Bandbreiten- und Trafficanalyse mit ntop bei SkyDSL - Was mache ich falsch?

Servus zusammen,

ich sitze hier gerade vor einem Rätsel und kann mir keinen Reim aus den Hinweisen machen. Das ist mein Problem:

Unser Firmennetzwerk besteht aus ca. 200 Clients, hauptsächlich Windows-PCs. Wie besitzen zwei Anbindungen an WAN-Netzwerke. Zum Einen eine 2MBit-Standleitung, die uns mit anderen Standorten verbindet und über die Firmenanwendungen wie Exchange oder SAP laufen. Und zum Anderen eine 10MBit Satelliten-DSL Leitung, die für den reinen Internetverkehr gedacht ist. In diesem Fall geht es nur um die Sat-Leitung, die Standleitung funktioniert ohne Probleme.

Seit etwa einem Monat treten zunehmend Phasen auf, in denen die Leitung extrem langsam wird oder ganz ausfällt. Da sich auf unserer Seite nichts verändert hatte, habe ich erstmal den Carrier angerufen und diesen um Prüfung gebeten. Wie erwartet ist laut deren Aussage die Leitung klasse.

Um auszuschließen, dass das Problem auf unserer Seite liegt, habe ich also eine kleine ntop-Kiste zwischengeschaltet aber aus den Messergebnissen werde ich nicht wirklich schlau. Zunächst mal der Aufbau:

Die Hardware ist ein ausgemusterter Dell Optiplex GX520 mit zweiter NIC. Darauf läuft eine Festplatteninstallation von NST (Eine Linux-Lifedistri, die ntop, ntopng und viele andere Tools schon vorinstalliert hat). Eine der NICs nutze ich für das Webinterface. Die zweite NIC läuft im Promisc-Modus und dient zum Sniffen. Für die Testmessungen lasse ich den Internetverkehr über unsere Backup-Leitung laufen. Es sollte also sichergestellt sein, dass ich der einzige auf der Leitung bin.

Die Infrastruktur schaut so aus, dass an unserem Haupt-Switch (Dell Powerconnect 3540-Stack) ein Router hängt. An diesem Hängt wiederum das Sat-Modem. Das Modem hat einen DHCP-Server an Bord und schleift die WAN-IP an den Router durch. Soweit so gut.

Der Router bietet die Möglichkeit des Port-Mirrorings. Also habe ich den Port vom Router ins LAN gespiegelt und den Sniffing-Port meiner ntop-Kiste daran gehängt. So habe ich schon oft Messungen durchgeführt und bisher nie Probleme bekommen. Dieser Port des Routers sollte ja alles, was aus dem LAN raus bzw. ins LAN rein geht mitbekommen.

Jetzt möchte ich kurz erklären, wie meine Messungen aussehen. Die Bandbreite verhält sich hier ganz seltsam und scheint sehr stark zu schwanken. Wenn ich einen großen Download zum Testen starte kann es passieren, dass ich locker auf meine 10MBit an Auslastung komme. Das sehe ich deutlich in den Peaks in ntop oder im Echtzeit-Bandbreitenmonitor. Aber dann plötzlich bricht die Downloadrate ein (zu sehen im Downloadmanager) und im gleichen Moment geht auch die genutzte Bandbreite im Monitor runter. Ich hatte es schon oft, dass meine Auslastung dann plötzlich bei unter 1MBit lag. Der Download war dann auch entwprechend langsam. Bis der Einbruch kommt, kann es einige Minuten dauern oder auch nur einige Sekunden. Aktuell liegt die Downloadrate z.B. bei 90 KB/s und die Auslastung der Leitung bei etwa 500 KBit/s. Egal, was ich anstelle, ich bekomme die Auslastung und die Geschwindigkeit nicht mehr über 1MBit/s, egal was und wo ich downloade.

Nun habe ich also von unserem Carrier den Link zu einem Online-Speedtest bekommen, den ich bitte ausführen und ihm die Ergebnisse schicken sollte. Wenn ich also diesen Speedtest durchführe, geht meine Auslastung durch die Decke und ich kann deutlich den Peak im Bandbreitenmonitor erkennen. Der Speedtest zeigt mir dann - O-Wunder - natürlich auch ein Top-Ergebnis an. Laut diesem Ding sind Up- und Download Top und ich sollte kein Problem haben.

Mache ich dagegen einen Speedtest eines anderen Anbieters, dann bekomme ich dort eine Leistung von rund 6000 kBit/s im Download und in der Auslastung sehe ich keinen hohen Peak sondern lediglich ein paar kleine Spitzen, die nur bis max 2MBit/s reichen. Das sind zwar auch nur Durchschnittswerte, trotzdem wundert es mich, dass die Kurven so unterschiedlich aussehen und die Testergebnisse so unterschiedlich sind.


Was ich mir nun dazu gedacht habe ist folgendes: Irgendwie stinkt das ganze danach, als würde bei den Jungs die Bandbreite knapp werden. Also priorisieren sie ihren eigenen Speedtest damit alles auf den Kunden abgewälzt werden kann. Anders kann ich mir nicht erklären, wieso deren eigener Test so einen Ausschlag verursacht während ein fremder Test sogar einen Timeout bekommt. Dass die genutzte Bandbreite trotz mehrerer Leitungshungriger Dienste sogar bei 200 Nutzern auf der Leitung nicht über maximal 2MBit/s hinausgeht, spricht für eine Drosselung der Leitung. Mein Problem besteht jetzt nur darin, das ganze auch nachzuweisen.

Deswegen meine Frage: Habe ich hier bei der Messung einen Fehler gemacht? Gibt es Einschränkungen beim Port-Mirroring, die ich nicht bedacht habe? Ich habe nämlich festgestellt, dass ich unter den TOP-Flows tatsächlich auch Flows zwischen internen Rechnern habe. In der Liste der TOP-Senders stehen fast nur interne PCs. Auch das sollten eigentlich externe Kisten sein. Kann das damit zusammen hängen, dass ich nur einen Sniffer an einem Mirror-Port habe und die Daten nicht durch das Gerät laufen?

Was denkt Ihr? Mache ich bei der Messung etwas falsch?

Danke schonmal für die Hilfe.

Viele Grüße
Daniel