Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
AUF DIESER SEITE
 

Konfigurieren von Portspiegelung und Analysetools

Grundlegendes zu Portspiegelungsanalysatoren

Die Portspiegelung kann für die Analyse des Datenverkehrs auf Routern und Switches verwendet werden, die im Gegensatz zu Hubs keine Pakete an jeden Port des Zielgeräts Broadcast. Bei der Portspiegelung werden Kopien aller Pakete oder richtlinienbasierten Stichprobenpakete an lokale oder Remote-Analysatoren gesendet, wo Sie die Daten überwachen und analysieren können.

Im Zusammenhang mit Port-Mirroring-Analysatoren verwenden wir den Begriff Switching-Gerät. Der Begriff gibt an, dass das Gerät (einschließlich Router) eine Switching-Funktion ausführt.

Sie können Analysetools auf Paketebene verwenden, um Folgendes zu erreichen:

  • Überwachung des Netzwerkdatenverkehrs

  • Durchsetzung von Netzwerknutzungsrichtlinien

  • Richtlinien zur Dateifreigabe durchsetzen

  • Identifizieren Sie die Ursachen von Problemen

  • Identifizieren von Stationen oder Anwendungen mit hoher oder abnormaler Bandbreitenauslastung

Sie können die Portspiegelung so konfigurieren, dass sie gespiegelt wird:

  • Bridged-Pakete (Layer-2-Pakete)

  • Geroutete Pakete (Layer-3-Pakete)

Gespiegelte Pakete können entweder auf eine lokale Schnittstelle für die lokale Überwachung oder auf eine VLAN- oder Bridge-Domäne für die Remote-Überwachung kopiert werden.

Folgende Pakete können kopiert werden:

  • Pakete, die in einen Port eintreten oder ihn verlassen: Sie können Pakete, die in einen Port eintreten oder ihn verlassen, in beliebiger Kombination für bis zu 256 Ports spiegeln. Sie können beispielsweise Kopien der Pakete, die in einige Ports eintreten, und der Pakete, die andere Ports verlassen, an denselben lokalen Analyseport oder dasselbe Analyse-VLAN senden.

  • Pakete, die in eine VLAN- oder Bridge-Domain eintreten oder diese verlassen: Sie können die Pakete, die in ein VLAN oder eine Bridge-Domain eintreten oder diese verlassen, entweder auf einen lokalen Analyzer-Port oder auf ein Analyzer-VLAN oder eine Bridge-Domain spiegeln. Sie können mehrere VLANs (bis zu 256 VLANs) oder Bridge-Domänen als Eingangseingänge für ein Analysegerät konfigurieren, einschließlich eines VLAN-Bereichs und privater VLANs (PVLANs).

  • Richtlinienbasierte Beispielpakete: Sie können eine richtlinienbasierte Stichprobe von Paketen spiegeln, die in eine Port-, VLAN- oder Bridge-Domäne gelangen. Sie konfigurieren einen Firewall-Filter mit einer Richtlinie, um die zu spiegelnden Pakete auszuwählen. Sie können die Probe an eine Port-Spiegelungs-Instanz oder an ein Analyse-VLAN oder eine Bridge-Domäne senden.

Übersicht über Analyzer

Sie können ein Analysetool so konfigurieren, dass sowohl der Eingabedatenverkehr als auch der Ausgabedatenverkehr in derselben Analysekonfiguration definiert werden. Der zu analysierende Eingabedatenverkehr kann entweder Datenverkehr sein, der in eine Schnittstelle oder ein VLAN eindringt, oder Datenverkehr, der eine Schnittstelle oder ein VLAN verlässt. Mit der Konfiguration des Analyzers können Sie diesen Datenverkehr an eine Ausgabeschnittstelle, eine Instanz, eine Next-Hop-Gruppe, ein VLAN oder eine Bridge-Domäne senden. Sie können ein Analysetool auf Hierarchieebene [edit forwarding-options analyzer] konfigurieren.

Statistical Analyzer – Übersicht

Sie können eine Reihe von Spiegelungseigenschaften definieren, z. B. Spiegelungsrate und maximale Paketlänge für Datenverkehr, die Sie explizit an physische Ports auf dem Router oder Switch binden können. Dieser Satz von Spiegelungseigenschaften stellt ein statistisches Analysetool dar (auch als nicht standardmäßiges Analysetool bezeichnet). Auf dieser Ebene können Sie eine benannte Instanz an die physischen Ports binden, die einem bestimmten FPC zugeordnet sind.

Überblick über das Standardanalysetool

Sie können ein Analysetool konfigurieren, ohne Spiegelungseigenschaften (z. B. Spiegelungsrate oder maximale Paketlänge) zu konfigurieren. Standardmäßig ist die Spiegelungsrate auf 1 und die maximale Paketlänge auf die vollständige Länge des Pakets festgelegt. Diese Eigenschaften werden auf globaler Ebene angewendet und müssen nicht an einen bestimmten FPC gebunden sein.

Portspiegelung an einer Gruppe von Ports, die an mehrere statistische Analysetools gebunden sind

Sie können bis zu zwei statistische Analysetools auf dieselben Portgruppen des Switching-Geräts anwenden. Durch Anwenden von zwei verschiedenen statistischen Analyseinstanzen auf dieselbe FPC oder Packet Forwarding Engine können Sie zwei verschiedene Layer-2-Spiegelungsspezifikationen an eine einzige Portgruppe binden. Spiegelungseigenschaften, die an einen FPC gebunden sind, überschreiben alle Analyseeigenschaften (Standardanalyseeigenschaften), die auf globaler Ebene auf dem Switching-Gerät gebunden sind. Standardanalyseeigenschaften werden überschrieben, indem eine zweite Analyseinstanz an dieselbe Portgruppe gebunden wird.

Terminologie des Port Mirroring Analyzers

Tabelle 1 listet einige Begriffe der Portspiegelungsanalyse und ihre Beschreibungen auf.

Tabelle 1: Terminologie des Analysetools
Begriff Beschreibung

Analysator

In einer Spiegelungskonfiguration umfasst das Analysetool:

  • Der Name des Analysetools

  • Quellports (Eingangsports), VLANs oder Bridge-Domänen

  • Das Ziel für gespiegelte Pakete (entweder ein lokaler Port, ein VLAN oder eine Bridge-Domäne)

Ausgabeschnittstelle des Analysators

(Auch als Monitor-Port bezeichnet)

Schnittstelle, an die gespiegelter Datenverkehr gesendet wird und ein Protokollanalysator angeschlossen ist.

Schnittstellen, die als Ausgabe für ein Analysetool verwendet werden, müssen unter der forwarding-options Hierarchieebene konfiguriert sein.

Für Analyse-Ausgabeschnittstellen gelten die folgenden Einschränkungen:

  • Sie können nicht auch ein Quellport sein.

  • Sie sind nicht an Layer-2-Protokollen wie dem Spanning Tree Protocol (STP) beteiligt.

  • Wenn die Bandbreite der Ausgabeschnittstelle des Analysetools nicht ausreicht, um den Datenverkehr von den Quellports zu verarbeiten, werden Überlaufpakete verworfen.

Analyzer-VLAN oder Bridge-Domäne

(Auch als Monitor-VLAN oder Bridge-Domain bezeichnet)

VLAN- oder Bridge-Domain, an die gespiegelter Datenverkehr gesendet wird, damit er von einem Protokollanalysator verwendet wird. Die Mitgliedsschnittstellen in der Monitor-VLAN- oder Bridge-Domäne sind auf die Switching-Geräte in Ihrem Netzwerk verteilt.

Bridge-Domain-basierter Analysator

Eine Analysesitzung, die für die Verwendung von Bridge-Domänen für Eingabe, Ausgabe oder beides konfiguriert ist.

Standard-Analysator

Ein Analysetool mit Standardspiegelungsparametern. Standardmäßig beträgt die Spiegelungsrate 1 und die maximale Paketlänge die Länge des gesamten Pakets.

Eingabeschnittstelle

(Auch als gespiegelte Ports oder überwachte Schnittstellen bezeichnet)

Eine Schnittstelle auf dem Switching-Gerät, an der der Datenverkehr, der in diese Schnittstelle ein- oder ausgeht, gespiegelt wird.

LAG-basiertes Analysetool

Ein Analysetool, für das eine Link Aggregation Group (LAG) als Eingabeschnittstelle (Eingangsschnittstelle) in der Analysekonfiguration angegeben ist.

Lokale Spiegelung

Eine Analysekonfiguration, bei der Pakete an einen lokalen Analyseport gespiegelt werden.

Überwachungsstation

Ein Computer, auf dem ein Protokollanalysator ausgeführt wird.

Analysator basierend auf Next-Hop-Gruppe

Eine Analysetoolkonfiguration, die die Next-Hop-Gruppe als Ausgabe für ein Analysetool verwendet.

Port-basierter Analysator

Eine Analysekonfiguration, die Schnittstellen für die Eingabe und Ausgabe definiert.

Anwendung für Protokollanalysator

Eine Anwendung zur Untersuchung von Paketen, die über ein Netzwerksegment übertragen werden. Häufig auch als Netzwerkanalysator, Paket-Sniffer oder Sonde bezeichnet.

Remote-Spiegelung

Funktioniert genauso wie die lokale Spiegelung, mit dem Unterschied, dass der gespiegelte Datenverkehr nicht an einen lokalen Analyseport kopiert, sondern an ein Analyse-VLAN oder eine Bridge-Domäne geflutet wird, die Sie speziell für den Empfang von gespiegeltem Datenverkehr erstellen. Gespiegelte Pakete haben ein zusätzliches äußeres Tag des Analyse-VLANs oder der Bridge-Domäne.

Statistischer Analysator

(Auch als nicht standardmäßiges Analysetool bezeichnet)

Eine Reihe von Spiegelungseigenschaften, die Sie explizit an die physischen Ports des Switches binden können. Dieser Satz von Analyseeigenschaften wird als statistisches Analysetool bezeichnet.

VLAN-basierter Analysator

Eine Analyzer-Konfiguration, die VLANs verwendet, um den gespiegelten Datenverkehr an den Analyzer zu liefern.

Konfigurationsrichtlinien für Portspiegelungsanalysatoren

Wenn Sie Portspiegelungsanalysatoren konfigurieren. Wir empfehlen Ihnen, diese Richtlinien zu befolgen, um einen optimalen Nutzen zu erzielen. Es wird empfohlen, die Spiegelung zu deaktivieren, wenn Sie sie nicht verwenden, und bestimmte Schnittstellen als Eingabe für das Analysetool auszuwählen, anstatt die all Schlüsselwortoption zu verwenden, die die Spiegelung auf allen Schnittstellen ermöglicht. Wenn nur notwendige Pakete gespiegelt werden, werden potenzielle Auswirkungen auf die Leistung reduziert.

Sie können die Menge des gespiegelten Datenverkehrs auch wie folgt begrenzen:

  • Statistische Stichproben verwenden

  • Verwenden eines Firewall-Filters

  • Festlegen eines Verhältnisses zur Auswahl einer statistischen Stichprobe

Bei der lokalen Spiegelung wird der Datenverkehr von mehreren Ports an die Ausgabeschnittstelle des Analysetools repliziert. Wenn die Ausgabeschnittstelle für ein Analysegerät die Kapazität erreicht, werden Pakete verworfen. Sie müssen berücksichtigen, ob der gespiegelte Datenverkehr die Kapazität der Analyse-Ausgabeschnittstelle überschreitet.

Tabelle 2 fasst weitere Konfigurationsrichtlinien für Analysetools zusammen.

Tabelle 2: Konfigurationsrichtlinien für Portspiegelungsanalysatoren

Leitlinie

Wert- oder Supportinformationen

Kommentar

Anzahl der Analysetools, die Sie gleichzeitig aktivieren können.

64 Standard-Analysetools

2 pro FPC – Statistischer Analysator

Statistische Analysetools müssen an einen FPC gebunden sein, um den Datenverkehr auf Ports zu spiegeln, die zu diesem FPC gehören.

Hinweis:

Standardanalyseeigenschaften sind implizit an die letzte (oder vorletzte) Instanz auf allen FPCs im System gebunden. Wenn Sie also explizit ein zweites statistisches Analysetool auf dem FPC binden, werden die Standardeigenschaften des Analysetools überschrieben.

Anzahl der Schnittstellen, VLANs oder Bridge-Domänen, die Sie als Eingangseingabe für ein Analysetool verwenden können.

256

–

Arten von Ports, auf denen Sie den Datenverkehr nicht spiegeln können.

  • Virtual Chassis-Ports (VCPs)

  • Verwaltung Ethernet-Ports (ME0 oder VME0)

  • Integrierte Routing- und Bridging-Schnittstellen (IRB)

  • VLAN-getaggte Layer-3-Schnittstellen

 

Protokollfamilien, die Sie in ein Analysetool aufnehmen können.

ethernet-switching für Switches der EX9200-Serie und bridge für Router der MX-Serie.

Ein Analysetool spiegelt nur den überbrückten Datenverkehr wider. Um gerouteten Datenverkehr zu spiegeln, verwenden Sie die Portspiegelungskonfiguration mit family as inet oder inet6.

Pakete mit Fehlern auf der physischen Schicht werden nicht an den lokalen oder Remote-Analysator gesendet.

Anwendbar

Pakete mit diesen Fehlern werden herausgefiltert und somit nicht an den Analysator gesendet.

Analyzer unterstützt keinen Datenverkehr mit Leitungsgeschwindigkeit.

