تحلیل Packet Drop در سوئیچ سیسکو بدون Error؛ چرا بسته‌ها غیب می‌شوند؟

کندی شبکه همیشه ردپای آشکاری ندارد. گاهی در دیتاسنترها با وجود سلامت ظاهری اینترفیس‌ها، بسته‌های داده به‌طور نامحسوس دراپ می‌شوند و کیفیت سرویس را به شدت کاهش می‌دهند. در این شرایط با وجود عدم نمایش CRC، input error یا لینک Down، بسته‌ها به‌طور نامحسوس از دست می‌روند و کیفیت سرویس کاهش می‌یابد. این مقاله به بررسی علل Packet Drop در سوئیچ سیسکو مانند: سری‌های 2960X، 3650 و 9300 بدون خطای واضح پرداخته و روش‌های شناسایی آن‌ها می‌پردازد.

در صورتی که پس از عیب‌یابی متوجه شدید سخت‌افزار فعلی پاسخگوی حجم ترافیک دیتاسنتر شما نیست، می‌توانید برای مشاهده مدل‌های جایگزین و [خرید سوئیچ سیسکو] با بافرهای عمیق‌تر، از بخش فروش ما دیدن کنید.

⏲ مدت زمان تخمینی مطالعه : 15 دقیقه

📊 خلاصه راهبردی: عیب‌یابی Packet Drop پنهان (بدون Error)

موضوع تحلیل	توضیح مختصر فنی	نکته کلیدی و راهکار
🧐 معمای Discard	حذف بسته‌های سالم به دلیل پر شدن صف‌های خروجی.	دیسکارد یعنی پکت سالم است، اما فضای بافر کافی نیست.
🌊 پدیده Microburst	هجوم ناگهانی ترافیک در بازه‌های میلی‌ثانیه‌ای.	مانیتورینگ SNMP معمولی هرگز این طوفان‌ها را نمی‌بیند.
⚙️ محدودیت ASIC	سقف توان پردازشی تراشه‌ها در مدل‌های Oversubscribed.	بررسی ظرفیت Backplane در زمان Stack کردن سوئیچ‌ها.
🚦 تضاد QoS	حذف عمدی بسته‌ها توسط سیاست‌های Policing.	با دستور show policy-map مچِ دراپ‌های عمدی را بگیرید.
🛠️ فرمان‌های طلایی	استفاده از دستورات سطح پایین مثل show buffers.	دنبال کلمه failures بگردید؛ اینجا محل نشت دیتاست.
🛡️ امنیت و CoPP	دراپ پکت‌ها جهت محافظت از CPU سوئیچ.	گاه تنظیمات امنیتی، ترافیک واقعی را حمله تلقی می‌کند.

معمای Packet Drop در سوئیچ سیسکو

در بسیاری از موارد ممکن است اینترفیس شبکه شما به نظر سالم باشد، اما بسته‌های داده به دلایل مختلفی از دست بروند. این وضعیت به علت مشکلاتی مانند تاخیر شبکه، ترافیک زیاد یا محدودیت‌های پردازشی در تجهیزات شبکه به وجود می‌آید. بررسی دقیق‌تر و استفاده از ابزارهای تجزیه و تحلیل می‌تواند به شناسایی علت اصلی دراپ کمک کند.

تفاوت حیاتی بین Error و Discard در دیوایس‌های سیسکو

در دنیای سیسکو، پاک بودن کانتر Error به این معناست که لایه ۱ (فیزیکی) شامل کابل، SFP و پین‌های اینترفیس سالم هستند. اما Discard داستانی کاملاً متفاوت دارد؛ دیسکارد یعنی سوئیچ بسته را سالم دریافت کرده، اما به دلیل عدم تخصیص منابع (Resource Exhaustion) مجبور به سلاخی آن شده است.

