Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Example: Configuração do espelhamento de porta local em roteadores PTX

Este exemplo mostra como configurar e verificar o espelhamento de porta local em plataformas PTX que executam o Junos Evolved. As plataformas PTX incluem PTX10001-36MR, LC1201 e LC1202 nos chassis PTX10004, PTX10008 e PTX10016

Antes de começar

Requisitos de hardware e software

Junos OS Evolved versão 22.2R1.12-EVO ou posterior.

PTX10001-36MR

Consulte o Explorador de recursos para obter uma lista completa das plataformas suportadas e versões do Junos OS.

Tempo estimado de leitura

Quinze minutos.

Tempo estimado de configuração

Trinta minutos

Impacto nos negócios

Use este exemplo de configuração para configurar o recurso de espelhamento de porta local. O espelho de porta é uma ferramenta crítica para tarefas relacionadas à depuração e segurança. O tráfego espelho pode ser analisado offline por uma variedade de ferramentas para ver interações de protocolo ou para detecção de anomalias.

Saiba mais

Para entender melhor o espelhamento de porta, consulte Espelhamento de porta e analisadores

Saiba Mais

Portal de Aprendizagem

Visão geral funcional

A Tabela 1 fornece um resumo rápido dos protocolos e tecnologias implantados neste exemplo.

Tabela 1: Visão geral funcional do espelhamento de porta local

Protocolos de roteamento e sinalização

OSPF e OSPF3

Todos os roteadores executam OSPF e OSPF3 como o IGP. Todos os roteadores pertencem à área 0 (também chamada de área de backbone). Os domínios de roteamento OSPF/OSPF3 fornecem acessibilidade interna a todas as redes e interfaces na topologia.

Neste exemplo, os dispositivos CE e PE/P fazem parte do mesmo domínio de roteamento IGP. Como resultado, não são necessários túneis entre os dispositivos PE para transportar o tráfego CE pelo núcleo. Além disso, como esse é um caso de uso de espelho local, o encapsulamento GRE não é necessário ao enviar tráfego espelhado para a estação de monitoramento.

Protocolos de roteamento

IPv4 e IPv6

Todos os dispositivos são configurados para oferecer suporte ao roteamento de IPv4 e IPv6.

Analisador (estação de monitoramento)

Centos e Wireshark

O analisador executa o Centos 7.x com uma versão GUI do Wireshark.

Visão geral da topologia

Neste exemplo, o dispositivo R3 funciona como o dispositivo em teste (DUT), pois é aqui que o espelhamento de porta está configurado. O dispositivo usa filtros de firewall para combinar os endereços IP associados aos dispositivos CE para acionar a ação de espelhamento de porta. Uma combinação de filtros de entrada e saída é empregada para espelhar o tráfego de solicitação e resposta que flui entre os dispositivos CE (R1 e R5).

Os filtros de firewall que evocam a amostragem de pacotes são aplicados a uma ou mais interfaces de trânsito no dispositivo R3.

Tabela 2: Visão geral da topologia de espelhamento de porta local
Nome do dispositivo

Função

Função
CE Dispositivo de borda do cliente (CE) que envia tráfego de teste para confirmar que a amostragem funciona corretamente. Esses dispositivos são designados como dispositivos CE. Na maioria dos casos, um dispositivo CE faz parte de um serviço VPN. Aqui, permitimos que o CE compartilhe a mesma Área 0 do OSPF que os dispositivos do provedor para fornecer conectividade IP da instância principal.
PE Dispositivo de borda do provedor (PE) que se conecta ao CE. Dispositivos na borda da rede de um provedor. Nossos PEs executam apenas OSPF. BGP e VPNs não estão implantados.
P Um provedor (P) de roteador de núcleo. Optamos por demonstrar o espelhamento de porta em um roteador P. Você pode configurar o espelhamento de porta em qualquer um dos dispositivos do provedor, conforme necessário.
Analisador O dispositivo analisador recebeu o tráfego espelho para armazenamento e análise. As especificidades do analisador estão fora do escopo deste documento. Existem várias opções comerciais e de código aberto disponíveis. Nosso analisador está executando o Centos 7.x com uma área de trabalho Gnome que suporta uma versão GUIO do Wireshark.

Ilustrações de topologia

Figura 1: Espelhamento de porta local
Network diagram showing routers R1 to R5 with IPs 172.16.1.1 and 172.16.2.1, connected via networks 10.0.12.0/24 to 10.0.45.0/24. Loopbacks 192.168.0.1/32 to 192.168.0.4/32. Switch S1 connects to R3. Used for CE-CE Lo0 pings.

Etapas de configuração do R3

Para obter informações sobre como navegar na CLI, consulte Utilização do Editor de CLI no Modo de Configuração

Observação:

Para obter a configuração completa em todos os dispositivos, consulte: Apêndice 2: Definir comandos em todos os dispositivos

Esta seção destaca as principais tarefas de configuração necessárias para configurar o DUT, que é o dispositivo P (R3) neste exemplo. Excluindo as especificações usadas para amostragem, todos os dispositivos têm uma configuração de linha de base semelhante que oferece suporte à conectividade IPv6 e IPv4 da instância principal.

  1. Configure a linha de base de roteamento IPv4 e IPv6. Isso inclui numerar as interfaces de loopback e voltadas para o núcleo para IPv4 e IPv6. Você também define o protocolo de roteamento OSPF e OSPFv3 para fornecer acessibilidade entre todas as interfaces de rede.