Anwendbar

Die Spiegelung für Datenverkehr mit Leitungsgeschwindigkeit erfolgt nach bestmöglichem Bemühen.

Ausgabe des Analyzers auf einer LAG-Schnittstelle.

Unterstützt

 

Ausgabeschnittstellenmodus des Analysators als Bündelfunkmodus.

Unterstützt

  • Die Trunk-Schnittstelle muss Mitglied aller VLANs oder Bridge-Domänen sein, die mit der Eingabekonfiguration des Analysators zusammenhängen.

  • Sie müssen die mirror-once Option verwenden, wenn die Eingabe als VLAN oder Bridge-Domäne konfiguriert wurde und die Ausgabe eine Trunk-Schnittstelle ist.

    Hinweis:

    Wenn die Analyseeingabe sowohl aus der Eingangs- als auch aus der Ausgangsspiegelung stammt, wird mit der Option "Einmal spiegeln" nur der eingehende Datenverkehr gespiegelt. Wenn sowohl Eingangs- als auch Ausgangsspiegelung erforderlich sind, darf die Ausgabeschnittstelle kein Trunk sein. Konfigurieren Sie in solchen Fällen die Schnittstelle als Zugriffsschnittstelle.

Ausgangsspiegelung von Host-generierten Steuerpaketen.

Nicht unterstützt

 

Konfigurieren logischer Layer-3-Schnittstellen in der input Zeilengruppe eines Analysetools.

Nicht unterstützt

 

Die Eingangs- und Ausgangszeilen des Analysators, die Mitglieder desselben VLANs enthalten, oder das VLAN selbst müssen vermieden werden.

Anwendbar

 

Unterstützung für VLAN und seine Mitgliedsschnittstellen in verschiedenen Analysesitzungen

Nicht unterstützt

Wenn die Spiegelung konfiguriert ist, ist eines der Analysetools aktiv.

Ausgangsspiegelung von aggregierten Ethernet-Schnittstellen (ae) und deren untergeordneten logischen Schnittstellen, die für verschiedene Analysetools konfiguriert sind.

Nicht unterstützt

 

Konfigurieren der Spiegelung auf EX9200-Switches zur Analyse des Datenverkehrs (CLI-Verfahren)

Mit EX9200-Switches können Sie die Spiegelung konfigurieren, um Kopien von Paketen für die lokale Überwachung entweder an eine lokale Schnittstelle oder für die Remote-Überwachung an ein VLAN zu senden. Sie können Spiegelung verwenden, um die folgenden Pakete zu kopieren:

  • Pakete, die in einen Port eintreten oder ihn verlassen

  • Pakete, die in ein VLAN eintreten oder es verlassen

Optimale Vorgehensweise:

Spiegeln Sie nur notwendige Pakete, um potenzielle Auswirkungen auf die Leistung zu reduzieren. Wir empfehlen Ihnen:

  • Deaktivieren Sie die von Ihnen konfigurierten Analysetools, wenn Sie sie nicht verwenden.

  • Geben Sie einzelne Schnittstellen als Eingabe für Analysetools an, anstatt alle Schnittstellen als Eingabe anzugeben.

  • Begrenzen Sie die Menge des gespiegelten Datenverkehrs durch:

    • Verwendung statistischer Stichproben.

    • Festlegen von Verhältnissen zur Auswahl statistischer Stichproben.

    • Verwenden von Firewall-Filtern.
Hinweis:

Wenn Sie zusätzliche Analysetools erstellen möchten, ohne die vorhandenen Analysetools zu löschen, deaktivieren Sie die vorhandenen Analysetools mithilfe der disable analyzer analyzer-name Anweisung über die Befehlszeilenschnittstelle (CLI) oder über die J-Web-Konfigurationsseite für die Spiegelung.
Hinweis:

Schnittstellen, die als Ausgabe für einen Analysator verwendet werden, müssen unter der konfiguriert ethernet-switching familyund einem VLAN zugeordnet sein.

Konfigurieren eines Analyzers für die lokale Datenverkehrsanalyse

So spiegeln Sie Netzwerk- oder VLAN-Datenverkehr auf dem Switch mithilfe von Analysetools auf eine Schnittstelle auf dem Switch:

  1. Wählen Sie einen Namen für das Analysetool und geben Sie die Eingabe an:

    Erstellen Sie beispielsweise einen Analysator, der aufgerufen wird employee-monitor , um die Pakete zu überwachen, die in die Schnittstellen ge-0/0/0.0 und ge-0/0/1.0 gelangen:

  2. Konfigurieren Sie die Zielschnittstelle für die gespiegelten Pakete:

    Konfigurieren Sie beispielsweise ge-0/0/10.0 als Zielschnittstelle für das employee-monitor Analysetool:

Konfigurieren eines Analysetools für die Remotedatenverkehrsanalyse

So spiegeln Sie den Datenverkehr, der Schnittstellen oder ein VLAN auf dem Switch durchläuft, in ein VLAN, das für die Analyse von einem Remote-Standort aus verwendet wird:

  1. Konfigurieren Sie ein VLAN für die Übertragung des gespiegelten Datenverkehrs:

    Definieren Sie beispielsweise ein Analyse-VLAN mit dem Namen remote-analyzer und weisen Sie ihm die VLAN-ID 999zu:

  2. Versetzen Sie die Schnittstelle, die mit dem Distribution-Switch verbunden ist, in den Zugriffsmodus und ordnen Sie sie dem Analyse-VLAN zu:

    Stellen Sie beispielsweise die Schnittstelle ge-0/1/1 auf den Zugriffsmodus ein und verknüpfen Sie sie mit der VLAN-ID 999des Analysators:

  3. Konfigurieren Sie das Analysetool:
    1. Definieren Sie einen Analyzer und geben Sie den Datenverkehr an, der gespiegelt werden soll:

      Definieren Sie beispielsweise, für welchen Analysator der employee-monitor Datenverkehr Pakete umfasst, die in die Schnittstellen ge-0/0/0.0 und ge-0/0/1.0 eingehen:

    2. Geben Sie das VLAN des Analysetools als Ausgabe für den Analysetool an:

      Geben Sie beispielsweise das remote-analyzer VLAN als Ausgabeanalysator für das employee-monitor Analysetool an:

Konfigurieren eines statistischen Analysators für die lokale Datenverkehrsanalyse

So spiegeln Sie den Schnittstellendatenverkehr oder VLAN-Datenverkehr auf dem Switch mithilfe eines statistischen Analysetools auf eine Schnittstelle auf dem Switch:

  1. Wählen Sie einen Namen für das Analysetool und geben Sie die Eingabeschnittstellen an:

    Geben Sie beispielsweise ein Analysetool mit dem Namen employee-monitor und die Eingabeschnittstellen ge-0/0/0 und ge-0/0/1 an:

  2. Konfigurieren Sie die Zielschnittstelle für die gespiegelten Pakete:

    Konfigurieren Sie beispielsweise ge-0/0/10.0 als Zielschnittstelle für die gespiegelten Pakete:

  3. Geben Sie Spiegelungseigenschaften an.

    1. Geben Sie die Spiegelungsrate an, d. h. die Anzahl der Pakete, die pro Sekunde gespiegelt werden sollen:

      Der gültige Bereich liegt zwischen 1 und 65.535.

    2. Geben Sie an, mit welcher Länge gespiegelte Pakete abgeschnitten werden:

    Der gültige Bereich liegt zwischen 0 und 9216. Der Standardwert ist 0, was bedeutet, dass gespiegelte Pakete nicht abgeschnitten werden.

Konfigurieren eines statistischen Analysators für die Remotedatenverkehrsanalyse

So spiegeln Sie den Datenverkehr, der Schnittstellen oder ein VLAN auf dem Switch durchläuft, auf ein VLAN, um von einem Remote-Standort aus mit einem statistischen Analysetool analysiert zu werden:

  1. Konfigurieren Sie ein VLAN für die Übertragung des gespiegelten Datenverkehrs:

    Konfigurieren Sie beispielsweise ein VLAN, das mit der VLAN-ID 999aufgerufen wirdremote-analyzer:

  2. Versetzen Sie die Schnittstelle, die mit dem Distribution-Switch verbunden ist, in den Zugriffsmodus und ordnen Sie sie dem VLAN zu:

    Stellen Sie beispielsweise die Schnittstelle ge-0/1/1.0, die mit dem Distribution-Switch verbunden ist, in den Zugriffsmodus und ordnen Sie sie dem remote-analyzer VLAN zu:

  3. Konfigurieren Sie die statistische Analyse:
    1. Geben Sie den Datenverkehr an, der gespiegelt werden soll:

      Geben Sie beispielsweise die Pakete an, die in die Ports ge-0/0/0.0 und ge-0/0/1.0 gelangen, die gespiegelt werden sollen:

    2. Geben Sie eine Ausgabe für das Analysetool an:

      Geben Sie beispielsweise das remote-analyzer VLAN als Ausgabe für das Analysetool an:

  4. Geben Sie Spiegelungseigenschaften an.

    1. Geben Sie die Spiegelungsrate an, d. h. die Anzahl der Pakete, die pro Sekunde gespiegelt werden sollen:

      Der gültige Bereich liegt zwischen 1 und 65.535.

    2. Geben Sie die Länge an, auf die gespiegelte Pakete gekürzt werden sollen:

    Der gültige Bereich liegt zwischen 0 und 9216. Der Standardwert ist 0, was bedeutet, dass die gespiegelten Pakete nicht abgeschnitten werden.

Binden statistischer Analysatoren an Ports, die auf FPC-Ebene gruppiert sind

Sie können ein statistisches Analysetool an einen bestimmten FPC im Switch binden, d. h. Sie können die Instanz des statistischen Analysetools auf FPC-Ebene des Switches binden. Die im statistischen Analyzer angegebenen Spiegelungseigenschaften werden auf alle physischen Ports angewendet, die allen Packet Forwarding Engines auf dem angegebenen FPC zugeordnet sind.

So binden Sie eine benannte Instanz des Layer 2-Analyzers an einen FPC:

  1. Aktivieren Sie die Konfiguration der Switch-Chassis-Eigenschaften:

  2. Aktivieren Sie die Konfiguration eines FPC (und seiner installierten PICs):

  3. Binden Sie eine Instanz der statistischen Analyse an die FPC:

  4. (Optional) Um eine zweite Instanz der Layer-2-Spiegelung der Statistikanalyse an dieselbe FPC zu binden, wiederholen Sie Schritt 3, und geben Sie einen anderen Namen für die statistische Analyse an:

  5. Überprüfen Sie die Mindestkonfiguration der Bindung:

Hinweis:

Beim Binden einer zweiten Instanz (stats_analyzer-2 in diesem Beispiel) überschreiben die Spiegelungseigenschaften dieser Sitzung, sofern konfiguriert, alle Standardanalysetools.

Konfigurieren eines Analysetools mit mehreren Zielen mithilfe von Next-Hop-Gruppen

Sie können den Datenverkehr an mehrere Ziele spiegeln, indem Sie Next-Hop-Gruppen als Analyseausgabe konfigurieren. Die Spiegelung von Paketen an mehrere Ziele wird auch als Multipacket-Port-Spiegelung bezeichnet.

So spiegeln Sie den Schnittstellendatenverkehr oder VLAN-Datenverkehr auf dem Switch auf eine Schnittstelle auf dem Switch (mithilfe von Analysetools):

  1. Wählen Sie einen Namen für das Analysetool und geben Sie die Eingabe an:

    Erstellen Sie beispielsweise einen Analyzer employee-monitor , für den der Eingabedatenverkehr Pakete umfasst, die in die Schnittstellen ge-0/0/0.0 und ge-0/0/1.0 eingehen:

  2. Konfigurieren Sie die Zielschnittstelle für die gespiegelten Pakete:

    Konfigurieren Sie beispielsweise die Next-Hop-Gruppe nhg als Ziel für das employee-monitor Analysetool:

Definieren einer Next-Hop-Gruppe für die Layer-2-Spiegelung

Die Next-Hop-Gruppenkonfiguration auf Konfigurationsebene [edit forwarding-options] ermöglicht es Ihnen, einen Next-Hop-Gruppennamen, den Typ der in der Next-Hop-Gruppe zu verwendenden Adressen und die logischen Schnittstellen zu definieren, die die verschiedenen Ziele bilden, zu denen der Datenverkehr gespiegelt werden kann. Standardmäßig wird die Next-Hop-Gruppe mithilfe von Layer-3-Adressen mit der [edit forwarding-options next-hop-group next-hop-group-name group-type inet] Anweisung angegeben. Um eine Next-Hop-Gruppe anzugeben, die stattdessen Layer-2-Adressen verwendet, fügen Sie die [edit forwarding-options next-hop-group next-hop-group-name group-type layer-2] Anweisung ein.

So definieren Sie eine Next-Hop-Gruppe für die Layer-2-Spiegelung:

  1. Aktivieren Sie die Konfiguration einer Next-Hop-Gruppe für die Layer-2-Spiegelung:

    Konfigurieren Sie beispielsweise next-hop-group mit name nhg:

  2. Geben Sie den Typ der Adressen an, die in der Next-Hop-Gruppenkonfiguration verwendet werden sollen:

    Konfigurieren Sie next-hop-group type z. B. als layer-2 , weil die Ausgabe des Analysetools nur sein layer-2 darf:

  3. Geben Sie die logischen Schnittstellen der Next-Hop-Gruppe an:

    So geben Sie beispielsweise ge-0/0/10.0 und ge-0/0/11.0 als logische Schnittstellen der Next-Hop-Gruppe nhgan:

Konfigurieren der Spiegelung auf EX4300-Switches zur Analyse des Datenverkehrs (CLI-Verfahren)

Hinweis:

Diese Aufgabe verwendet Junos OS für Switches der EX-Serie mit Unterstützung für den Konfigurationsstil Erweiterte Layer 2-Software (ELS).