شاخص (Metric)	خطا (Error/CRC)	حذف (Discard/Drop)
محل وقوع	لایه ۱ و لایه ۲ فیزیکی	لایه ۲ (Buffer) و لایه ۳ (Policy)
علت اصلی	کابل معیوب، تداخل نویز، Duplex Mismatch	پر شدن Queue، اشباع پهنای باند، Microburst
وضعیت اینترفیس	معمولاً Flapping یا افزایش کدهای CRC	کاملاً Up/Up و از نظر ظاهری Clean
اقدام اصلاحی	تعویض کابل/ماژول یا بررسی Interface Hardening	اصلاح معماری QoS یا مانیتورینگ بافر

💡 نکته مهندسی: همیشه قبل از تعویض سخت‌افزار، با تحلیل این جدول مطمئن شوید که مشکل از لایه فیزیکی است یا ازدحام ترافیکی در بافرهای داخلی سوئیچ.

اگر در خروجی اینترفیس با عدد بالای Input Error یا CRC مواجه شدید، قبل از هر چیز سلامت فیزیکی [انواع ماژول SFP و کابل‌های ارتباطی] متصل به پورت را بررسی کنید؛ چرا که تداخل سیگنال اولین عامل ایجاد خطا در لایه ۱ است.

چرا سیستم‌های مانیتورینگ (SNMP) گاهی دراپ‌های پنهان را گزارش نمی‌کنند؟

سیستم‌های مانیتورینگ SNMP ممکن است دراپ‌های پنهان را به دلیل تنظیمات نادرست، فیلترهای نرم‌افزاری یا مشکلات همزمانی در گزارش‌دهی نمایش ندهند. این دراپ‌ها معمولا به‌صورت موقتی رخ می‌دهند و به‌سرعت از بین می‌روند. بنابراین برای شناسایی آن‌ها باید تنظیمات دقیق‌تری در سیستم‌های مانیتورینگ اعمال شود.

بررسی Output Drop؛ متهم ردیف اول دراپ‌های بدون خطا

Output Drop آن دسته مشکلاتی هستند که بسته‌های داده به دلیل پر شدن بافر یا صف‌های خروجی از دست می‌روند، بدون اینکه خطای خاصی در شبکه گزارش شود. این دراپ‌ها در شرایطی اتفاق می‌افتند که ظرفیت تجهیزات شبکه برای پردازش داده‌ها کافی نباشد یا ترافیک بسیار زیاد باشد. برای جلوگیری از این مشکل استفاده از ابزارهای مانیتورینگ و تنظیمات دقیق صف‌ها اهمیت دارد.

مکانیسم دراپ در خروجی اینترفیس (Tail Drop)

Tail Drop یک مکانیسم پیش‌فرض در روترها و سوییچ‌ها است که زمانی که صف‌های خروجی پر می‌شوند، بسته‌های جدید را حذف می‌کند. در این روش تنها بسته‌هایی که در انتهای صف قرار دارند حذف می‌شوند، بدون اینکه تأثیر منفی بر بسته‌های قبلی داشته باشد. این روش باعث می‌شود که از اختلال بیشتر در شبکه جلوگیری شود. اما در شرایطی که صف‌ها بیش از حد پر شوند می‌تواند باعث از دست رفتن بسته‌ها شود.

چطور پر شدن صف (Queue) باعث حذف بسته‌ها می‌شود؟

زمانی که صف‌های شبکه برای ذخیره‌سازی داده‌ها پر می‌شوند، تجهیزات شبکه مجبور می‌شوند بسته‌های جدید را حذف کنند تا فضای لازم برای بسته‌های بعدی فراهم شود. این مشکل در شرایط ترافیک بالا یا در شبکه‌هایی با منابع محدود نمایان می‌شود. برای جلوگیری از آن باید تنظیمات مدیریت صف‌ها و کیفیت خدمات (QoS) بهینه شوند تا از حذف بی‌مورد بسته‌ها جلوگیری گردد.

تحلیل خروجی دستور show interfaces و تفسیر اعداد Discard

خروجی دستور  show interfaces در روترها و سوییچ‌ها اطلاعات دقیقی از وضعیت پورت‌ها و اینترفیس‌ها ارائه می‌دهد. اعداد Discard در این خروجی نشان‌دهنده تعداد بسته‌هایی است که به دلیل مشکلاتی مانند پر بودن صف‌ها یا مشکلات سخت‌افزاری حذف شده‌اند. تحلیل دقیق این اعداد می‌تواند به شناسایی علت دراپ‌های خروجی و اقدامات اصلاحی برای بهبود عملکرد شبکه کمک کند.

