Active Flow Monitoring – Überblick

Mit einem Multiservice Edge- oder Core-Router der T-Serie oder EX9200 der Juniper Networks M Series, einer Auswahl an PICs (einschließlich Monitoring Services PIC, Adaptive Services [AS] PIC, Multiservices PIC oder Multiservices DPC) und anderer Netzwerkhardware können Sie den Datenverkehrsfluss überwachen und den überwachten Datenverkehr exportieren. Durch die Überwachung des Datenverkehrs können Sie Folgendes tun:

• Sammeln und exportieren Sie detaillierte Informationen über den IPv4-Datenverkehr (IP Version 4) zwischen Quell- und Zielknoten in Ihrem Netzwerk.

• Prüfen Sie den gesamten eingehenden IPv4-Datenverkehr auf der Überwachungsschnittstelle und stellen Sie die Daten im cflowd-Datensatzformat dar.

• Führen Sie eine Verwerfungsabrechnung für einen eingehenden Datenverkehrsfluss durch.

• Verschlüsseln oder tunneln Sie ausgehende cflowd-Datensätze, abgefangenen IPv4-Datenverkehr (oder beides).

• Leiten Sie gefilterten Datenverkehr an verschiedene Paketanalysatoren weiter und stellen Sie die Daten in ihrem ursprünglichen Format (Portspiegelung) dar.

  Anmerkung:

  Monitoring Services PICs, AS PICs und Multiservices PICs müssen auf einem Enhanced Flexible PIC Concentrator (FPC) in einem Router der M Series oder T-Serie montiert werden.

  Multiservice-DPCs, die in Juniper Networks MX-Serie Universal Edge-Routern installiert sind, unterstützen die gleiche Funktionalität, mit Ausnahme der passiven Überwachungs- und Flow-Tap-Funktionen.

Obwohl der PIC für die Überwachungsdienste ursprünglich für die Verwendung als passives Offline-Durchflussüberwachungstool konzipiert wurde, kann er auch in einer aktiven Datenstromüberwachungstopologie verwendet werden. Im Gegensatz dazu ist der AS oder Multiservices PIC ausschließlich für die aktive Flussüberwachung konzipiert. Wenn Sie das Monitoring Services PIC, AS PIC oder Multiservices PIC für die aktive Datenstromüberwachung verwenden möchten, müssen Sie das PIC in einem Router der M Series oder T-Serie installieren. Der Router ist sowohl an der Überwachungsanwendung als auch an der normalen Routing-Funktionalität des Netzwerks beteiligt.

Beginnend mit Junos OS Version 11.4 wird die Unterstützung für die aktive Überwachung auf logische Systeme erweitert, die auf Routern der T-Serie und der MX-Serie ausgeführt werden. Ein logisches System ist eine Partition, die aus einem physischen Router erstellt wird, der unabhängige Routing-Aufgaben ausführt. Mehrere logische Systeme in einem einzigen Router mit eigenen Schnittstellen, Richtlinien, Instanzen und Routing-Tabellen können Funktionen ausführen, die von mehreren verschiedenen Routern ausgeführt werden. Ein PIC für gemeinsame Dienste verarbeitet Datenströme aus allen logischen Systemen. Es werden nur Datenströme der Version 9, IPv4- und MPLS-Vorlagen unterstützt. Siehe Beispiel: Konfigurieren der aktiven Überwachung auf dem logischen System eines Routers der M-, MX- oder T-Serie für eine Beispielkonfiguration, die die aktive Überwachung auf einem logischen System ermöglicht.

Angegebene Pakete können gefiltert und an die Überwachungsschnittstelle gesendet werden. Für das Monitoring Services-PIC enthält der Schnittstellenname das mo- Präfix. Für das AS- oder Multiservices-PIC enthält der Schnittstellenname das sp- Präfix.

Anmerkung:

Wenn Sie ein Upgrade vom Monitoring Services-PIC auf das Adaptive Services- oder Multiservices-PIC für die aktive Datenstromüberwachung durchführen, müssen Sie den Namen Ihrer Überwachungsschnittstelle von mo-fpc/pic/port in sp-fpc/pic/port ändern.