Mit den EX4300-Switches können Sie die Spiegelung so konfigurieren, dass Kopien von Paketen entweder an eine lokale Schnittstelle für die lokale Überwachung oder an ein VLAN für die Remote-Überwachung gesendet werden. Sie können Spiegelung verwenden, um diese Pakete zu kopieren:

  • Pakete, die in einen Port eintreten oder ihn verlassen

  • Pakete, die in ein VLAN eingehen

Optimale Vorgehensweise:

Spiegeln Sie nur notwendige Pakete, um potenzielle Auswirkungen auf die Leistung zu reduzieren. Wir empfehlen Ihnen:

  • Deaktivieren Sie Ihre konfigurierten Spiegelungskonfigurationen, wenn Sie sie nicht verwenden.

  • Geben Sie einzelne Schnittstellen als Eingabe für Analysetools an, anstatt alle Schnittstellen als Eingabe anzugeben.

  • Begrenzen Sie die Menge des gespiegelten Datenverkehrs mithilfe von Firewall-Filtern.
Hinweis:

Wenn Sie zusätzliche Analysetools erstellen möchten, ohne die vorhandenen Analysetools zu löschen, deaktivieren Sie die vorhandenen Analysetools mithilfe der disable analyzer analyzer-name Anweisung in der Befehlszeilenschnittstelle oder auf der J-Web-Konfigurationsseite für die Spiegelung.
Hinweis:

Schnittstellen, die als Ausgabe für ein Analysetool verwendet werden, müssen unter der ethernet-switching Produktfamilie konfiguriert werden.

Konfigurieren eines Analyzers für die lokale Datenverkehrsanalyse

So spiegeln Sie den Schnittstellendatenverkehr oder VLAN-Datenverkehr auf dem Switch auf eine Schnittstelle auf dem Switch (mithilfe von Analysetools):

  1. Wählen Sie einen Namen für das Analysetool und geben Sie die Eingabe an:

    Erstellen Sie beispielsweise einen Analysebericht employee-monitor , bei dem der Eingabedatenverkehr aus Paketen besteht, die in die Schnittstellen ge-0/0/0.0 und ge-0/0/1.0 eingehen:

  2. Konfigurieren Sie die Zielschnittstelle für die gespiegelten Pakete:

    Konfigurieren Sie beispielsweise ge-0/0/10.0 als Zielschnittstelle für das employee-monitor Analysetool:

Konfigurieren eines Analysetools für die Remotedatenverkehrsanalyse

So spiegeln Sie den Datenverkehr, der Schnittstellen oder ein VLAN auf dem Switch durchläuft, zur Analyse von einem Remote-Standort auf ein VLAN (mithilfe von Analysetools):

  1. Konfigurieren Sie ein VLAN für die Übertragung des gespiegelten Datenverkehrs:

    Definieren Sie beispielsweise ein Analyse-VLAN mit dem Namen remote-analyzer und weisen Sie ihm die VLAN-ID zu 999:

  2. Versetzen Sie die mit dem Distribution-Switch verbundene Uplink-Modul-Schnittstelle in den Bündelfunkmodus und verknüpfen Sie sie mit dem Analyse-VLAN:

    Setzen Sie beispielsweise die Schnittstelle ge-0/1/1 auf den Bündelfunkmodus und verknüpfen Sie sie mit der VLAN-ID 999des Analysators:

  3. Konfigurieren Sie das Analysetool:
    1. Definieren Sie einen Analyzer und geben Sie den Datenverkehr an, der gespiegelt werden soll:

      Definieren Sie beispielsweise den employee-monitor Analysator, für den der Datenverkehr gespiegelt werden soll, Pakete, die in die Schnittstellen ge-0/0/0.0 und ge-0/0/1.0 eingehen:

    2. Geben Sie das VLAN des Analysetools als Ausgabe für den Analysetool an:

      Geben Sie beispielsweise das remote-analyzer VLAN als Ausgabeanalysator für das employee-monitor Analysetool an:

Konfigurieren der Portspiegelung

Um Pakete zu filtern, die in eine Portspiegelungsinstanz gespiegelt werden sollen, erstellen Sie die Instanz und verwenden Sie sie dann als Aktion im Firewallfilter. Sie können Firewall-Filter sowohl in lokalen als auch in Remote-Spiegelungskonfigurationen verwenden.

Wenn dieselbe Portspiegelungsinstanz in mehreren Filtern oder Begriffen verwendet wird, werden die Pakete nur einmal auf den Ausgabeport der Analysequelle oder das VLAN der Analyse kopiert.

Um gespiegelten Datenverkehr zu filtern, erstellen Sie eine Portspiegelungsinstanz unter der [edit forwarding-options] Hierarchieebene und dann einen Firewallfilter. Der Filter kann jede der verfügbaren Übereinstimmungsbedingungen verwenden und muss als Aktion haben port-mirror-instance instance-name . Diese Aktion in der Firewall-Filterkonfiguration liefert die Eingabe für die Portspiegelungsinstanz.

So konfigurieren Sie eine Portspiegelungsinstanz mit Firewall-Filtern:

  1. Konfigurieren Sie den Namen der Portspiegelungsinstanz (hier) employee-monitorund die Ausgabe:
    1. Legen Sie für die lokale Analyse die Ausgabe auf die lokale Schnittstelle fest, an die Sie den Computer anschließen, auf dem die Protokollanalyse ausgeführt wird:
    2. Für die Remote-Analyse setzen Sie die Ausgabe auf das remote-analyzer VLAN:
  2. Erstellen Sie einen Firewall-Filter mit einer der verfügbaren Übereinstimmungsbedingungen, und weisen Sie employee-monitor ihn der port-mirror-instance Aktion zu:

    Dieser Schritt zeigt einen Firewall-Filter example-filtermit zwei Begriffen (no-analyzer und to-analyzer):

    1. Erstellen Sie den ersten Begriff, um den Datenverkehr zu definieren, der nicht zur Portspiegelungsinstanz employee-monitordurchgelassen werden soll:
    2. Erstellen Sie den zweiten Begriff, um den Datenverkehr zu definieren, der zur Portspiegelungsinstanz employee-monitorgeleitet werden soll:
  3. Wenden Sie den Firewall-Filter auf die Schnittstellen oder VLANs an, die Eingaben für die Portspiegelungsinstanz liefern:

Konfigurieren der Portspiegelung zur Analyse des Datenverkehrs (CLI-Verfahren)

Diese Konfigurationsaufgabe verwendet Junos OS für Switches der EX-Serie, die den Konfigurationsstil für erweiterte Layer 2-Software (ELS) nicht unterstützen.

Mit den Switches der EX-Serie können Sie die Portspiegelung so konfigurieren, dass Paketkopien zur lokalen Überwachung entweder an eine lokale Schnittstelle oder zur Remote-Überwachung an ein VLAN gesendet werden. Sie können die Portspiegelung verwenden, um diese Pakete zu kopieren:

  • Pakete, die in einen Port eintreten oder ihn verlassen

  • Pakete, die auf EX2200-, EX3200-, EX3300-, EX4200-, EX4500- oder EX6200-Switches in ein VLAN eingehen

  • Pakete, die ein VLAN auf EX8200-Switches verlassen

Optimale Vorgehensweise:

Spiegeln Sie nur notwendige Pakete, um potenzielle Auswirkungen auf die Leistung zu reduzieren. Wir empfehlen Ihnen:

  • Deaktivieren Sie Ihre konfigurierten Portspiegelungsanalysatoren, wenn Sie sie nicht verwenden.

  • Geben Sie einzelne Schnittstellen als Eingabe für Analysetools an, anstatt alle Schnittstellen als Eingabe anzugeben.

  • Begrenzen Sie die Menge des gespiegelten Datenverkehrs durch:

    • Verwendung statistischer Stichproben.

    • Festlegen von Verhältnissen zur Auswahl statistischer Stichproben.

    • Verwenden von Firewall-Filtern.

Bevor Sie mit der Konfiguration der Portspiegelung beginnen, beachten Sie die folgenden Einschränkungen für Analyseausgabeschnittstellen:

  • Kann nicht auch ein Quellport sein.

  • Kann nicht für Switching verwendet werden.

  • Nehmen Sie nicht an Layer-2-Protokollen (wie RSTP) teil, wenn Sie Teil einer Portspiegelungskonfiguration sind.

  • Behalten Sie keine VLAN-Zuordnungen bei, die sie vor ihrer Konfiguration als Ausgabeschnittstellen für Analysetools hatten.

Hinweis:

Wenn Sie zusätzliche Analysetools erstellen möchten, ohne die vorhandene Analysefunktion zu löschen, deaktivieren Sie zunächst die vorhandene Analysefunktion über den disable analyzer analyzer-name Befehl oder die J-Web-Konfigurationsseite für die Portspiegelung.
Hinweis:

Schnittstellen, die als Ausgabe für ein Analysetool verwendet werden, müssen als Familie ethernet-switchingkonfiguriert sein.

Konfigurieren der Portspiegelung für die lokale Datenverkehrsanalyse

So spiegeln Sie den Schnittstellen- oder VLAN-Datenverkehr auf dem Switch auf eine andere Schnittstelle des Switch:

  1. Wählen Sie einen Namen für den Analysator – in diesem Fall employee-monitor– und geben Sie den Eingang an – in diesem Fall Pakete, die eingeben ge-0/0/0 und ge-0/0/1:
  2. Optional können Sie eine statistische Stichprobe der Pakete angeben, indem Sie ein Verhältnis festlegen:

    Wenn das Verhältnis auf 200 eingestellt ist, wird 1 von 200 Paketen an den Analysator gespiegelt. Sie können statistische Stichproben verwenden, um das Volumen des gespiegelten Datenverkehrs zu reduzieren, da ein hohes Volumen an gespiegeltem Datenverkehr für den Switch leistungsintensiv sein kann. Auf EX8200-Switches können Sie ein Verhältnis nur für Eingangspakete festlegen.

  3. Konfigurieren Sie die Zielschnittstelle für die gespiegelten Pakete:

Portspiegelung für die Remote-Datenverkehrsanalyse konfigurieren

So spiegeln Sie den Datenverkehr, der Schnittstellen oder ein VLAN auf dem Switch durchläuft, zur Analyse von einem Remote-Standort in ein VLAN:

  1. Konfigurieren Sie ein VLAN für die Übertragung des gespiegelten Datenverkehrs. Dieses VLAN wird remote-analyzer aufgerufen und erhält die ID 999 gemäß der Konvention in dieser Dokumentation:
  2. Stellen Sie die Schnittstelle des Uplink-Moduls, die mit dem Distribution-Switch verbunden ist, auf den Bündelfunkmodus ein, und ordnen Sie sie dem remote-analyzer VLAN:
  3. Konfigurieren Sie das Analysetool:
    1. Wählen Sie einen Namen und legen Sie die Verlustpriorität auf hoch fest. Die Verlustpriorität sollte bei der Konfiguration für die Remote-Port-Spiegelung immer auf hoch eingestellt werden:
    2. Geben Sie den Datenverkehr an, der gespiegelt werden soll – in diesem Beispiel die Pakete, die in Ports ge-0/0/0 eingehen und ge-0/0/1:
    3. Geben Sie die Option remote-analyzer VLAN als Ausgabe für den Analysator:
  4. Optional können Sie eine statistische Stichprobe der Pakete angeben, indem Sie ein Verhältnis festlegen:

    Wenn das Verhältnis auf 200 eingestellt ist, wird 1 von 200 Paketen an den Analysator gespiegelt. Sie können dies verwenden, um das Volumen des gespiegelten Datenverkehrs zu reduzieren, da ein sehr hohes Volumen an gespiegeltem Datenverkehr für den Switch leistungsintensiv sein kann.

Filtern des Datenverkehrs, der in ein Analysetool gelangt

Um zu filtern, welche Pakete an ein Analysetool gespiegelt werden, erstellen Sie das Analysetool und verwenden Sie es dann als Aktion im Firewallfilter. Sie können Firewall-Filter sowohl in lokalen als auch in Remote-Port-Spiegelungskonfigurationen verwenden.

Wenn derselbe Analysator in mehreren Filtern oder Begriffen verwendet wird, werden die Pakete nur einmal auf den Ausgangsport des Analysators oder das VLAN des Analysators kopiert.

Um gespiegelten Datenverkehr zu filtern, erstellen Sie ein Analysetool und dann einen Firewallfilter. Der Filter kann jede der verfügbaren Übereinstimmungsbedingungen verwenden und muss die Aktion . analyzer Die Aktion des Firewall-Filters liefert die Eingabe für das Analysetool.