پدیده Microburst؛ طوفان‌های نامرئی که بافر را پر می‌کنند

Microburst به پدیده‌ای گفته می‌شود که در آن حجم زیادی از ترافیک شبکه به‌صورت ناگهانی و در یک بازه زمانی کوتاه به دستگاه‌های شبکه ارسال می‌شود. این اتفاق می‌تواند باعث پر شدن بافرها و در نتیجه منجر به از دست رفتن بسته‌ها شود. Microburst‌ها برای سیستم‌های مانیتورینگ مخفی باقی می‌مانند زیرا میانگین ترافیک پایین است، اما در لحظات خاص باعث ایجاد مشکل در شبکه می‌شوند.

بزرگترین فریب در مانیتورینگ شبکه، Average Utilization است. وقتی مانیتورینگ شما (مثلاً با Zabbix یا SolarWinds) نرخ مصرف پورت را ۵۰٪ نشان می‌دهد اما کاربر از قطع شدن Voice شکایت دارد، شما با Microburst روبرو هستید.

💡تحلیل فنی: سوئیچ‌های سیسکو (مانند سوئیچ سیسکو سری ۲۹۶۰ با بافر محدود ۲ مگابایتی) ترافیک را در لحظات میلی‌ثانیه‌ای (Millisecond scale) پردازش می‌کنند، در حالی که SNMP هر ۱ یا ۵ دقیقه یک‌بار نمونه‌برداری می‌کند. در این بازه، ممکن است برای ۱۰ میلی‌ثانیه ترافیک به ۱۱۰٪ ظرفیت پورت برسد؛ در این لحظه بافر پورت پر شده و Tail Drop رخ می‌دهد، اما در نمودار مانیتورینگ شما، همه چیز سبز و آرام به نظر می‌رسد.

نکته تخصصی: برای دیدن این طوفان‌های لحظه‌ای، به جای show interfaces که میانگین ۵ دقیقه‌ای می‌دهد، از دستور زیر برای دیدن پیک‌های لحظه‌ای استفاده کنید: show interfaces load-interval 30 (تنظیم بازه تحلیل روی حداقل ثانیه)

چرا میانگین ترافیک (Average Usage) پایین است اما Drop داریم؟

ممکن است میانگین ترافیک شبکه پایین باشد اما در مواقعی خاص که حجم زیادی از داده‌ها در مدت زمان کوتاه وارد شبکه می‌شود، بافرها پر شوند و بسته‌ها از دست بروند. این به دلیل پدیده‌هایی مانند Microburst است که با وجود مصرف متوسط منابع، باعث از دست رفتن داده‌ها می‌شود. برای جلوگیری از این مشکل استفاده از تکنیک‌های مدیریت کیفیت خدمات (QoS) و نظارت بالا اهمیت دارد.

نقش سرعت پورت (Speed Mismatch) در ایجاد ازدحام لحظه‌ای

سرعت‌های مختلف پورت‌ها در شبکه می‌تواند باعث ایجاد ازدحام لحظه‌ای و در نتیجه از دست رفتن بسته‌ها شود. زمانی که پورت‌هایی با سرعت‌های مختلف به یکدیگر متصل می‌شوند، احتمال بروز مشکلات ترافیکی بیشتر می‌شود. این مشکلات زمانی که ترافیک سنگین به پورت‌های کندتر می‌رسد، باعث ایجاد تأخیر و ازدحام می‌شود.

چطور با دستور show controllers عمق بافر را مانیتور کنیم؟

دستور  show controllers در روترها و سوییچ‌ها این امکان را می‌دهد که بتوانید عمق بافرهای دستگاه‌ها را مشاهده کنید و وضعیت آن‌ها را بررسی کنید. این دستور می‌تواند به شما کمک کند تا میزان استفاده از بافرها و احتمال بروز ازدحام را شناسایی کنید. با تجزیه و تحلیل این داده‌ها می‌توانید از مشکلات احتمالی مانند Microburst یا پر شدن بافر جلوگیری کنید.

