Unbegründete Leitungsauslastung

Liebe Community!

mir ist gestern die sehr langsame Downloadgeschwindigkeit im Büro aufgefallen und laut Speedtest bestätigte sich dies (Download ~1Mbps anstatt 8Mbps, Upload war schnell auf 8Mbps).
Der Provider bestätigte dieses Auslastung, aber dass die Leitung etc. voll da sind.
Dann habe ich die Firewalls (Master & Slave) neugestartet und alles war wieder gut, doch heute wieder dasselbe Problem.
Unter Top Sources & Destinations konnte ich nichts finden (nur 25MB auf Projektplattform, nicht 8GB wie es laut der stundenlangen Vollauslastung sein müsste).
Haben 8Mbps DSL synchron (sehr stabik und Fullspeed) mit 2 x Fortigate 60C (Master & Slave)

Hier ein paar Informationen:
MAC Adressen nach außen (Fortigate):
0009
0009
085B
...warum eine Dritte MAC mit 085B

Auslastungen:
98% Download Auslastung - 2,7Mbps durchwegs ausgelastet
3% Upload Auslastug - 7,5Mbps
Firewallauslasung - wenig
Latenzzeit (Master) - 100ms
Latenzzeit (Slave) - 4ms

Bereits erledigt:
Firewall neugestartet
Modem neugestartet
LAN (Modem) abgesteckt - sofort wieder auf 100% Download
Top Destinations & Sources geprüft - nur 25Mbit auf Projektplattform d.h. in Log's nichts ersichtlich
Nach Firewallneustart (Slave springt ein) - paar Sekunden 98% Download, dann OK für Stunden
Sämtliche Clients & Server mit ESET Virusscan & Spybo geprüft (vor 2 Wochen) - 1 betroffener Client durch T-Mobile Rechnungsspamvirus
UTM Profile seit 1 Monat auf Full UTM - sicherheitshalber

IGMP Multicasts werden schon nicht sewin ,nur neulich hat so ein MS Downloadmanager ()evtl. SCCM) 10 mal den gleichen Download gestartet...

So Netflow /Sflow Daten hast keine? Oder nen Proxy

Schau doch mal in Taskmanager der Clients nach..


Router mit IP Accounting Daten vor der Firewall?

3 Macs weil Du in der Regel 2 MACs über eine virtuelle ansprichst.

Hast Du bei deiner FW auch was wie "max Verbindungen"? Klingt so als hättest Du "nur" nach max-Downloadern gesucht. Wenn Du aber ein Virus (nur als Bsp) im Netz hast, dann ist es nicht selten das Du in sehr kurzer Zeit sehr viele Verbindungen aufbaust, welche jeweils kaum DL verursachen und daher nirgends zu sehene sind, aber in der Masse die Leitung auslasten.