So konfigurieren Sie die Portspiegelung mit Filtern:

  1. Konfigurieren Sie den Namen des Analysetools (hier) employee-monitorund die Ausgabe:
    1. Legen Sie für die lokale Analyse die Ausgabe auf die lokale Schnittstelle fest, mit der Sie den Computer verbinden, auf dem die Protokollanalyseanwendung ausgeführt wird:
    2. Stellen Sie für die Remote-Analyse die Verlustpriorität auf hoch und die Ausgabe auf den remote-analyzer VLAN:
  2. Erstellen Sie einen Firewall-Filter mit einer der verfügbaren Übereinstimmungsbedingungen, und geben Sie die Aktion wie folgt an analyzer:

    In diesem Schritt wird ein Firewallfilter mit dem Namen example-filter, mit zwei Begriffen angezeigt:

    1. Erstellen Sie den ersten Begriff, um den Datenverkehr zu definieren, der nicht an das Analysetool weitergeleitet werden soll:
    2. Erstellen Sie den zweiten Begriff, um den Datenverkehr zu definieren, der an das Analysetool weitergeleitet werden soll:
  3. Wenden Sie den Firewall-Filter auf die Schnittstellen oder VLANs an, die in das Analysetool eingegeben werden:

Überprüfung der Ein- und Ausgaben für Port-Spiegelungsanalysatoren auf Switches der EX-Serie

Zweck

Diese Verifizierungsaufgabe verwendet Junos OS für Switches der EX-Serie, die den Konfigurationsstil Enhanced Layer 2 Software (ELS) nicht unterstützen.

Stellen Sie sicher, dass auf dem Switch ein Analysator erstellt wurde und über die entsprechenden Spiegeleingangsschnittstellen und die entsprechende Ausgabeschnittstelle des Analysators verfügt.

Aktion

Sie können überprüfen, ob der Portspiegelungsanalysator wie erwartet konfiguriert ist, indem Sie den show analyzer Befehl verwenden.

Sie können alle auf dem Switch konfigurierten Portspiegelanalysatoren anzeigen, einschließlich der deaktivierten, indem Sie den show ethernet-switching-options Befehl im Konfigurationsmodus verwenden.

Bedeutung

Diese Ausgabe zeigt, dass der Mitarbeiter-Monitor-Analysator ein Verhältnis von 1 hat (standardmäßig jedes Paket spiegelt), eine Verlustpriorität von high (setzen Sie diese Option auf high immer dann, wenn der Analyseausgang an ein VLAN erfolgt), den Datenverkehr spiegelt, der in ge-0/0/0 und ge-0/0/1 eintritt, und den gespiegelten Datenverkehr an den als Remote-Analyzer bezeichneten Analysator sendet.

Beispiel: Konfigurieren von Portspiegelungsanalysatoren für die lokale Überwachung der Verwendung von Mitarbeiterressourcen

Mit Geräten von Juniper Networks können Sie die Portspiegelung so konfigurieren, dass Kopien von Paketen zur lokalen Überwachung, an ein VLAN oder zur Remote-Überwachung an eine Bridge-Domäne gesendet werden. Sie können Spiegelung verwenden, um diese Pakete zu kopieren:

  • Pakete, die in einen Port eintreten oder ihn verlassen

  • Pakete, die in eine VLAN- oder Bridge-Domäne eintreten oder diese verlassen

Anschließend können Sie den gespiegelten Datenverkehr lokal oder remote mit einem Protokollanalysator analysieren. Sie können ein Analysetool auf einer lokalen Zielschnittstelle installieren. Wenn Sie gespiegelten Datenverkehr an ein Analyse-VLAN oder eine Bridge-Domäne senden, können Sie einen Analysebericht auf einer Remoteüberwachungsstation verwenden.

In diesem Thema wird beschrieben, wie die lokale Spiegelung auf einem Switching-Gerät konfiguriert wird. In den Beispielen in diesem Thema wird beschrieben, wie ein Switching-Gerät so konfiguriert wird, dass der Datenverkehr, der in Schnittstellen eingeht, die mit Mitarbeitercomputern verbunden sind, an eine Analyseausgabeschnittstelle auf demselben Gerät gespiegelt wird.

Anforderungen

Verwenden Sie eine der folgenden Hardware- und Softwarekomponenten:

  • Ein EX9200-Switch mit Junos OS Version 13.2 oder höher

  • Ein Router der MX-Serie mit Junos OS Version 14.1 oder höher

Bevor Sie die Portspiegelung konfigurieren, sollten Sie sich mit den Spiegelungskonzepten vertraut machen. Informationen zu Analysetools finden Sie unter Grundlegendes zu Portspiegelungsanalysetools. Informationen zur Portspiegelung finden Sie unter Grundlegendes zur Layer 2-Portspiegelung.

Übersicht und Topologie

In diesem Abschnitt wird beschrieben, wie der gesamte Datenverkehr, der an Ports des Switching-Geräts gelangt, an eine Zielschnittstelle auf demselben Gerät gespiegelt wird (lokale Spiegelung). In diesem Fall gelangt der Datenverkehr in Ports, die mit den Computern der Mitarbeitenden verbunden sind.

Hinweis:

Die Spiegelung des gesamten Datenverkehrs erfordert viel Bandbreite und sollte nur während einer aktiven Untersuchung erfolgen.

Die Schnittstellen ge-0/0/0 und ge-0/0/1 dienen als Anschlüsse für Mitarbeiterrechner.

Die Schnittstelle ge-0/0/10 ist für die Analyse des gespiegelten Datenverkehrs reserviert.

Schließen Sie einen PC, auf dem ein Protokollanalysator ausgeführt wird, an die Ausgabeschnittstelle des Analysetools an.

Hinweis:

Mehrere Ports, die an eine Schnittstelle gespiegelt werden, können zu einem Pufferüberlauf führen, der dazu führt, dass gespiegelte Pakete an der Ausgabeschnittstelle verworfen werden.

Abbildung 1 zeigt die Netzwerktopologie für dieses Beispiel.

Abbildung 1: Beispiel für eine Netzwerktopologie für die lokale Portspiegelung Network Topology for Local Port Mirroring Example

Spiegelung des gesamten Mitarbeiterdatenverkehrs für lokale Analysen

Vorgehensweise

CLI-Schnellkonfiguration

Um schnell die lokale Spiegelung für eingehenden Datenverkehr zu konfigurieren, der über zwei Ports gesendet wird, die mit den Computern der Mitarbeitenden verbunden sind, kopieren Sie einen der folgenden Befehle für Switches der EX-Serie oder für Router der MX-Serie, und fügen Sie sie in das Terminalfenster des Switching-Geräts ein:

EX-Serie

MX-Serie

Schritt-für-Schritt-Anleitung

So konfigurieren Sie ein Analysetool mit dem Namen employee-monitor und geben sowohl die Eingabeschnittstellen (Quellschnittstellen) als auch die Ausgabeschnittstelle des Analysetools an:

  1. Konfigurieren Sie jede Schnittstelle, die in der Analysekonfiguration verwendet werden soll. Verwenden Sie das Familienprotokoll, das für Ihre Plattform korrekt ist.

    Um auf einer Schnittstelle zu konfigurieren family bridge , müssen interface-mode access Sie auch oder interface-mode trunk konfigurieren. Sie müssen auch konfigurieren vlan-id.

  2. Konfigurieren Sie jede Schnittstelle, die mit Mitarbeitercomputern verbunden ist, als Ausgabeanalyseschnittstelle employee-monitor.

  3. Konfigurieren Sie die Ausgabeanalyseschnittstelle für das employee-monitor Analysetool.

    Dies ist die Zielschnittstelle für die gespiegelten Pakete.

Ergebnisse

Überprüfen Sie die Ergebnisse der Konfiguration.

Verifizierung

Überprüfen, ob das Analysetool ordnungsgemäß erstellt wurde

Zweck

Stellen Sie sicher, dass der Analysator employee-monitor auf dem Switching-Gerät mit den entsprechenden Eingangsschnittstellen und der entsprechenden Ausgangsschnittstelle erstellt wurde.

Aktion

Verwenden Sie den show forwarding-options analyzer Befehl operational, um zu überprüfen, ob ein Analysetool wie erwartet konfiguriert ist.

Bedeutung

Die Ausgabe zeigt, dass der employee-monitor Analysator ein Verhältnis von 1 hat (d. h. jedes Paket spiegelt die Standardeinstellung), die maximale Größe des gespiegelten ursprünglichen Pakets 0 ist (was bedeutet, dass das gesamte Paket gespiegelt wird), der Status der Konfiguration ist up, und der Analysator spiegelt den Datenverkehr, der in die GE-0/0/0-Schnittstelle eintritt, und sendet den gespiegelten Datenverkehr an die GE-0/0/10-Schnittstelle.

Wenn der Status der Ausgabeschnittstelle lautet down oder wenn die Ausgabeschnittstelle nicht konfiguriert ist, gibt down der Wert von State an, dass das Analysetool keinen gespiegelten Datenverkehr empfängt.

Beispiel: Portspiegelung für die Remote-Überwachung der Nutzung von Mitarbeiterressourcen konfigurieren

Mit Geräten von Juniper Networks können Sie die Portspiegelung so konfigurieren, dass Kopien von Paketen zur lokalen Überwachung entweder an eine lokale Schnittstelle oder zur Remote-Überwachung an eine VLAN- oder Bridge-Domäne gesendet werden. Sie können Spiegelung verwenden, um diese Pakete zu kopieren:

  • Pakete, die in einen Port eintreten oder ihn verlassen

  • Pakete, die in ein VLAN eintreten oder es verlassen

  • Pakete, die in eine Bridge-Domäne eintreten oder diese verlassen

Wenn Sie gespiegelten Datenverkehr an ein Analyse-VLAN oder eine Bridge-Domäne senden, können Sie den gespiegelten Datenverkehr mithilfe eines Protokollanalysators analysieren, der auf einer Remoteüberwachungsstation ausgeführt wird.

Optimale Vorgehensweise:

Spiegeln Sie nur notwendige Pakete, um potenzielle Auswirkungen auf die Leistung zu reduzieren. Wir empfehlen Folgendes:

  • Deaktivieren Sie Ihre konfigurierten Spiegelungssitzungen, wenn Sie sie nicht verwenden.

  • Geben Sie einzelne Schnittstellen als Eingabe für Analysetools an, anstatt alle Schnittstellen als Eingabe anzugeben.

  • Begrenzen Sie die Menge des gespiegelten Datenverkehrs durch:

    • Verwendung statistischer Stichproben.

    • Festlegen von Verhältnissen zur Auswahl statistischer Stichproben.

    • Verwenden von Firewall-Filtern.

In den Beispielen in diesem Thema wird beschrieben, wie die Remoteportspiegelung konfiguriert wird, um die Ressourcennutzung von Mitarbeitern zu analysieren.

Anforderungen

In diesem Beispiel wird eines der folgenden Paare von Hardware- und Softwarekomponenten verwendet:

  • Ein EX9200-Switch, der mit einem anderen EX9200-Switch verbunden ist, auf denen jeweils Junos OS Version 13.2 oder höher ausgeführt wird

  • Ein Router der MX-Serie, der mit einem anderen Router der MX-Serie verbunden ist, auf denen jeweils Junos OS Version 14.1 oder höher ausgeführt wird

Bevor Sie die Remote-Spiegelung konfigurieren, stellen Sie Folgendes sicher:

Übersicht und Topologie

In diesem Abschnitt wird beschrieben, wie die Portspiegelung in ein Remote Analyzer-VLAN oder eine Bridge-Domäne konfiguriert wird, sodass die Analyse von einer Remoteüberwachungsstation aus durchgeführt werden kann.

Abbildung 2 zeigt die Netzwerktopologie sowohl für das Beispielszenario der EX-Serie als auch für das Beispielszenario der MX-Serie.

Topologie

Abbildung 2: Netzwerktopologie für Remote-Port-Spiegelung und -Analyse Network diagram showing Source Network Device linked to two employee computers via ports ge-0/0/0 and ge-0/0/1. It connects to Destination Network Device through port ge-0/0/10. Destination Network Device links to Remote Monitoring Station running protocol analyzer via port ge-0/0/5.

In diesem Beispiel:

  • Die Schnittstelle ge-0/0/0 ist eine Layer-2-Schnittstelle und die Schnittstelle ge-0/0/1 ist eine Layer-3-Schnittstelle (beides sind Schnittstellen auf dem Quellgerät), die als Verbindungen für Mitarbeitercomputer dienen.

  • Die Schnittstelle ge-0/0/10 ist eine Layer-2-Schnittstelle, die das Quell-Switching-Gerät mit dem Ziel-Switching-Gerät verbindet.

  • Die Schnittstelle ge-0/0/5 ist eine Layer-2-Schnittstelle, die das Ziel-Switching-Gerät mit der Fernüberwachungsstation verbindet.

  • Der Analysator remote-analyzer ist auf allen Switching-Geräten in der Topologie so konfiguriert, dass er den gespiegelten Datenverkehr überträgt. Diese Topologie kann entweder ein VLAN oder eine Bridge-Domäne verwenden.

Spiegelung des Mitarbeiterdatenverkehrs für Remote-Analysen mithilfe eines statistischen Analysetools

Um eine statistische Analyse für die Remotedatenverkehrsanalyse für den gesamten eingehenden und ausgehenden Mitarbeiterdatenverkehr zu konfigurieren, wählen Sie eines der folgenden Beispiele aus:

Spiegelung des Mitarbeiterdatenverkehrs für Remote-Analysen für Switches der EX-Serie

CLI-Schnellkonfiguration

Um schnell eine statistische Analyse für die Remote-Datenverkehrsanalyse des ein- und ausgehenden Mitarbeiterdatenverkehrs zu konfigurieren, kopieren Sie die folgenden Befehle für EX-Serie Switches und fügen Sie sie in das richtige Switching Geräteterminalfenster ein.