تاثیر Oversubscription و محدودیت‌های سخت‌افزاری (ASIC)

Oversubscription به شرایطی گفته می‌شود که منابع شبکه بیش از حد تقسیم شده و ترافیک بیشتری از ظرفیت واقعی به دستگاه‌ها ارسال می‌شود. این امر می‌تواند باعث کاهش عملکرد و افزایش احتمال از دست رفتن بسته‌ها شود. همچنین محدودیت‌های سخت‌افزاری مانند ASIC (Circuit Integrated for Specific Applications) می‌تواند توان پردازش و انتقال داده را محدود کند و در صورت عدم تطابق با ترافیک ورودی، مشکلاتی مانند دراپ یا تاخیر به وجود آید.

بسیاری از دراپ‌های پنهان به دلیل عدم درک صحیح از نحوه پردازش بسته‌ها در سطوح مختلف رخ می‌دهند؛ مطالعه مقاله [تفاوت سوئیچ لایه ۲، ۳ و ۴ شبکه] به شما کمک می‌کند تا دستگاهی متناسب با نیاز پردازشی لایه‌های خود انتخاب کنید.

محدودیت ظرفیت Switching Fabric در مدل‌های ۲۹۶۰ و ۳۸۵۰

در مدل‌های سوئیچ‌های سیسکو مانند ۲۹۶۰ و ۳۸۵۰، ظرفیت Switching Fabric محدودیت‌های خاصی دارد که می‌تواند در شرایط ترافیک بالا منجر به ازدحام و از دست رفتن بسته‌ها شود. این مشکل زمانی رخ می‌دهد که سوئیچ برای پردازش ترافیک ورودی و خروجی به بیش از ظرفیت خود نیاز دارد. برای جلوگیری از این مشکلات، بهینه‌سازی ترافیک و استفاده از سوئیچ‌های با ظرفیت بالاتر می‌تواند مؤثر باشد.

مفهوم دراپ‌های ورودی (Input Drop) به دلیل ناتوانی CPU یا بافر داخلی

دراپ‌های ورودی به علت عدم توانایی پردازش بسته‌ها توسط CPU یا بافر داخلی دستگاه‌های شبکه رخ می‌دهند. این مشکل زمانی اتفاق می‌افتد که ترافیک ورودی از ظرفیت پردازش یا ذخیره سازی دستگاه فراتر می‌رود. در این شرایط بسته‌ها به‌طور خودکار حذف می‌شوند تا از ایجاد اختلال بیشتر در شبکه جلوگیری شود. تنظیمات بهینه و ارتقا سخت‌افزاری می‌تواند به کاهش این Packet Dropها کمک کند.

دراپ در سوئیچ‌های Stack شده؛ وقتی پهنای باند Backplane کم می‌آورد

در سوئیچ‌های Stack شده مشکلات در پهنای باند Backplane می‌تواند باعث دراپ بسته‌ها شود. زمانی که ظرفیت انتقال داده‌ها بین سوئیچ‌های Stack شده از حد نیاز بیشتر می‌شود، این ارتباطات می‌توانند باعث ایجاد ازدحام و کاهش عملکرد کلی شوند. برای جلوگیری از این مشکلات استفاده از پهنای باند بالاتر یا تنظیمات مناسب Stack‌ کردن سوئیچ‌ها ضروری است تا از بروز Packet Drop جلوگیری شود.

نقش QoS و سیاست‌های ترافیکی در حذف عمدی بسته‌ها

کیفیت خدمات یا QoS (Quality of Service) به مجموعه‌ای از تکنیک‌ها گفته می‌شود که برای مدیریت ترافیک شبکه و اولویت‌بندی بسته‌ها استفاده می‌شود. یکی از اهداف اصلی QoS، حذف عمدی بسته‌ها در شرایط خاص است تا از اختلال در عملکرد حیاتی شبکه جلوگیری شود. این حذف بسته‌ها در مواقعی رخ می‌دهد که ترافیک بالا باشد و دستگاه‌ها نیاز به تخصیص منابع به بسته‌های مهم‌تر داشته باشند.