    Uma instância IGP passiva é provisionada para a interface anexada ao analisador. Isso fornece acessibilidade para fins de diagnóstico sem ter pacotes de saudação gerados na interface. Uma adjacência OSPF não é esperada ou necessária para o dispositivo analisador

    Observação: Para o caso de uso de espelho local, a conectividade IP só é necessária entre o analisador e o dispositivo que está fazendo o espelhamento de porta. Neste exemplo, executamos um IGP passivo na interface conectada ao analisador. Também configuramos uma rota padrão no analisador para fornecer conectividade IP entre ele e os outros dispositivos. Isso fornece a capacidade de testar a conectividade entre o analisador e todos os outros dispositivos. na topologia.

    Esse recurso é mais útil em um caso de espelho de porta remota onde há necessidade de acessibilidade de Camada 3 entre o dispositivo de amostragem e o analisador.

  2. Configure a taxa de amostragem. Usamos uma taxa de 1 para selecionar e amostrar todos os pacotes correspondentes. O padrão run-length de 0 é deixado em vigor, dado que todo o tráfego correspondente já está amostrado. Você também deve especificar a interface de saída e o endereço do próximo salto para o qual o tráfego espelhado é enviado. Neste exemplo de espelho de porta local, deve-se observar que a interface e os endereços do próximo salto especificados estão diretamente conectados ao DUT. Como resultado, nenhum túnel é necessário ou usado ao enviar o tráfego espelhado para o analisador.
    Observação:

    Essa configuração pressupõe que o analisador responda à solicitação ARP e ND enviada pelo DUT para resolução de endereço MAC. Se esse não for o caso, ou se você desejar que o tráfego ARP não faça parte de suas capturas de pacotes, configure uma entrada ARP estática. Certifique-se de especificar o endereço MAC correto para a interface no dispositivo analisador conectado ao DUT.

  3. Defina o filtro de firewall a ser correspondido e, em seguida, espelhe os pacotes IPv4. Observe que a ação do filtro especifica uma ação de espelhamento de porta. Essa ação direciona o tráfego correspondente para as instâncias de espelhamento de porta que você configurou anteriormente. Dois filtros são definidos, um para os endereços de origem e de destino de CE1 e CE2, respectivamente. Os filtros incluem uma função de contagem para auxiliar na confirmação da operação adequada.

    Não negligencie o termo final accept-all que substitui a ação padrão deny-all de um filtro de firewall do Junos!

  4. Defina o filtro de firewall para combinar e espelhar pacotes IPv6.

  5. Aplique os filtros IPv4 e IPv6 às interfaces desejadas. Em nosso exemplo, aplicamos os dois filtros à interface et-0/0/0. Observe a direcionalidade do aplicativo de filtro. Para cada fluxo de tráfego CE (IPv4 ou IPv6), aplicamos um filtro como entrada e outro como saída. Este método de aplicação é compatível com a forma como os filtros são escritos, dadas as atribuições de endereços e a direcionalidade do tráfego.

Verificação

  1. Confirme os vizinhos e rotas OSPF e OSPF3 para todos os endereços de loopback.

  2. Confirme a instância de espelhamento de porta em R3. Verifique se o estado de espelhamento de porta é up para a interface de espelhamento. Certifique-se de confirmar o up estado das famílias IPv4 e IPv6. Enquanto estiver aqui, é uma boa ideia confirmar a conectividade de IP entre o DUT e o analisador. Em nossa configuração, uma rota padrão é configurada no analisador para permitir o teste de ping de todos os pontos da rede. Tecnicamente, o analisador só precisa ser acessível pelo DUT (R3), pois este é um exemplo de espelhamento de porta local.

  3. Limpe os contadores de firewall e as estatísticas da interface em R3. Em seguida, gere o tráfego de teste IPv4 e IPv6 entre os dispositivos CE e exiba os contadores de firewall em R3. Verifique se os filtros aplicados ao R3 refletem corretamente o tráfego de teste.

  4. Exiba os contadores de firewall em R3. Verifique se os filtros aplicados ao R3 refletem corretamente o tráfego de teste gerado.

  5. Exiba as estatísticas da interface para a interface et-0/0/2.0 do R3 conectada ao analisador. O objetivo é confirmar os contadores de tráfego de saída que se correlacionam com o tráfego de teste gerado. Com dez pings para IPv4 e IPv6, e dado que espelhamos a solicitação e as respostas, você pode esperar ver cerca de 40 pacotes de saída.

  6. Execute o tcpdump ou o aplicativo de análise de sua escolha na estação de monitoramento para confirmar o recebimento e o processamento do tráfego de teste espelhado. Para manter o tamanho da captura menor, geramos um novo tráfego de teste com apenas duas solicitações de ping para cada IPv4 e IPv6. A captura e a decodificação confirmam que o espelhamento de portas IPv4 e IPv6, com base em uma correspondência de filtro de firewall, está funcionando conforme o esperado. Observe que o tráfego de solicitação e resposta é mostrado.

    Além disso, na captura, observe que somente o tráfego da Camada 3 é espelhado. O encapsulamento de Camada 2 mostrado é gerado pelo DUT (R3) ao encaminhar o tráfego espelhado para o analisador. Você pode configurar o espelhamento de porta para serviços de Camada 2, como comutação Ethernet ou VXLAN, quando precisar preservar o quadro original de Camada 2.

Apêndice: Definir comandos em todos os dispositivos

Para configurar rapidamente este exemplo, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para corresponder à sua configuração de rede e, em seguida, copie e cole os comandos na CLI no nível de [edit] hierarquia.

R1 (CE)

R2 (PE)

R3 (DUT)

R4 (PE)

R5 (CE)