  • Kopieren Sie die folgenden Befehle und fügen Sie sie in das Terminalfenster des Quell-Switching-Geräts ein:

    EX-Serie

  • Kopieren Sie die folgenden Befehle und fügen Sie sie in das Terminalfenster des Ziel-Switching-Geräts ein:

    EX-Serie

Schritt-für-Schritt-Anleitung

So konfigurieren Sie die grundlegende Remote-Spiegelung:

  1. Gehen Sie auf dem Source Switching-Gerät wie folgt vor:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN.

    • Konfigurieren Sie die Schnittstelle am Netzwerkport, der mit dem Ziel-Switching-Gerät verbunden ist, für den Zugriffsmodus, und ordnen Sie sie dem remote-analyzer VLAN zu.

    • Konfigurieren Sie den statistischen Analysator employee-monitor.

    • Binden Sie das statistische Analysetool an die FPC, die die Eingabeschnittstelle enthält.

  2. Gehen Sie auf dem Zielnetzwerkgerät wie folgt vor:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN.

    • Konfigurieren Sie die Schnittstelle auf dem Ziel-Switching-Gerät für den Zugriffsmodus und ordnen Sie sie dem remote-analyzer VLAN zu.

    • Konfigurieren Sie die mit dem Ziel-Switching-Gerät verbundene Schnittstelle für den Zugriffsmodus.

    • Konfigurieren Sie das employee-monitor Analysetool.

    • Geben Sie Spiegelungsparameter wie die Rate und die maximale Paketlänge für das employee-monitor Analysetool an.

    • Binden Sie den employee-monitor Analysator an den FPC, der die Eingangsports enthält.

Ergebnisse

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Source-Switching-Gerät:

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Ziel-Switching-Gerät.

Spiegelung des Mitarbeiterdatenverkehrs für Remote-Analysen für Router der MX-Serie

CLI-Schnellkonfiguration

Um schnell einen statistischen Analyzer für die Remote-Analyse des ein- und ausgehenden Mitarbeiterdatenverkehrs zu konfigurieren, kopieren Sie die folgenden Befehle für Router der MX-Serie und fügen Sie sie in das entsprechende Terminalfenster des Switching-Geräts ein.

  • Kopieren Sie die folgenden Befehle und fügen Sie sie in das Terminalfenster des Quell-Switching-Geräts ein:

    MX-Serie

  • Kopieren Sie die folgenden Befehle und fügen Sie sie in das Terminalfenster des Ziel-Switching-Geräts ein:

    MX-Serie

Schritt-für-Schritt-Anleitung

So konfigurieren Sie die grundlegende Remote-Spiegelung mit Routern der MX-Serie:

  1. Gehen Sie auf dem Source Switching-Gerät wie folgt vor:

    • Konfigurieren Sie die VLAN-ID für die remote-analyzer Bridge-Domäne.

    • Konfigurieren Sie die Schnittstelle am Netzwerkport, der mit dem Ziel-Switching-Gerät verbunden ist, für den Zugriffsmodus und ordnen Sie sie der remote-analyzer Bridge-Domäne zu.

    • Konfigurieren Sie den statistischen Analysator employee-monitor.

    • Binden Sie das statistische Analysetool an die FPC, die die Eingabeschnittstelle enthält.

  2. Gehen Sie auf dem Ziel-Switching-Gerät wie folgt vor:

    • Konfigurieren Sie die VLAN-ID für die remote-analyzer Bridge-Domäne.

    • Konfigurieren Sie die Schnittstelle auf dem Ziel-Switching-Gerät für den Zugriffsmodus und ordnen Sie sie der remote-analyzer Bridge-Domäne zu.

    • Konfigurieren Sie die mit dem Ziel-Switching-Gerät verbundene Schnittstelle für den Zugriffsmodus.

    • Konfigurieren Sie das employee-monitor Analysetool.

    • Geben Sie Spiegelungsparameter wie die Rate und die maximale Paketlänge für das Mitarbeiter-Monitor-Analysetool an.

    • Binden Sie den employee-monitor Analysator an den FPC, der die Eingangsports enthält.

Ergebnisse

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Source-Switching-Gerät:

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Ziel-Switching-Gerät.

Verifizierung

Überprüfen, ob das Analysetool ordnungsgemäß erstellt wurde

Zweck

Stellen Sie sicher, dass das benannte employee-monitor Analysetool auf dem Gerät mit den entsprechenden Eingabeschnittstellen und der entsprechenden Ausgabeschnittstelle erstellt wurde.

Aktion

Um zu überprüfen, ob das Analysetool wie erwartet konfiguriert ist, während Sie den gesamten Datenverkehr der Mitarbeiter auf dem Quell-Switching-Gerät überwachen, führen Sie den show forwarding-options analyzer Befehl auf dem Quell-Switching-Gerät aus. Für dieses Konfigurationsbeispiel wird die folgende Ausgabe angezeigt.

Bedeutung

Diese Ausgabe zeigt, dass die employee-monitor Instanz ein Verhältnis von 2 hat, die maximale Größe der ursprünglichen Pakete, die gespiegelt wurden, 128 beträgt, der Status der Konfiguration ist up, was den richtigen Zustand anzeigt und dass der Analysator programmiert ist, und der Analysator den Datenverkehr spiegelt, der in ge-0/0/0.0 und ge-0/0/1.0 eintritt, und den gespiegelten Datenverkehr an das VLAN namens remote-analyzersendet.

Wenn der Status der Ausgabeschnittstelle lautet down oder die Ausgabeschnittstelle nicht konfiguriert ist, ist der Wert von State niedrig, und das Analysetool kann den Datenverkehr nicht überwachen.

Beispiel: Konfigurieren der Spiegelung auf mehrere Schnittstellen für die Remote-Überwachung der Verwendung von Mitarbeiterressourcen auf EX9200-Switches

Mit EX9200-Switches können Sie die Spiegelung so konfigurieren, dass Kopien von Paketen entweder an eine lokale Schnittstelle für die lokale Überwachung oder an ein VLAN für die Remote-Überwachung gesendet werden. Sie können Spiegelung verwenden, um diese Pakete zu kopieren:

  • Pakete, die in einen Port eintreten oder ihn verlassen

  • Pakete, die in ein VLAN eintreten oder es verlassen

Sie können den gespiegelten Datenverkehr mit einer Protokollanalyseanwendung analysieren, die auf einer Remoteüberwachungsstation ausgeführt wird, wenn Sie gespiegelten Datenverkehr an ein Analyse-VLAN senden.

Optimale Vorgehensweise:

Spiegeln Sie nur notwendige Pakete, um potenzielle Auswirkungen auf die Leistung zu reduzieren. Wir empfehlen Ihnen:

  • Deaktivieren Sie die konfigurierten Spiegelungsanalysetools, wenn Sie sie nicht verwenden.

  • Geben Sie einzelne Schnittstellen als Eingabe für Analysetools an, anstatt alle Schnittstellen als Eingabe anzugeben.

  • Begrenzen Sie die Menge des gespiegelten Datenverkehrs durch:

    • Verwendung statistischer Stichproben.

    • Festlegen von Verhältnissen zur Auswahl statistischer Stichproben.

    • Verwenden von Firewall-Filtern.

In diesem Beispiel wird beschrieben, wie die Remote-Spiegelung für mehrere Schnittstellen in einem Analyse-VLAN konfiguriert wird:

Anforderungen

In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:

  • Drei EX9200-Switches

  • Junos OS Version 13.2 oder höher für Switches der EX-Serie

Bevor Sie die Remote-Spiegelung konfigurieren, stellen Sie Folgendes sicher:

  • Die Schnittstellen, die der Analysator als Eingabeschnittstellen verwendet, wurden auf dem Switch konfiguriert.

Übersicht und Topologie

In diesem Beispiel wird beschrieben, wie der Datenverkehr, der in die Ports des Switches eindringt, in das Remote Analyzer-VLAN gespiegelt wird, damit Sie eine Analyse von einer Remote Monitoring Station aus durchführen können. Das Remote-Analyzer-VLAN in diesem Beispiel enthält mehrere Mitgliedsschnittstellen. Daher wird derselbe Datenverkehr an alle Mitgliedsschnittstellen des Remote-Analyzer-VLAN gespiegelt, sodass gespiegelte Pakete an verschiedene Remote-Überwachungsstationen gesendet werden können. Sie können Anwendungen wie Sniffer und Intrusion Detection Systems auf Remote-Überwachungsstationen installieren, um diese gespiegelten Pakete zu analysieren und nützliche statistische Daten zu erhalten. Wenn es beispielsweise zwei Fernüberwachungsstationen gibt, können Sie einen Sniffer auf einer Fernüberwachungsstation und ein Intrusion Detection System auf der anderen Station installieren. Sie können eine Firewall-Filteranalysekonfiguration verwenden, um einen bestimmten Datenverkehrstyp an eine Remoteüberwachungsstation weiterzuleiten.

In diesem Beispiel wird beschrieben, wie ein Analyzer so konfiguriert wird, dass der Datenverkehr an mehrere Schnittstellen in der Next-Hop-Gruppe gespiegelt wird, sodass der Datenverkehr zur Analyse an verschiedene Überwachungsstationen gesendet wird.

Abbildung 3 zeigt die Netzwerktopologie für dieses Beispiel.

Abbildung 3: Beispiel für eine Remote-Spiegelung einer Netzwerktopologie mit mehreren VLAN-Mitgliedsschnittstellen in der Next-Hop-Gruppe Network topology diagram showing an EX9200 switch connected to two employee computers and two destination switches. Each destination switch connects to a remote analyzing station.

Topologie

In diesem Beispiel:

  • Die Schnittstellen ge-0/0/0 und ge-0/0/1 sind Layer-2-Schnittstellen (beide Schnittstellen am Quell-Switch), die als Verbindungen für Mitarbeitercomputer dienen.

  • Die Schnittstellen ge-0/0/10 und ge-0/0/11 sind Layer-2-Schnittstellen, die mit verschiedenen Ziel-Switches verbunden sind.

  • Die Schnittstelle ge-0/0/12 ist eine Layer-2-Schnittstelle, die den Switch von Ziel 1 mit der Fernüberwachungsstation verbindet.

  • Die Schnittstelle ge-0/0/13 ist eine Layer-2-Schnittstelle, die den Switch von Ziel 2 mit der Fernüberwachungsstation verbindet.

  • VLAN remote-analyzer ist auf allen Switches in der Topologie so konfiguriert, dass es den gespiegelten Datenverkehr überträgt.

Spiegelung des gesamten Mitarbeiterdatenverkehrs an mehrere VLAN-Mitgliedsschnittstellen für Remote-Analysen

Führen Sie die folgenden Aufgaben aus, um die Spiegelung auf mehrere VLAN-Mitgliedsschnittstellen für die Remote-Datenverkehrsanalyse für den gesamten ein- und ausgehenden Datenverkehr der Mitarbeitenden zu konfigurieren:

Vorgehensweise

CLI-Schnellkonfiguration

Um die Spiegelung für die Remote-Datenverkehrsanalyse für ein- und ausgehenden Mitarbeiterdatenverkehr schnell zu konfigurieren, kopieren Sie die folgenden Befehle, und fügen Sie sie in das Switch-Terminal-Fenster ein:

  • Kopieren Sie im Fenster des Quell-Switch-Terminals die folgenden Befehle, und fügen Sie sie ein:

  • Kopieren Sie im Fenster Switch-Terminal Ziel 1 die folgenden Befehle, und fügen Sie sie ein:

  • Kopieren Sie im Switch-Terminalfenster Ziel 2 die folgenden Befehle, und fügen Sie sie ein:

Schritt-für-Schritt-Anleitung

So konfigurieren Sie die grundlegende Remote-Spiegelung auf zwei VLAN-Mitgliedsschnittstellen:

  1. Auf dem Quell-Switch:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN:

    • Konfigurieren Sie die Schnittstellen am Netzwerkport, der mit den Ziel-Switches für den Zugriffsmodus verbunden ist, und ordnen Sie ihn dem VLAN zu remote-analyzer :

    • Konfigurieren Sie das employee-monitor Analysetool:

      In dieser Analysekonfiguration wird der Datenverkehr, der die Schnittstellen ge-0/0/0.0 und ge-0/0/1.0 ein- und verlässt, an das Ausgabeziel gesendet, das durch die Next-Hop-Gruppe mit dem Namen remote-analyzer-nhgdefiniert ist.

    • Konfigurieren Sie die remote-analyzer-nhb Next-Hop-Gruppe:

  2. Auf dem Switch "Ziel 1":

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN:

    • Konfigurieren Sie die GE-0/0/10-Schnittstelle auf dem Switch "Ziel 1" für den Zugriffsmodus:

    • Konfigurieren Sie die mit der Fernüberwachungsstation verbundene Schnittstelle für den Zugriffsmodus:

    • Konfigurieren Sie das employee-monitor Analysetool:

  3. Auf dem Switch Destination 2:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN:

    • Konfigurieren Sie die GE-0/0/11-Schnittstelle auf dem Switch Destination 2 für den Zugriffsmodus:

    • Konfigurieren Sie die mit der Fernüberwachungsstation verbundene Schnittstelle für den Zugriffsmodus:

    • Konfigurieren Sie das employee-monitor Analysetool:

Ergebnisse

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Quell-Switch:

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Switch "Ziel 1":

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Switch "Ziel 2":

Verifizierung

Führen Sie die folgenden Aufgaben aus, um zu bestätigen, dass die Konfiguration ordnungsgemäß funktioniert:

Überprüfen, ob das Analysetool ordnungsgemäß erstellt wurde

Zweck

Stellen Sie sicher, dass der benannte employee-monitor Analysator auf dem Switch mit den entsprechenden Eingabeschnittstellen und der entsprechenden Ausgabeschnittstelle erstellt wurde.