تفاوت Policing و Shaping در حذف بسته بدون درج در شمارنده خطا

Policing و Shaping هر دو برای مدیریت ترافیک شبکه و کنترل نرخ ارسال بسته‌ها استفاده می‌شوند، اما تفاوت اصلی آن‌ها در نحوه حذف بسته‌ها است. Policing بسته‌ها را بدون درج در شمارنده خطا حذف می‌کند، اما Shaping بسته ها را به‌صورت موقتی ذخیره کرده و سپس به‌صورت کنترل شده ارسال می‌کند. این تفاوت می‌تواند در نحوه برخورد با ترافیک اضافی و جلوگیری از ازدحام شبکه تأثیرگذار باشد.

چطور show policy-map interface دراپ‌های QoS را لو می‌دهد؟ 

دستور  show policy-map interface دراپ‌های مربوط به سیاست‌های QoS را در دستگاه‌های شبکه نمایان می‌کند. این دستور می‌تواند اطلاعات دقیقی از اینکه کدام بسته‌ها به دلیل قوانین QoS حذف شده‌اند ارائه دهد. برای مثال در یک سناریوی عملی با استفاده از این دستور می‌توانید مشاهده کنید که ترافیک غیرضروری یا با اولویت پایین حذف شده است تا منابع شبکه به بسته‌های مهم‌تر اختصاص یابد.

عوامل نرم‌افزاری و امنیتی موثر بر Packet Drop پنهان

Packet Drop پنهان به دلیل مشکلات نرم‌افزاری یا تنظیمات امنیتی در شبکه رخ می‌دهد که به‌راحتی قابل شناسایی نیستند. این دراپ‌ها ممکن است به علت تنظیمات نادرست فایروال‌ها، ACL‌ها، یا حتی مشکلات امنیتی در سیستم‌عامل‌های شبکه ایجاد شوند. برای شناسایی این مشکلات باید به دقت پیکربندی‌های امنیتی و نرم‌افزاری را بررسی کرد.

تاثیر ACLهای سنگین بر عملکرد سخت‌افزاری (TCAM)

ACLهای پیچیده و سنگین می‌توانند بار زیادی بر روی سخت‌افزارهای شبکه مانند TCAM (Ternary Content-Addressable Memory)  وارد کنند. این باعث کاهش عملکرد پردازش بسته‌ها و در برخی موارد منجر به از دست رفتن بسته‌ها می‌شود. استفاده بهینه از ACLها و طراحی مناسب آن‌ها می‌تواند از کاهش کارایی سخت‌افزار و دراپ‌های شبکه جلوگیری کند.

دراپ‌های ناشی از Control Plane Policing (CoPP) برای محافظت از CPU

Control Plane Policing (CoPP) نوعی مکانیزم امنیتی است که برای محافظت از CPU شبکه در برابر ترافیک مخرب عمل می‌کند. تنظیمات نادرست یا محدودیت‌های CoPP می‌تواند باعث دراپ بسته‌ها شود، زیرا بسته‌هایی که نیاز به پردازش توسط CPU دارند به دلیل سیاست‌های محدودکننده حذف می‌شوند. تنظیمات بهینه CoPP می‌تواند از این مشکل جلوگیری کند و امنیت شبکه را حفظ کند.

تاثیر ناپایداری Spanning Tree و Loopهای میلی‌ثانیه‌ای بر حذف بسته‌ها

ناپایداری در پروتکل Spanning Tree و بروز Loopهای کوتاه مدت می‌تواند باعث اختلال در مسیر بسته‌ها و در نتیجه حذف آن‌ها شود. این Loopها در مقیاس میلی‌ثانیه‌ای رخ می‌دهند و اغلب به دلیل تغییرات ناگهانی در توپولوژی شبکه به وجود می‌آیند. با تنظیمات صحیح و بهینه Spanning Tree، می‌توان از بروز این مشکلات و دراپ‌های ناشی از آن‌ها جلوگیری کرد.

