTTP y HTTPS entre dos servidores, comunicados a través de una red enrutada, con el fin de obtener el consumo de Red en ambos sentidos (de subida y de bajada), tanto en bytes transferidos como el número de paquetes, y así poder obtener también el ancho de banda consumido y la velocidad de transferencia (Kbps). Sin embargo, intentamos obtener éste dato tanto con filtros (Display Filtres) y estadísticas (Statistics -> Summary), como a través de la opción de conversaciones (Statistics -> Conversations), y en todos los casos obtuvimos datos incorrectos (el tráfico que WireShark medía era mucho menor del dato que nos tenía que dar, y el tamaño del fichero de captura evidenciaba esta situación). Descargamos la última versión de WireShark (es decir, subimos de la versión 0.99.8 a la versión 1.0.0), y el resultado era el mismo. Investigando el contenido del fichero de captura, paquete a paquete, trama a trama, encontramos que el WireShark nos mostraba muchos paquetes sin direcciones IP (aunque se trataba de tráfico IP ¿?) que mostraban el mensaje “Bogus IP length (0, less than header length 20)”. Deducimos que dichos paquetes, al no mostrar direcciones IP (ni de origen ni de destino) podían ser la causa de nuestro problema. Para evidenciarlo, intentamos localizar otro Sniffer para abrir el fichero de captura y comprobar nuestra sorpresa. Y así fue. Descargamos e instalamos el Microsoft Network Monitor v3.1, abrimos el mismo fichero de captura (antes tuvimos que guardarlo con WireShark en el formato del Network Monitor), y localizamos el mismo paquete que habíamos localizado antes con WireShark (el del mensaje de Bogus IP). El Microsoft Network Monitor si nos mostraba las direcciones IP en el paquete Bogus IP, y además, se trataba de las direcciones IP por las que nos interesaba medir el tráfico, Genial ! Ahora parece que si salen las cuentas ! Sin embargo, aquí nos encontramos con un nuevo problema, porque con ésta versión del Network Monitor no encontramos forma (que no quiere decir, que no se pueda ;-) de obtener información estadística o resumida de dicho tráfico (es decir, que cuantos bytes y cuantos paquetes de tráfico para un determinado filtro).

Finalmente, la solución la encontramos por el factor suerte (omnipresente en todos los proyectos de consultoría). Al abrir el fichero de captura de WireShark con una versión anterior (en particular, con WireShark 0.99.4), con la opción de conversaciones (Statistics -> Conversations) obteníamos el dato que queríamos de forma correcta… Eureka !

Por último, para el que le interese los Analizadores de Protocolos de Red, existen más productos similares en el mercado, pero en general es WireShark el más completo, y además es gratis. Quizás la principal alternativa sea Fluke Protocol Expert, un software de la casa Fluke (los conocidos testers de red) de pago. Microsoft, también dispone del suyo, Microsoft Network Monitor v3.1, descargable de forma gratuita, como antes mencioné.


[Fecha del Artículo (UTC): 27/05/2008]
[Autor: GuilleSQL]



Escribir un Comentario

Para poder escribir un comentario, debe Iniciar Sesión con un usuario.

Si no dispone de un usuario, puede Registrarse y hacerse miembro.

Si dispone de un usuario, pero no recuerda sus credenciales de acceso, puede Restablecer su Contraseña.

Miembros de
Miembros de GITCA (Global IT Community Association)

Menu de Usuario
  Iniciar Sesión
  Registrarse
  Restablecer Contraseña
  Ventajas de Registrarse

Acerca de
  Contigo desde Oct 2007
  771 usuarios registrados
  86146 pageloads/mes
  Ranking Alexa 498160

Social Networks
Sigue a Portal GuilleSQL en Linkedin !!
Sigue a Portal GuilleSQL en Twitter !!



Archivo

Julio de 2018 (1)
Junio de 2018 (4)
Mayo de 2018 (5)
Abril de 2018 (3)
Marzo de 2018 (2)
Febrero de 2018 (7)
Enero de 2018 (1)
Diciembre de 2017 (15)
Noviembre de 2017 (7)
Junio de 2017 (3)
Mayo de 2017 (1)
Marzo de 2017 (3)
Enero de 2017 (4)
Junio de 2016 (1)
Mayo de 2016 (2)
Abril de 2016 (2)
Septiembre de 2015 (2)
Agosto de 2015 (2)
Junio de 2015 (10)
Mayo de 2015 (4)
Abril de 2015 (8)
Marzo de 2015 (11)
Octubre de 2014 (3)
Septiembre de 2014 (7)
Agosto de 2014 (5)
Julio de 2014 (2)
Mayo de 2014 (4)
Abril de 2014 (4)
Marzo de 2014 (4)
Febrero de 2014 (1)
Enero de 2014 (5)
Diciembre de 2013 (8)
Noviembre de 2013 (2)
Octubre de 2013 (7)
Septiembre de 2013 (6)
Agosto de 2013 (1)
Julio de 2013 (6)
Junio de 2013 (11)
Mayo de 2013 (7)
Abril de 2013 (6)
Febrero de 2013 (5)
Enero de 2013 (7)
Diciembre de 2012 (12)
Noviembre de 2012 (13)
Octubre de 2012 (5)
Septiembre de 2012 (3)
Agosto de 2012 (6)
Julio de 2012 (4)
Junio de 2012 (1)
Mayo de 2012 (2)
Abril de 2012 (7)
Marzo de 2012 (16)
Febrero de 2012 (9)
Enero de 2012 (5)
Diciembre de 2011 (10)
Noviembre de 2011 (10)
Octubre de 2011 (4)
Septiembre de 2011 (5)
Agosto de 2011 (2)
Julio de 2011 (2)
Junio de 2011 (4)
Mayo de 2011 (2)
Abril de 2011 (6)
Marzo de 2011 (4)
Febrero de 2011 (10)
Enero de 2011 (5)
Diciembre de 2010 (6)
Noviembre de 2010 (4)
Octubre de 2010 (8)
Septiembre de 2010 (4)
Agosto de 2010 (1)
Julio de 2010 (3)
Mayo de 2010 (5)
Abril de 2010 (6)
Marzo de 2010 (8)
Febrero de 2010 (3)
Enero de 2010 (1)
Diciembre de 2009 (9)
Noviembre de 2009 (14)
Octubre de 2009 (2)
Septiembre de 2009 (8)
Agosto de 2009 (2)
Julio de 2009 (10)
Junio de 2009 (9)
Mayo de 2009 (10)
Abril de 2009 (9)
Marzo de 2009 (3)
Febrero de 2009 (2)
Enero de 2009 (3)
Noviembre de 2008 (2)
Octubre de 2008 (2)
Septiembre de 2008 (2)
Agosto de 2008 (5)
Julio de 2008 (5)
Junio de 2008 (1)
Mayo de 2008 (3)
Abril de 2008 (2)
Marzo de 2008 (2)
Febrero de 2008 (2)
Enero de 2008 (5)
Noviembre de 2007 (2)
Octubre de 2007 (2)






Esta información se proporciona "como está" sin garantías de ninguna clase, y no otorga ningún derecho.
This information is provided "AS IS" with no warranties, and confers no rights.

Copyright © 2007 GuilleSQL, todos los derechos reservados.
GuilleSQL.com y GuilleSQL.net son también parte de Portal GuilleSQL.

Visitas recibidas (Page Loads) en GuilleSQL (fuente: StatCounter):

screen resolution stats
Visitas