Aktion

Sie können überprüfen, ob das Analysetool wie erwartet konfiguriert ist, indem Sie den show forwarding-options analyzer Befehl verwenden.

Um zu überprüfen, ob der Analyzer wie erwartet konfiguriert ist, während der gesamte Datenverkehr der Mitarbeiter auf dem Quell-Switch überwacht wird, führen Sie den show forwarding-options analyzer Befehl auf dem Quell-Switch aus. Die folgende Ausgabe wird für diese Beispielkonfiguration auf dem Quell-Switch angezeigt:

Bedeutung

Diese Ausgabe zeigt, dass der employee-monitor Analysator ein Verhältnis von 1 hat (jedes Paket spiegelt, was das Standardverhalten ist), der Status der Konfiguration ist up, was den richtigen Zustand angibt und dass der Analysator programmiert ist, den ein- oder ausgehenden Datenverkehr an die Schnittstellen ge-0/0/0 und ge-0/0/1 spiegelt und gespiegelten Datenverkehr über die Next-Hop-Gruppe remote-analyzer-nhgan mehrere Schnittstellen ge-0/0/10.0 und ge-0/0/11.0 sendet. Wenn der Status der Ausgabeschnittstelle ist down oder wenn die Ausgabeschnittstelle nicht konfiguriert ist, ist der Statuswert niedrig, und das Analysetool kann den Datenverkehr nicht spiegeln.

Beispiel: Konfigurieren der Spiegelung für die Remote-Überwachung der Nutzung von Mitarbeiterressourcen über einen Transit-Switch auf EX9200-Switches

Mit EX9200-Switches können Sie die Spiegelung konfigurieren, um Kopien von Paketen für die lokale Überwachung entweder an eine lokale Schnittstelle oder für die Remote-Überwachung an ein VLAN zu senden. Sie können Spiegelung verwenden, um diese Pakete zu kopieren:

  • Pakete, die in einen Port eintreten oder ihn verlassen

  • Pakete, die in ein VLAN eintreten oder es verlassen

Sie können den gespiegelten Datenverkehr mit einer Protokollanalyseanwendung analysieren, die auf einer Remoteüberwachungsstation ausgeführt wird, wenn Sie gespiegelten Datenverkehr an ein Analyse-VLAN senden.

Dieses Thema enthält ein Beispiel, das beschreibt, wie der Datenverkehr, der in die Ports des Switches gelangt, über einen Transit-Switch in das Remote-Analyzer-VLAN gespiegelt wird, sodass Sie eine Analyse von einer Remoteüberwachungsstation aus durchführen können.

Optimale Vorgehensweise:

Spiegeln Sie nur notwendige Pakete, um potenzielle Auswirkungen auf die Leistung zu reduzieren. Wir empfehlen Ihnen:

  • Deaktivieren Sie Ihre konfigurierten Spiegelungssitzungen, wenn Sie sie nicht verwenden.

  • Geben Sie einzelne Schnittstellen als Eingabe für Analysetools an, anstatt alle Schnittstellen als Eingabe anzugeben.

  • Begrenzen Sie die Menge des gespiegelten Datenverkehrs durch:

    • Verwendung statistischer Stichproben.

    • Festlegen von Verhältnissen zur Auswahl statistischer Stichproben.

    • Verwenden von Firewall-Filtern.

In diesem Beispiel wird beschrieben, wie die Remote-Spiegelung über einen Transit-Switch konfiguriert wird:

Anforderungen

In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:

  • Ein EX9200-Switch, der über einen dritten EX9200-Switch mit einem anderen EX9200-Switch verbunden ist

  • Junos OS Version 13.2 oder höher für Switches der EX-Serie

Bevor Sie die Remote-Spiegelung konfigurieren, stellen Sie Folgendes sicher:

  • Die Schnittstellen, die der Analysator als Eingabeschnittstellen verwendet, wurden auf dem Switch konfiguriert.

Übersicht und Topologie

In diesem Beispiel wird beschrieben, wie der Datenverkehr, der in die Ports auf dem Switch gelangt, über einen Transit-Switch in das remote-analyzer VLAN gespiegelt wird, sodass Sie eine Analyse des gesamten Datenverkehrs von den Computern der Mitarbeiter durchführen können.

In dieser Konfiguration ist eine Analysesitzung auf dem Ziel-Switch erforderlich, um eingehenden Datenverkehr vom Analyse-VLAN an die Ausgangsschnittstelle widerzuspiegeln, mit der die Fernüberwachungsstation verbunden ist.

Abbildung 4 zeigt die Netzwerktopologie für dieses Beispiel.

Topologie

Abbildung 4: Netzwerküberwachung für Remote-Spiegelung über einen Transit-Switch Network topology with three EX9200 switches: Source Switch connects to two employee computers and Transit Switch; Transit Switch connects to Source and Destination Switches; Destination Switch connects to Transit Switch and Remote Monitoring Station for traffic analysis.

In diesem Beispiel:

  1. Die Schnittstelle ge-0/0/0 ist eine Layer-2-Schnittstelle und die Schnittstelle ge-0/0/1 ist eine Layer-3-Schnittstelle (beide Schnittstellen auf dem Quell-Switch), die als Verbindungen für Mitarbeitercomputer dienen.

  2. Die Schnittstelle ge-0/0/10 ist eine Layer-2-Schnittstelle, die mit dem Transit-Switch verbunden ist.

  3. Die Schnittstelle ge-0/0/11 ist eine Layer-2-Schnittstelle auf dem Transit-Switch.

  4. Die Schnittstelle ge-0/0/12 ist eine Layer-2-Schnittstelle auf dem Transit-Switch und wird mit dem Ziel-Switch verbunden.

  5. Die Schnittstelle ge-0/0/13 ist eine Layer-2-Schnittstelle auf dem Ziel-Switch.

  6. Die Schnittstelle ge-0/0/14 ist eine Layer-2-Schnittstelle auf dem Ziel-Switch und wird mit der Fernüberwachungsstation verbunden.

  7. VLAN remote-analyzer ist auf allen Switches in der Topologie so konfiguriert, dass es den gespiegelten Datenverkehr überträgt.

Spiegelung des gesamten Mitarbeiterdatenverkehrs für Remote-Analysen über einen Transit-Switch

Führen Sie die folgenden Aufgaben aus, um die Spiegelung für die Remotedatenverkehrsanalyse über einen Transit-Switch für den gesamten eingehenden und ausgehenden Mitarbeiterdatenverkehr zu konfigurieren:

Vorgehensweise

CLI-Schnellkonfiguration

Um die Spiegelung für die Remote-Datenverkehrsanalyse über einen Transit-Switch für ein- und ausgehenden Mitarbeiterdatenverkehr schnell zu konfigurieren, kopieren Sie die folgenden Befehle, und fügen Sie sie in das Switch-Terminalfenster ein:

  • Kopieren Sie die folgenden Befehle und fügen Sie sie in das Terminalfenster des Quell-Switches (überwachter Switch) ein:

  • Kopieren Sie die folgenden Befehle, und fügen Sie sie in das Transit-Switch-Fenster ein:

  • Kopieren Sie die folgenden Befehle, und fügen Sie sie in das Fenster des Ziel-Switches ein:

Schritt-für-Schritt-Anleitung

So konfigurieren Sie die Remote-Spiegelung über einen Transit-Switch:

  1. Auf dem Quell-Switch:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN:

    • Konfigurieren Sie die Schnittstellen auf dem Netzwerkport, der mit dem Transit-Switch für den Zugriffsmodus verbunden ist, und ordnen Sie ihn dem VLAN zu remote-analyzer :

    • Konfigurieren Sie das employee-monitor Analysetool:

  2. Auf dem Transit-Switch:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN:

    • Konfigurieren Sie die ge-0/0/11-Schnittstelle für den Zugriffsmodus, ordnen Sie sie dem remote-analyzer VLAN zu:

    • Konfigurieren Sie die ge-0/0/12-Schnittstelle für den Zugriffsmodus, ordnen Sie sie dem remote-analyzer VLAN zu und stellen Sie die Schnittstelle nur für ausgehenden Datenverkehr ein:

  3. Auf dem Ziel-Switch:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN:

    • Konfigurieren Sie die GE-0/0/13-Schnittstelle für den Zugriffsmodus, verknüpfen Sie sie mit dem remote-analyzer VLAN, und legen Sie die Schnittstelle nur für eingehenden Datenverkehr fest:

    • Konfigurieren Sie die mit der Fernüberwachungsstation verbundene Schnittstelle für den Zugriffsmodus:

    • Konfigurieren Sie das remote-analyzer Analysetool:

Ergebnisse

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Quell-Switch:

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Transit-Switch:

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Ziel-Switch:

Verifizierung

Führen Sie die folgenden Aufgaben aus, um zu bestätigen, dass die Konfiguration ordnungsgemäß funktioniert:

Überprüfen, ob das Analysetool ordnungsgemäß erstellt wurde

Zweck

Stellen Sie sicher, dass der benannte employee-monitor Analysator auf dem Switch mit den entsprechenden Eingabeschnittstellen und der entsprechenden Ausgabeschnittstelle erstellt wurde.

Aktion

Sie können überprüfen, ob das Analysetool wie erwartet konfiguriert ist, indem Sie den show forwarding-options analyzer Befehl verwenden.

Um zu überprüfen, ob der Analyzer wie erwartet konfiguriert ist, während der gesamte Datenverkehr der Mitarbeiter auf dem Quell-Switch überwacht wird, führen Sie den show forwarding-options analyzer Befehl auf dem Quell-Switch aus. Für diese Beispielkonfiguration wird folgende Ausgabe angezeigt:

Bedeutung

Diese Ausgabe zeigt, dass der employee-monitor Analysator ein Spiegelungsverhältnis von 1 hat (jedes Paket wird gespiegelt, die Standardeinstellung), der Status der Konfiguration ist up, was den richtigen Zustand angibt und dass der Analysator programmiert ist, den Datenverkehr spiegelt, der in ge-0/0/0 und ge-0/0/1 eintritt, und den gespiegelten Datenverkehr an den Analysator mit dem Namen sendet remote-analyzer. Wenn der Status der Ausgabeschnittstelle ist down oder wenn die Ausgabeschnittstelle nicht konfiguriert ist, ist der Statuswert niedrig, und das Analysetool kann den Datenverkehr nicht spiegeln.

Beispiel: Konfigurieren der Spiegelung für die lokale Überwachung der Nutzung von Mitarbeiterressourcen auf EX4300-Switches

Hinweis:

In diesem Beispiel wird Junos OS für Switches der EX-Serie mit Unterstützung für den Konfigurationsstil Erweiterte Layer 2-Software (ELS) verwendet. Wenn auf Ihrem Switch Software ausgeführt wird, die ELS nicht unterstützt, finden Sie weitere Informationen unter Beispiel: Konfigurieren der Portspiegelung für die lokale Überwachung der Verwendung von Mitarbeiterressourcen auf Switches der EX-Serie. ELS-Details finden Sie unter Erste Schritte mit verbesserter Layer 2-Software.

Mit den EX4300-Switches können Sie die Spiegelung so konfigurieren, dass Kopien von Paketen entweder an eine lokale Schnittstelle für die lokale Überwachung oder an ein VLAN für die Remote-Überwachung gesendet werden. Sie können Spiegelung verwenden, um diese Pakete zu kopieren:

  • Pakete, die in einen Port eintreten oder ihn verlassen

  • Pakete, die in ein VLAN eingehen

Sie können den gespiegelten Datenverkehr analysieren, indem Sie einen Protokollanalysator verwenden, der auf einem System installiert ist, das mit der lokalen Zielschnittstelle oder einer Remoteüberwachungsstation verbunden ist, wenn Sie gespiegelten Datenverkehr an ein Analyse-VLAN senden.

In diesem Beispiel wird beschrieben, wie die lokale Spiegelung auf einem EX4300-Switch konfiguriert wird. In diesem Beispiel wird beschrieben, wie der Switch so konfiguriert wird, dass der Datenverkehr, der an Schnittstellen von Mitarbeitercomputern gelangt, an eine Analyseausgabeschnittstelle auf demselben Switch gespiegelt wird.

Anforderungen

In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:

  • Ein EX4300-Switch

  • Junos OS Version 13.2X50-D10 oder höher für Switches der EX-Serie

Übersicht und Topologie

Dieses Thema enthält zwei Beispiele, die beschreiben, wie der Datenverkehr, der in Ports auf dem Switch eingeht, an eine Zielschnittstelle auf demselben Switch gespiegelt wird (lokale Spiegelung). Das erste Beispiel zeigt, wie der gesamte Datenverkehr gespiegelt werden kann, der in die mit den Computern der Mitarbeiter verbundenen Ports gelangt. Das zweite Beispiel zeigt das gleiche Szenario, enthält jedoch einen Filter, der nur den Datenverkehr der Mitarbeitenden widerspiegelt, der ins Web geht.

Die Schnittstellen ge-0/0/0 und ge-0/0/1 dienen als Anschlüsse für Mitarbeiterrechner. Die Schnittstelle ge0/0/10 ist für die Analyse des gespiegelten Datenverkehrs reserviert. Verbinden Sie einen PC, auf dem eine Protokollanalyseanwendung ausgeführt wird, mit der Analyseausgabeschnittstelle, um den gespiegelten Datenverkehr zu analysieren.