نقشه راه عملی برای پیدا کردن محل دقیق Drop (Troubleshooting Steps)

برای شناسایی محل دقیق از دست رفتن بسته‌ها (Drop)، باید مراحل مختلف عیب‌یابی را به دقت دنبال کنید. هر مرحله به شما کمک می‌کند تا علت اصلی مشکل را شفاف‌سازی کنید و از بروز مشکلات مشابه جلوگیری نمایید. این مراحل شامل بررسی اطلاعات شبکه، تحلیل ترافیک و استفاده از ابزارهای پیشرفته است.

پیش از شروع مراحل پیشرفته عیب‌یابی، پیشنهاد می‌کنیم با [دستورات ابتدایی و پرکاربرد سیسکو] جهت جابجایی بین محیط‌های کنترلی و مانیتورینگ اولیه مسلط باشید.

مرحله ۱: بررسی کلی با show interfaces counters discard

در این مرحله باید از دستور  show interfaces counters discard برای مشاهده تعداد بسته‌های از دست رفته روی هر رابط استفاده کنید. این دستور به شما یک دید کلی از وضعیت ترافیک روی رابط‌های مختلف می‌دهد و به شناسایی مشکلات اولیه کمک می‌کند. اگر تعداد بسته‌های discard بالا باشد، می‌توان به بررسی دقیق‌تر پرداخت.

مرحله ۲: تحلیل دقیق بافرها با دستورات خانواده show buffers

برای شناسایی مشکلات دقیق‌تری که به بافرها مربوط می‌شود، از دستورات خانواده  show buffers استفاده کنید. این دستورات به شما اطلاعاتی درباره ظرفیت و وضعیت بافرهای سیستم می‌دهند. اگر بافرها پر شده باشند، ممکن است بسته‌ها از دست بروند و نیاز به تنظیمات بهینه‌سازی باشد.

در سوئیچ‌های Catalyst، دراپ در ورودی (Input Drop) معمولاً به دلیل ناتوانی CPU نیست، بلکه به دلیل کمبود Internal Buffer Shared است. خروجی زیر را تحلیل کنید:

show buffers

دنبال کلمه failures بگردید. اگر در بخش Public Buffers تعداد دراپ‌ها در حال افزایش است، یعنی سخت‌افزار سوئیچ توان پردازش حجم Packet-per-second ورودی را ندارد (مشکل Oversubscription).

مرحله ۳: استفاده از Wireshark و SPAN Port برای دیدن بسته‌های گمشده

در نهایت استفاده از Wireshark و تنظیم یک SPAN Port برای نظارت بر ترافیک شبکه به شما امکان مشاهده دقیق‌تر بسته‌های گمشده را می‌دهد. Wireshark ابزار قدرتمندی است که می‌تواند به شما کمک کند تا بسته‌ها را شبیه‌سازی کرده و دلیل دقیق از دست رفتن آن‌ها را شناسایی کنید.

گاهی دراپ‌ها «عمدی» هستند. اگر روی پورت Policy تنظیم شده، دستور زیر تنها راه دیدن حقیقت است:

show policy-map interface <int-id>

در این خروجی، مقدار pkts dropped در بخش Service-policy به شما می‌گوید که آیا Police در حال سرکوب ترافیک است یا خیر.

جمع‌بندی و راهکارهای پیشگیری

برای جلوگیری از مشکلات Packet Drop در سوئیچ سیسکو، ادمین‌ها باید نظارت مداوم بر وضعیت شبکه و استفاده بهینه از ابزارهای مانیتورینگ مانند  show interfaces و  Wireshark را در دستور کار خود قرار دهند. همچنین تنظیمات بهینه مانند مدیریت بافرها، سیاست‌های QoS و به‌روزرسانی سخت‌افزار می‌توانند به جلوگیری از این مشکلات کمک کنند. در نهایت شناسایی و رفع مشکلات زیرساختی و امنیتی شبکه نقش کلیدی در حفظ پایداری و عملکرد بهینه شبکه دارد. برای مشاوره تخصصی و بهبود عملکرد شبکه با ما در تماس باشید.