[Windows 2003] Mbits schieten omhoog

[Erikcreative]

[Windows 2003] Mbits schieten omhoog

Sinds een aantal dagen hebben 2 servers last van een onverklaarbare hoge Mbtis...
Van het een op het andere moment schieten ze van 1/2 Mbit naar 10/100 Mbis... De server gaat dan uit de lucht om andere servers op het netwerk niet verder te belasten.

De Windows server geeft echter niks aan van wat er aan de hand is. Email spool is leeg, dus geen duistere spamrun oid.. websites lijken normaal. Netwerk meter geeft slechts 1% gebruikt aan... Geen vage processen die actief zijn... etc etc..

Toch wil ik dit graag opgelost zien. Wie weet hoe ik er achter kan komen welk proces/user/iets anders de server zoveel Mbits laat gebruiken?

Info:
Windows Server 2003
Email: Smartermail
Web: IIS 6

[Randy]

Erik,

Heb je toevallig Windows Media Services aan staan? Kan zijn dat ze via een lek je server abusen met wat streams. Heb ik vaker gezien, ook op ons eigen cluster.

[Erikcreative]

Windows Media Services staat uit

[wutr]

[Windows 2003]De Windows server geeft echter niks aan van wat er aan de hand is. Email spool is leeg, dus geen duistere spamrun oid.. websites lijken normaal. Netwerk meter geeft slechts 1% gebruikt aan... Geen vage processen die actief zijn... etc etc..

Heb je al eens naar je switch gekeken? Je geeft aan dat er op de machine zelf niets te ontdekken is, dus misschien ligt het aan andere apparatuur?

(just guessing)

btw, de link naar e-creative in je signature werkt niet, server nu weer down?

[smurf]

netstat | more

en kijken of er niets raar verschijnt

[Randy]

Met Netstat zie je ook geen rare dingen? Anders een firewallen en alle poorten behalve wat echt noodzakelijk is voor UITGAAND verkeer dichtzetten.

Edit: Smurf was me voor.

[Erikcreative]

Momenteel lijkt alles weer rustig en zit de UTP er weer in.. Netstat geeft nu dan ook geen bijzondere dingen behalve de gebruikelijke connecties.

Zijn er ergens logfiles van deze te achterhalen om de afgelopen uren door te spitten?

[Cereal]

Waarschijnlijk zijn deze log files er niet. Je zou netlimiter kunnen gebruiken om te kijken welk proces verantwoordelijk is voor de bandbreedte.

[Erikcreative]

Het probleem is sinds de startpost niet meer terug gekomen... Zit nu met een ander probleem met deze server.. zucht

De server herstart nu iedere x uit zichzelf. Soms 1 x per dag, soms zelfs 1 x per uur. Een reboot via de APC is voldoende om de server er weer bovenop te helpen...

Probleem is echter dat er weer niks terug te vinden is in de log-files. Alleen "system shut down" en alle services die weer opstarten. Daarvoor is niks bijzonders te vinden.

Weet iemand hoe dit duistere probleem te achterhalen is? Zou het wellicht hardware matig kunnen zijn?

[swiep]

Misschien een hele verre gok maar heb jij in je bios een watchdog aanstaan?
Deze kan getriggered worden door software. Maar door deze optie in je bios uit te schakelen voorkom je in ieder geval de restart. De trigger zou dan nog wel in je system log kunnen staan.

Ook geen tools geinstalleerd die je load monitoren en waar je in hebt gezet dat deze automatisch services moeten restarten en eventueel bij een te hoge load de hele server?

Dan nog een hele flauwe: wanneer heb je voor het laatst updates uitgevoerd en heb je ook gekeken of deze updates succesvol zijn afgerond?

[Erikcreative]

Durf ik zo 123 niet te zeggen maar zal ik vanavond direct controleren...

Installaties zijn allemaal succesvol voltooid. SP 2 zit er echter niet op aangezien ik hier veel problemen mee heb gehad...

[Glenn]

Erik, ben je niet gewoon gehackt?

[Erikcreative]

Er zijn geen aanwijzingen dat de server gehackt zou zijn! Vorige maand zijn er zelf extra veiligheids maatregelen genomen.. Antivirus/spam heeft de afgelopen dagen nog extra ronden gemaakt.

[Glenn]

Er zijn geen aanwijzingen dat de server gehackt zou zijn! Vorige maand zijn er zelf extra veiligheids maatregelen genomen.. Antivirus/spam heeft de afgelopen dagen nog extra ronden gemaakt.

Met antivirus ben je er niet alleen, Hitmanpro vindt bijvoorbeeld weer meer dan een virusscanner. Overigens is het aan te raden om tijdens die mbits pieken je netwerkverkeer te sniffen. Kijk eens wat het doelip is, wat voor traffic gaat er over etc etc

[Paulewk]

Zowieso, netstat kan vervangen zijn voor een hacked versie, ff portscannen vanaf andere doos kan soms al heel veel aantonen.