Hinweis:

Mehrere Ports, die auf eine Schnittstelle gespiegelt werden, können zu Pufferüberläufen und Paketverlusten führen.

In beiden Beispielen wird die in Abbildung 5 dargestellte Netzwerktopologie verwendet.

Abbildung 5: Beispiel für eine Netzwerktopologie für lokale Spiegelung Network diagram of an EX4300 switch connected to three computers via ports ge-0/0/0 and ge-0/0/1, and a laptop with protocol analyzer via port ge-0/0/10.

Spiegelung des gesamten Mitarbeiterdatenverkehrs für lokale Analysen

Führen Sie die folgenden Aufgaben aus, um die Spiegelung für den gesamten Mitarbeiterdatenverkehr für die lokale Analyse zu konfigurieren:

Vorgehensweise

CLI-Schnellkonfiguration

Um schnell die lokale Spiegelung für eingehenden Datenverkehr an die beiden Ports zu konfigurieren, die mit den Computern der Mitarbeitenden verbunden sind, kopieren Sie die folgenden Befehle, und fügen Sie sie in das Switch-Terminalfenster ein:

Schritt-für-Schritt-Anleitung

So konfigurieren Sie ein Analysetool mit dem Namen employee-monitor und geben die Eingabeschnittstellen (Quellschnittstellen) und die Ausgabeschnittstelle des Analysetools an:

  1. Konfigurieren Sie jede Schnittstelle, die mit den Computern der Mitarbeiter verbunden ist, als Eingabeschnittstelle für den Analysator employee-monitor:

  2. Konfigurieren Sie die Ausgabeschnittstelle des Analysators als Teil eines VLANs:

  3. Konfigurieren Sie die Ausgabeanalyseschnittstelle für das Analysetool employee-monitor. Dies ist die Zielschnittstelle für die gespiegelten Pakete:

Ergebnisse

Überprüfen Sie die Ergebnisse der Konfiguration:

Spiegelung des Employee-to-Web-Datenverkehrs für lokale Analysen

Führen Sie die folgenden Aufgaben aus, um die Spiegelung für den Webdatenverkehr von Mitarbeiter zu konfigurieren:

Vorgehensweise

CLI-Schnellkonfiguration

Um schnell die lokale Spiegelung des Datenverkehrs von den beiden mit den Computern der Mitarbeitenden verbundenen Ports zu konfigurieren und so zu filtern, dass nur der Datenverkehr in das externe Web gespiegelt wird, kopieren Sie die folgenden Befehle, und fügen Sie sie in das Switch-Terminal-Fenster ein:

Schritt-für-Schritt-Anleitung

So konfigurieren Sie die lokale Spiegelung des Mitarbeiter-zu-Web-Datenverkehrs von den beiden Ports, die mit den Computern der Mitarbeiter verbunden sind:

  1. Konfigurieren Sie die lokale Analyseschnittstelle:

  2. Konfigurieren Sie die employee-web-monitor Ausgabeinstanz (die Eingabe für die Instanz erfolgt durch die Aktion des Filters):

  3. Konfigurieren Sie einen Firewallfilter, der aufgerufen wird watch-employee , um gespiegelte Kopien von Mitarbeiteranfragen an das Web an die employee-web-monitor Instanz zu senden. Akzeptieren Sie den gesamten Datenverkehr zum und vom Unternehmens-Subnetz (Ziel- oder Quelladresse von 192.0.2.16/24). Senden Sie gespiegelte Kopien aller Pakete, die für das Internet (Zielport 80) bestimmt sind, an die employee-web-monitor Instanz.

  4. Wenden Sie den watch-employee Filter auf die entsprechenden Ports an:

Ergebnisse

Überprüfen Sie die Ergebnisse der Konfiguration:

Verifizierung

Führen Sie die folgenden Aufgaben aus, um die Richtigkeit der Konfiguration zu überprüfen:

Überprüfen, ob das Analysetool ordnungsgemäß erstellt wurde

Zweck

Stellen Sie sicher, dass der Analysator employee-monitor oder employee-web-monitor auf dem Switch mit den entsprechenden Eingangsschnittstellen und der entsprechenden Ausgabeschnittstelle erstellt wurde.

Aktion

Sie können den show forwarding-options analyzer Befehl verwenden, um zu überprüfen, ob das Analysetool ordnungsgemäß konfiguriert ist.

Bedeutung

Diese Ausgabe zeigt, dass der Analysator employee-monitor ein Verhältnis von 1 hat (jedes Paket spiegelt, die Standardeinstellung), die maximale Größe des ursprünglichen Pakets, das gespiegelt wurde (0 gibt das gesamte Paket an), den Status der Konfiguration (ist aktiv, zeigt an, dass der Analysator den Datenverkehr spiegelt, der in die Schnittstellen ge-0/0/0 und ge-0/0/1 gelangt, und den gespiegelten Datenverkehr an die GE-0/0/10-Schnittstelle sendet). Wenn der Status der Ausgabeschnittstelle ausgefallen ist oder wenn die Ausgabeschnittstelle nicht konfiguriert ist, wird down der Wert des Zustands angezeigt und der Analysator wird nicht für die Spiegelung programmiert.

Überprüfen, ob die Portspiegelungsinstanz ordnungsgemäß konfiguriert ist

Zweck

Stellen Sie sicher, dass die Port-Spiegelungsinstanz employee-web-monitor auf dem Switch ordnungsgemäß mit den entsprechenden Eingabeschnittstellen konfiguriert wurde.

Aktion

Sie können überprüfen, ob die Portspiegelungsinstanz ordnungsgemäß konfiguriert ist, indem Sie den show forwarding-options port-mirroring Befehl verwenden.

Bedeutung

Diese Ausgabe zeigt, dass die employee-web-monitor Instanz ein Verhältnis von 1 hat (Spiegelung jedes Pakets, Standardeinstellung), die maximale Größe des ursprünglichen Pakets, das gespiegelt wurde (0 zeigt ein ganzes Paket an), der Status der Konfiguration ist aktiv und Portspiegelung programmiert ist und dass gespiegelter Datenverkehr von der Firewall-Filteraktion an der Schnittstelle GE-0/0/10.0 gesendet wird. Wenn der Status der Ausgabeschnittstelle ausgefallen ist oder wenn die Schnittstelle nicht konfiguriert ist, ist der Wert für state down und die Portspiegelung wird nicht für die Spiegelung programmiert.

Beispiel: Konfigurieren der Spiegelung für die Remote-Überwachung der Verwendung von Mitarbeiterressourcen auf EX4300-Switches

Hinweis:

In diesem Beispiel wird Junos OS für Switches der EX-Serie mit Unterstützung für den Konfigurationsstil Erweiterte Layer 2-Software (ELS) verwendet. Wenn auf Ihrem Switch Software ausgeführt wird, die ELS nicht unterstützt, finden Sie weitere Informationen unter Beispiel: Konfigurieren der Spiegelung für die Remoteüberwachung der Verwendung von Mitarbeiterressourcen auf EX4300-Switches. ELS-Details finden Sie unter: Erste Schritte mit verbesserter Layer 2-Software.

Mit den EX4300-Switches können Sie die Spiegelung so konfigurieren, dass Kopien von Paketen entweder an eine lokale Schnittstelle für die lokale Überwachung oder an ein VLAN für die Remote-Überwachung gesendet werden. Sie können Spiegelung verwenden, um diese Pakete zu kopieren:

  • Pakete, die in einen Port eintreten oder ihn verlassen

  • Pakete, die auf EX4300-Switches in ein VLAN eingehen

Sie können den gespiegelten Datenverkehr mithilfe einer Protokollanalyseanwendung analysieren, die auf einer Remoteüberwachungsstation ausgeführt wird, wenn Sie gespiegelten Datenverkehr an ein Analyse-VLAN senden.

Dieses Thema enthält zwei verwandte Beispiele, in denen beschrieben wird, wie der Datenverkehr, der in die Ports des Switches eingeht, in das remote-analyzer VLAN gespiegelt wird, damit Sie eine Analyse von einer Remoteüberwachungsstation aus durchführen können. Das erste Beispiel zeigt, wie der gesamte Datenverkehr gespiegelt werden kann, der in die mit den Computern der Mitarbeiter verbundenen Ports gelangt. Das zweite Beispiel zeigt das gleiche Szenario, enthält jedoch einen Filter, der nur den Datenverkehr der Mitarbeiter im Web widerspiegelt.

Optimale Vorgehensweise:

Spiegeln Sie nur notwendige Pakete, um potenzielle Auswirkungen auf die Leistung zu reduzieren. Wir empfehlen Ihnen:

  • Deaktivieren Sie Ihre konfigurierten Spiegelungssitzungen, wenn Sie sie nicht verwenden.

  • Geben Sie einzelne Schnittstellen als Eingabe für Analysetools an, anstatt alle Schnittstellen als Eingabe anzugeben.

  • Begrenzen Sie die Menge des gespiegelten Datenverkehrs mithilfe von Firewall-Filtern.

In diesem Beispiel wird beschrieben, wie die Remotespiegelung konfiguriert wird:

Anforderungen

In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:

  • Junos OS Version 13.2X50-D10 oder höher für Switches der EX-Serie

  • Ein EX4300-Switch, der mit einem anderen EX4300-Switch verbunden ist

Das Diagramm zeigt ein EX4300 Virtual Chassis, das mit einem EX4300 Ziel-Switch verbunden ist.

Bevor Sie die Remote-Spiegelung konfigurieren, stellen Sie Folgendes sicher:

  • Sie haben ein Verständnis für Spiegelungskonzepte.

  • Die Schnittstellen, die der Analysator als Eingabeschnittstellen verwendet, wurden auf dem Switch konfiguriert.

Übersicht und Topologie

Dieses Thema enthält zwei verwandte Beispiele, die beschreiben, wie die Spiegelung auf das remote-analyzer VLAN konfiguriert wird, damit die Analyse von einer Remoteüberwachungsstation aus durchgeführt werden kann. Das erste Beispiel zeigt, wie ein Switch so konfiguriert wird, dass der gesamte Datenverkehr von den Computern der Mitarbeiter gespiegelt wird. Das zweite Beispiel zeigt das gleiche Szenario, aber die Einrichtung enthält einen Filter, der nur den Datenverkehr der Mitarbeiter widerspiegelt, der ins Web geht.

Abbildung 6 zeigt die Netzwerktopologie für diese beiden Beispielszenarien.

Topologie

Abbildung 6: Beispiel Network setup with two switches: Source Switch connects to two employee computers and Destination Switch. Destination Switch links to a Remote Monitoring Station for traffic analysis. einer Netzwerktopologie für Remote-Spiegelung

In diesem Beispiel:

  1. Die Schnittstelle ge-0/0/0 ist eine Layer-2-Schnittstelle und die Schnittstelle ge-0/0/1 ist eine Layer-3-Schnittstelle (beide Schnittstellen auf dem Quell-Switch), die als Verbindungen für Mitarbeitercomputer dienen.

  2. Die Schnittstelle ge-0/0/10 ist eine Layer-2-Schnittstelle, die den Quell-Switch mit dem Ziel-Switch verbindet.

  3. Die Schnittstelle ge-0/0/5 ist eine Layer-2-Schnittstelle, die den Ziel-Switch mit der Fernüberwachungsstation verbindet.

  4. VLAN remote-analyzer ist auf allen Switches in der Topologie so konfiguriert, dass es den gespiegelten Datenverkehr überträgt.