Die wichtigsten aktiven Datenstromüberwachungsaktionen, die Sie auf Hierarchieebene [edit forwarding-options] konfigurieren können, lauten wie folgt:

• Stichproben mit der [edit forwarding-options sampling]-Hierarchie. Mit dieser Option wird eine Kopie des Datenverkehrsdatenstroms an ein AS- oder Monitoring Services-PIC gesendet, das begrenzte Informationen (z. B. die Quell- und Ziel-IP-Adresse) aus einigen Paketen in einem Datenfluss extrahiert. Die Originalpakete werden wie gewohnt an das vorgesehene Ziel weitergeleitet.

• Verwerfen Sie die Buchhaltung mit der Hierarchie [edit forwarding-options accounting] . Mit dieser Option werden unerwünschte Pakete unter Quarantäne gestellt, cflowd-Datensätze erstellt, die die Pakete beschreiben, und die Pakete werden verworfen, anstatt sie weiterzuleiten.

• Portspiegelung mit der Hierarchie [edit forwarding-options port-mirroring] . Mit dieser Option wird eine vollständige Kopie aller Pakete in einem Datenfluss erstellt und die Kopie an ein einzelnes Ziel übermittelt. Die Originalpakete werden an das vorgesehene Ziel weitergeleitet.

• Spiegelung mehrerer Ports mit der [edit forwarding-options next-hop-group] Hierarchie. Mit dieser Option können mehrere Kopien des ausgewählten Datenverkehrs an mehrere Ziele übermittelt werden. (Für die Spiegelung mehrerer Ports ist ein Tunnelservices-PIC erforderlich.)

Im Gegensatz zur passiven Datenstromüberwachung müssen Sie keine Überwachungsgruppe konfigurieren. Stattdessen können Sie gefilterte Pakete an eine Überwachungsdienst- oder adaptive Services-Schnittstelle (mo- oder sp-) senden, indem Sie Stichprobenerstellung oder Verwerfungsabrechnung verwenden. Optional können Sie die Portspiegelung oder die Spiegelung mehrerer Ports konfigurieren, um Pakete an zusätzliche Schnittstellen weiterzuleiten.

Diese aktiven Optionen zur Überwachung des Datenstroms bieten eine Vielzahl von Aktionen, die für Netzwerkdatenströme ausgeführt werden können. Es gelten jedoch folgende Einschränkungen:

• Der Router oder Switch kann jederzeit eine Sampling-Port-Spiegelung or durchführen.

• Der Router oder Switch kann jederzeit eine Weiterleitungsverwerfungsabrechnung or durchführen.

Da mit den PICs Monitoring Services, AS und Multiservices jeweils nur eine Aktion ausgeführt werden kann, stehen die folgenden Konfigurationsoptionen zur Verfügung:

• Probenahme und Weiterleitung

• Probenahme und Verwerfungsbuchhaltung

• Portspiegelung und -weiterleitung

• Portspiegelung und Verwerfungsabrechnung

• Sampling und Portspiegelung für verschiedene Datenverkehrsgruppen

Abbildung 1 zeigt eine Beispieltopologie.

In Abbildung 1 gelangt der Datenverkehr von Router 1 über die Gigabit-Ethernet-Schnittstelle ge-2/3/0 des Überwachungsrouters. Die Ausgangsschnittstelle des Überwachungsrouters, die zum Zielrouter 2 führt, ist ge-3/0/0, kann aber ein beliebiger Schnittstellentyp sein (z. B. SONET, Gigabit-Ethernet usw.). Die Exportschnittstelle, die zum cflowd-Server führt, ist fe-1/0/0.

Um die aktive Überwachung zu aktivieren, konfigurieren Sie einen Firewall-Filter auf der Schnittstelle ge-2/3/0 mit den folgenden Übereinstimmungsbedingungen:

• Datenverkehr, der bestimmten Firewallbedingungen entspricht, wird über filterbasierte Weiterleitung an den PIC der Überwachungsdienste gesendet. Dieser Datenverkehr wird unter Quarantäne gestellt und nicht an andere Router weitergeleitet.

• Der gesamte andere Datenverkehr wird über einen Port an das PIC für Überwachungsdienste gespiegelt. Die Portspiegelung kopiert jedes Paket und sendet die Kopien an den nächsten Hop für die Portspiegelung (in diesem Fall ein Überwachungsdienste-PIC). Die Originalpakete werden wie gewohnt aus dem Router weitergeleitet.