Задачка на анализ трафика

Где ты дампишь трафик и «приходящие» куда кадры имеются в виду?

На клиенте

Нарисуй схему/топологию сети, а то пока не очень понятно откуда может взяться трафик не от маршрутизатора

Нарисуй схему/топологию сети, а то пока не очень понятно откуда может взяться трафик не от маршрутизатора

Если бы знал откуда берётся паразитный трафик я бы этот вопрос не задавал. Я же взялся дампить трафик как раз для того чтобы понять откуда это идёт. Предположений много. Я написал, что через маршрутизатор подключен не один, а несколько клиентов, но это я так написал, а если вдаваться в подробности (ё-моё, ты уже двадцатый кому мне приходится объяснять предысторию вопроса) то там целая система управляемых коммутаторов, подключённых по топологии «дерево».
http://i84.fastpic.ru/big/2016/0902/6c/dd4d3601dc6625194efab9d54e27fc6c.jpg
Схему привожу, но там маршрутизатор не указал, схема нарисована до корневого коммутатора, к маршрутизатору подключен непосредственно он.
Трафик не от маршрутизатора это:

1. широковещательные ARP-запросы
2. широковещательные DHCP-запрсы
3. samba-трафик, который возникает сам по себе, если samba на каких-то клиентах не выключен
4. работающие на каких-то из клиентах сканирующие программы, в том числе вредоносные
5. мультикаст, который из-за неверной настройки какого-нибудь коммутатора сыпется на все порты
6. широковещательный шторм, вызваный неисправностью какого-либо коммутатора

Возможны другие.

В таких неясных условиях анализ делается только последовательным наложением фильтров, другого пути нет.
Идёшь последовательно пакет за пакетом и исключаешь понятное/ненужное.
Если интересует наглядная картина в динамике, то удобно использовать Statistics-I/O Graph
Там накладываешь фильтры по адресам/портам, раскрашиваешь их в разные цвета и ловишь пики, постепенно уточняя/расширяя фильтры

Вот я после нескольких минут слушанья трафика открыл Statistics-I/O Graph. И как этот граф раскрасить?

Внизу слева есть кнопка +
По ней добавляются строки
В каждой можно настроить отдельный фильтр и цвет

А мультикаст-трафик как обнаруживается? Так как и у броадкаста адрес ffffffffffff?

Мультикаст особо не дебажил, гугл подсказывает такой вариант

По вайршарку рекомендую ещё вот эти ролики, особенно 4й ролик мне открыл глаза когда-то

Мультикаст дебажить оказалось ненужным, потому как, поработав с фильтрами, я сделал выводы что весь трафик - это tcp-трафик, причём в основном это 80 порт. Я так понимаю - это означает, что мусорного трафика в сети нет. Я его пытался найти потому что у нас ежедневно лагает сеть по вечерам. Значит нужно искать другую причину.

Надо логи маршрутизатора смотреть, нет ли дропов или перегрузок...

Перемещаемые профили катаются в конце рабочего дня?