Spiegelung des gesamten Mitarbeiterdatenverkehrs für Remote-Analysen

Führen Sie die folgenden Aufgaben aus, um ein Analysetool für die Remotedatenverkehrsanalyse für den gesamten eingehenden und ausgehenden Mitarbeiterdatenverkehr zu konfigurieren:

Vorgehensweise

CLI-Schnellkonfiguration

Um schnell einen Analysator für die Remote-Datenverkehrsanalyse für ein- und ausgehenden Mitarbeiterdatenverkehr zu konfigurieren, kopieren Sie die folgenden Befehle, und fügen Sie sie in das Switch-Terminal-Fenster ein:

  • Kopieren Sie die folgenden Befehle, und fügen Sie sie in das Fenster des Quell-Switch-Terminals ein:

  • Kopieren Sie die folgenden Befehle, und fügen Sie sie in das Klemmenfenster des Ziel-Switches ein:

Schritt-für-Schritt-Anleitung

So konfigurieren Sie die grundlegende Remote-Port-Spiegelung:

  1. Auf dem Quell-Switch:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN:

    • Konfigurieren Sie die Schnittstelle am Netzwerkport, der mit dem Ziel-Switch verbunden ist, für den Bündelfunkmodus und ordnen Sie sie dem remote-analyzer VLAN zu:

    • Konfigurieren Sie das employee-monitor Analysetool:

  2. Auf dem Ziel-Switch:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN:

    • Konfigurieren Sie die Schnittstelle auf dem Ziel-Switch für den Bündelfunkmodus und ordnen Sie sie dem remote-analyzer VLAN zu:

    • Konfigurieren Sie die mit dem Ziel-Switch verbundene Schnittstelle für den Bündelfunkmodus:

    • Konfigurieren Sie das employee-monitor Analysetool:

Ergebnisse

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Quell-Switch:

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Ziel-Switch:

Spiegelung des Employee-to-Web-Datenverkehrs für Remote-Analysen

Führen Sie die folgenden Aufgaben aus, um die Portspiegelung für die Remotedatenverkehrsanalyse von Mitarbeitern zu Web-Datenverkehr zu konfigurieren:

Vorgehensweise

CLI-Schnellkonfiguration

Um die Portspiegelung schnell so zu konfigurieren, dass der Datenverkehr der Mitarbeitenden ins externe Web gespiegelt wird, kopieren Sie die folgenden Befehle, und fügen Sie sie in das Switch-Terminalfenster ein:

  • Kopieren Sie die folgenden Befehle, und fügen Sie sie in das Fenster des Quell-Switch-Terminals ein:

  • Kopieren Sie die folgenden Befehle, und fügen Sie sie in das Klemmenfenster des Ziel-Switches ein:

Schritt-für-Schritt-Anleitung

So konfigurieren Sie die Portspiegelung des gesamten Datenverkehrs von den beiden mit den Computern der Mitarbeiter verbundenen Ports zum VLAN für die remote-analyzer Verwendung von einer Remoteüberwachungsstation aus:

  1. Auf dem Quell-Switch:

    • Konfigurieren Sie die employee-web-monitor Portspiegelungsinstanz:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN:

    • Konfigurieren Sie die Schnittstelle, um sie mit dem remote-analyzer VLAN zu verknüpfen:

    • Konfigurieren Sie den Firewall-Filter mit dem Namen watch-employee:

    • Wenden Sie den Firewall-Filter auf die Mitarbeiterschnittstellen an:

  2. Auf dem Ziel-Switch:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN:

    • Konfigurieren Sie die Schnittstelle auf dem Ziel-Switch für den Bündelfunkmodus und ordnen Sie sie dem remote-analyzer VLAN zu:

    • Konfigurieren Sie die mit dem Ziel-Switch verbundene Schnittstelle für den Bündelfunkmodus:

    • Konfigurieren Sie das employee-monitor Analysetool:

Ergebnisse

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Quell-Switch:

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Ziel-Switch:

Verifizierung

Führen Sie die folgenden Aufgaben aus, um zu bestätigen, dass die Konfiguration ordnungsgemäß funktioniert:

Überprüfen, ob das Analysetool ordnungsgemäß erstellt wurde

Zweck

Stellen Sie sicher, dass der Analysator employee-monitor employee-web-monitor auf dem Switch mit den entsprechenden Eingabeschnittstellen und der entsprechenden Ausgabeschnittstelle erstellt wurde.

Aktion

Sie können überprüfen, ob das Analysetool wie erwartet konfiguriert ist, indem Sie den show forwarding-options analyzer Befehl verwenden. Um zuvor erstellte Analysetools anzuzeigen, die deaktiviert sind, rufen Sie die J-Web-Schnittstelle auf.

Um zu überprüfen, ob der Analyzer wie erwartet konfiguriert ist, während der gesamte Datenverkehr der Mitarbeiter auf dem Quell-Switch überwacht wird, führen Sie den show analyzer Befehl auf dem Quell-Switch aus. Für dieses Konfigurationsbeispiel wird die folgende Ausgabe angezeigt:

Bedeutung

Diese Ausgabe zeigt, dass die employee-monitor Instanz ein Verhältnis von 1 hat (Spiegelung jedes Pakets, die Standardeinstellung), die maximale Größe des ursprünglichen Pakets, das gespiegelt wurde (0 gibt das gesamte Paket an), der Status der Konfiguration ist aktiv (was den richtigen Zustand anzeigt und dass der Analysator programmiert ist) und den Datenverkehr spiegelt, der in ge-0/0/0 und ge-0/0/1 eintritt, und den gespiegelten Datenverkehr an das VLAN namens remote-analyzer). Wenn der Status der Ausgabeschnittstelle ausgefallen ist oder wenn die Ausgabeschnittstelle nicht konfiguriert ist, ist der Statuswert niedrig und der Analysator wird nicht für die Spiegelung programmiert.

Beispiel: Konfigurieren der Spiegelung für die Remote-Überwachung der Nutzung von Mitarbeiterressourcen über einen Transit-Switch auf EX4300-Switches

Hinweis:

In diesem Beispiel wird Junos OS für Switches der EX-Serie mit Unterstützung für den Konfigurationsstil Erweiterte Layer 2-Software (ELS) verwendet.

Mit den EX4300-Switches können Sie die Spiegelung so konfigurieren, dass Kopien von Paketen entweder an eine lokale Schnittstelle für die lokale Überwachung oder an ein VLAN für die Remote-Überwachung gesendet werden. Sie können Spiegelung verwenden, um diese Pakete zu kopieren:

  • Pakete, die in einen Port eintreten oder ihn verlassen

  • Pakete, die auf EX4300-Switches in ein VLAN eingehen

Sie können den gespiegelten Datenverkehr mithilfe einer Protokollanalyseanwendung analysieren, die auf einer Remoteüberwachungsstation ausgeführt wird, wenn Sie gespiegelten Datenverkehr an ein Analyse-VLAN senden.

Dieses Thema enthält ein Beispiel, in dem beschrieben wird, wie der Datenverkehr, der in die Ports des Switches gelangt, über einen Transit-Switch in das remote-analyzer VLAN gespiegelt wird, sodass Sie eine Analyse von einer Remoteüberwachungsstation aus durchführen können.

Optimale Vorgehensweise:

Spiegeln Sie nur notwendige Pakete, um potenzielle Auswirkungen auf die Leistung zu reduzieren. Wir empfehlen Ihnen:

  • Deaktivieren Sie Ihre konfigurierten Spiegelungssitzungen, wenn Sie sie nicht verwenden.

  • Geben Sie einzelne Schnittstellen als Eingabe für Analysetools an, anstatt alle Schnittstellen als Eingabe anzugeben.

  • Begrenzen Sie die Menge des gespiegelten Datenverkehrs mithilfe von Firewall-Filtern.

In diesem Beispiel wird beschrieben, wie die Remote-Spiegelung über einen Transit-Switch konfiguriert wird:

Anforderungen

In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:

  • Ein EX4300-Switch, der über einen dritten EX4300-Switch mit einem anderen EX4300-Switch verbunden ist

  • Junos OS Version 13.2X50-D10 oder höher für Switches der EX-Serie

Bevor Sie die Remote-Spiegelung konfigurieren, stellen Sie Folgendes sicher:

  • Sie haben ein Verständnis für Spiegelungskonzepte.

  • Die Schnittstellen, die der Analysator als Eingabeschnittstellen verwendet, wurden auf dem Switch konfiguriert.

Übersicht und Topologie

In diesem Beispiel wird beschrieben, wie der Datenverkehr, der in die Ports auf dem Switch gelangt, über einen Transit-Switch in das remote-analyzer VLAN gespiegelt wird, sodass Sie eine Analyse von einer Remoteüberwachungsstation aus durchführen können. Das Beispiel zeigt, wie ein Switch so konfiguriert wird, dass der gesamte Datenverkehr von den Computern der Mitarbeiter an einen Remoteanalysator gespiegelt wird.

In dieser Konfiguration ist eine Analysesitzung auf dem Ziel-Switch erforderlich, um eingehenden Datenverkehr vom Analyse-VLAN an die Ausgangsschnittstelle widerzuspiegeln, mit der die Fernüberwachungsstation verbunden ist. Sie müssen das MAC-Lernen auf dem Transit-Switch für das remote-analyzer VLAN deaktivieren, damit das MAC-Lernen für alle Mitgliedsschnittstellen des remote-analyzer VLAN auf dem Transit-Switch deaktiviert ist.

Abbildung 7 zeigt die Netzwerktopologie für dieses Beispiel.

Topologie

Abbildung 7: Remote-Spiegelung über ein Transit-Switch-Netzwerk – Beispieltopologie Network topology with three EX4300 switches: Source Switch connected to employee CPUs, Transit Switch linking Source and Destination, and Destination Switch connected to Remote Monitoring Station for traffic analysis.

In diesem Beispiel:

  • Die Schnittstelle ge-0/0/0 ist eine Layer-2-Schnittstelle und die Schnittstelle ge-0/0/1 ist eine Layer-3-Schnittstelle (beide Schnittstellen auf dem Quell-Switch), die als Verbindungen für Mitarbeitercomputer dienen.

  • Die Schnittstelle ge-0/0/10 ist eine Layer-2-Schnittstelle, die mit dem Transit-Switch verbunden ist.

  • Die Schnittstelle ge-0/0/11 ist eine Layer-2-Schnittstelle auf dem Transit-Switch.

  • Die Schnittstelle ge-0/0/12 ist eine Layer-2-Schnittstelle auf dem Transit-Switch und wird mit dem Ziel-Switch verbunden.

  • Die Schnittstelle ge-0/0/13 ist eine Layer-2-Schnittstelle auf dem Ziel-Switch.

  • Die Schnittstelle ge-0/0/14 ist eine Layer-2-Schnittstelle auf dem Ziel-Switch und wird mit der Fernüberwachungsstation verbunden.

  • VLAN remote-analyzer ist auf allen Switches in der Topologie so konfiguriert, dass es den gespiegelten Datenverkehr überträgt.

Spiegelung des gesamten Mitarbeiterdatenverkehrs für Remote-Analysen über einen Transit-Switch

Führen Sie die folgenden Aufgaben aus, um die Spiegelung für die Remotedatenverkehrsanalyse über einen Transit-Switch für den gesamten eingehenden und ausgehenden Mitarbeiterdatenverkehr zu konfigurieren:

Vorgehensweise

CLI-Schnellkonfiguration

Um die Spiegelung für die Remote-Datenverkehrsanalyse über einen Transit-Switch für ein- und ausgehenden Mitarbeiterdatenverkehr schnell zu konfigurieren, kopieren Sie die folgenden Befehle, und fügen Sie sie in das Switch-Terminalfenster ein:

  • Kopieren Sie die folgenden Befehle und fügen Sie sie in das Terminalfenster des Quell-Switches (überwachter Switch) ein:

  • Kopieren Sie die folgenden Befehle, und fügen Sie sie in das Transit-Switch-Fenster ein:

  • Kopieren Sie die folgenden Befehle, und fügen Sie sie in das Fenster des Ziel-Switches ein:

Schritt-für-Schritt-Anleitung

So konfigurieren Sie die Remote-Spiegelung über einen Transit-Switch:

  1. Auf dem Quell-Switch:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN:

    • Konfigurieren Sie die Schnittstellen auf dem Netzwerkport, der mit dem Transit-Switch verbunden ist, für den Bündelfunkmodus und ordnen Sie ihn dem remote-analyzer VLAN zu:

    • Konfigurieren Sie das employee-monitor Analysetool:

  2. Auf dem Transit-Switch:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN:

    • Konfigurieren Sie die ge-0/0/11-Schnittstelle für den Bündelfunkmodus und verknüpfen Sie sie mit dem remote-analyzer VLAN:

    • Konfigurieren Sie die Schnittstelle für den Bündelfunkmodus, verknüpfen Sie sie ge-0/0/12 mit dem remote-analyzer VLAN, und legen Sie die Schnittstelle nur für ausgehenden Datenverkehr fest:

    • Konfigurieren Sie die no-mac-learning Option für das remote-analyzer VLAN, um das MAC-Lernen auf allen Schnittstellen zu deaktivieren, die Mitglieder des remote-analyzer VLAN sind:

  3. Auf dem Ziel-Switch:

    • Konfigurieren Sie die VLAN-ID für das remote-analyzer VLAN:

    • Konfigurieren Sie die GE-0/0/13-Schnittstelle für den Bündelfunkmodus, ordnen Sie sie dem remote-analyzer VLAN zu und stellen Sie die Schnittstelle nur für eingehenden Datenverkehr ein:

    • Konfigurieren Sie die mit der Fernüberwachungsstation verbundene Schnittstelle für den Bündelfunkmodus:

    • Konfigurieren Sie das employee-monitor Analysetool:

Ergebnisse

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Quell-Switch:

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Transit-Switch:

Überprüfen Sie die Ergebnisse der Konfiguration auf dem Ziel-Switch:

Verifizierung

Führen Sie die folgenden Aufgaben aus, um zu bestätigen, dass die Konfiguration ordnungsgemäß funktioniert:

Überprüfen, ob das Analysetool ordnungsgemäß erstellt wurde

Zweck

Stellen Sie sicher, dass der benannte employee-monitor Analysator auf dem Switch mit den entsprechenden Eingabeschnittstellen und der entsprechenden Ausgabeschnittstelle erstellt wurde.

Aktion

Sie können überprüfen, ob das Analysetool wie erwartet konfiguriert ist, indem Sie den show analyzer Befehl verwenden. Um zuvor erstellte Analysetools anzuzeigen, die deaktiviert sind, rufen Sie die J-Web-Schnittstelle auf.

Um zu überprüfen, ob der Analyzer wie erwartet konfiguriert ist, während der gesamte Datenverkehr der Mitarbeiter auf dem Quell-Switch überwacht wird, führen Sie den show analyzer Befehl auf dem Quell-Switch aus. Für diese Beispielkonfiguration wird folgende Ausgabe angezeigt:

Bedeutung

Diese Ausgabe zeigt, dass der employee-monitor Analysator ein Verhältnis von 1 hat (standardmäßig jedes Paket spiegelt), den Datenverkehr spiegelt, der in ge-0/0/0 und ge-0/0/1 eintritt, und den gespiegelten Datenverkehr an den Analysator remote-analyzersendet.