Сеть лавинно рассылается на вид пустыми пакетами

Во-первых, ни количество кадров, ни объем данных не должны как таковые существенно влиять на сетевые соединения даже при наличии только Fast Ethernet - 5000 кадров по 500 байт составляют немного меньше 2, 5 МБ / с данных. Однако они могут запускать механизмы обнаружения широковещательного шторма на ваших коммутаторах, что приводит к отбрасыванию широковещательных кадров законного трафика, особенно запросов ARP, что может отрицательно повлиять на IP-соединение (хотя обычно не прерывает его полностью, вы, вероятно, увидите потери пакетов из-за несвоевременного ARP. разрешение).

Кадры LLC в отправленном вами снимке выглядят странно. Ни исходный адрес, ни адрес назначения многоадресной рассылки не похожи на действительные реальные адреса. Также, формат кадра LLC нарушает стандарт - адреса NULL используются в сочетании с типом кадра UI - чего никогда не должно происходить:

Пустой адрес действителен только для использования в адресных полях XID и TEST PDU. Использование нулевого адреса (DSAP и SSAP) указано в ISO / IEC 8802-2.

(Источник: Учебник IEEE LLC )

Я подозреваю какое-то устройство (предположительно не Xerox, хотя исходный адрес разрешается в адресное пространство MAC Xerox - я бы ожидал, что они знают об основных правилах и соблюдают их) нарушает протокол. Попробуйте найти его, заглянув в таблицы FDB / адресов ваших управляемых коммутаторов: начните с произвольного управляемого коммутатора, найдите адрес 00: 00: 03: 20: 00: 00 в таблице, который предположительно будет связанный с восходящим портом к другому коммутатору,

Когда я смотрю на шестнадцатеричный дамп, я замечаю, что это одна и та же последовательность из четырех байтов, повторяющаяся снова и снова. Эта последовательность из четырех байтов не является допустимыми данными, и попытка ее декодирования не даст никакой полезной информации.

Эта повторяющаяся последовательность охватывает как исходный, так и целевой MAC-адрес, а также тип Ether. Это означает, что ни MAC-адрес источника, ни назначения ничего не значит, они были повреждены. Это также не кадр LLC, просто так получилось, что эта последовательность байтов была декодирована как LLC.

Если вы снова увидите что-то подобное, я сначала попробую перехватить трафик, используя адаптеры Ethernet более чем одной марки для Убедитесь, что эти поврежденные кадры действительно отправляются по сети, а не просто артефакт, введенный на машине, выполняющей захват.

Если вы установили, что этот трафик действительно пересылается по сети, вам нужно будет начать искать, какое устройство его создает. Это похоже на проблему низкого уровня на физическом уровне ниже уровня MAC. У вас не будет MAC-адресов, по которым можно будет пройти, поэтому единственный способ найти источник может заключаться в том, чтобы посмотреть на мигающий статус канала и отсоединить провода, пока не найдете тот, который производит эти пакеты.

Не исключено, что корень причиной было неисправное оборудование.

Неисправная сетевая карта может сделать это, и я понятия не имею, почему. Только очень редко я вижу это, но это всегда один сетевой адаптер, который сошел с ума. Замените его, и вы, скорее всего, никогда больше этого не увидите.