Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
AUF DIESER SEITE
 

Beispiel: Konfigurieren der lokalen Portspiegelung auf PTX-Routern

In diesem Beispiel erfahren Sie, wie Sie die lokale Portspiegelung auf PTX-Plattformen mit Junos Evolved konfigurieren und überprüfen. Die PTX-Plattformen umfassen PTX10001-36MR, LC1201 und LC1202 in PTX10004-, PTX10008- und PTX10016-Gehäusen

Vorbereitungen

Hardware- und Softwareanforderungen

Junos OS Evolved Version 22.2R1.12-EVO oder höher.

PTX10001-36MR

Eine vollständige Liste der unterstützten Plattformen und Junos OS-Versionen finden Sie im Funktions-Explorer.

Geschätzte Lesezeit

Eine Viertelstunde.

Geschätzte Konfigurationszeit

 Dreißig Minuten

Auswirkungen auf das Geschäft

Verwenden Sie dieses Konfigurationsbeispiel, um die lokale Portspiegelungsfunktion zu konfigurieren. Die Portspiegelung ist ein wichtiges Tool für das Debugging und sicherheitsrelevante Aufgaben. Mirror-Datenverkehr kann offline von einer Vielzahl von Tools analysiert werden, um entweder Protokollinteraktionen anzuzeigen oder Anomalien zu erkennen.

Mehr erfahren

Informationen zur Portspiegelung finden Sie unter Portspiegelung und Analysen.

Weitere Informationen

 Lernportal

Funktionsübersicht

Tabelle 1 enthält eine kurze Zusammenfassung der in diesem Beispiel verwendeten Protokolle und Technologien.

Tabelle 1: Funktionsübersicht über die lokale Portspiegelung

Routing- und Signalisierungsprotokolle

OSPF und OSPF3

Auf allen Routern wird OSPF und OSPF3 als IGP ausgeführt. Alle Router gehören zum Bereich 0 (auch Backbone-Bereich genannt). Die OSPF/OSPF3-Routingdomänen bieten eine interne Erreichbarkeit für alle Netzwerke und Schnittstellen in der Topologie.

In diesem Beispiel sind die CE- und PE/P-Geräte Teil derselben IGP-Routing-Domäne. Daher sind keine Tunnel zwischen den PE-Geräten erforderlich, um den CE-Datenverkehr über den Core zu transportieren. Da es sich um einen Anwendungsfall für die lokale Spiegelung handelt, ist eine GRE-Kapselung nicht erforderlich, wenn gespiegelter Datenverkehr an die Überwachungsstation gesendet wird.

Routing-Protokolle

IPv4 und IPv6

Alle Geräte sind so konfiguriert, dass sie sowohl IPv4- als auch IPv6-Routing unterstützen.

Analysator (Überwachungsstation)

Centos und Wireshark

Der Analyzer führt Centos 7.x mit einer GUI-Version von Wireshark aus.

Topologieübersicht

In diesem Beispiel fungiert das R3-Gerät als Prüfling (Device Under Test, DUT), da hier die Portspiegelung konfiguriert wird. Das Gerät verwendet Firewall-Filter, um die IP-Adressen abzugleichen, die den CE-Geräten zugeordnet sind, um die Port-Spiegelungsaktion auszulösen. Eine Kombination aus Eingangs- und Ausgangsfiltern wird verwendet, um sowohl den Anforderungs- als auch den Antwortverkehr zwischen den CE-Geräten (R1 und R5) widerzuspiegeln.

Die Firewall-Filter, die das Packet Sampling hervorrufen, werden auf eine oder mehrere der Transitschnittstellen auf dem R3-Gerät angewendet.

Tabelle 2: Übersicht über die Topologie der lokalen Portspiegelung
Gerätename

Rolle

 Funktion
CE Customer Edge (CE)-Gerät, das Testdatenverkehr sendet, um zu bestätigen, dass die Stichprobenentnahme ordnungsgemäß funktioniert. Diese Geräte werden als CE-Geräte bezeichnet. In den meisten Fällen ist ein CE-Gerät Teil eines VPN-Dienstes. Hier teilen sich die CE denselben OSPF-Bereich 0 wie die Geräte des Anbieters, um die IP-Konnektivität der Hauptinstanz bereitzustellen.
PE Provider Edge (PE)-Gerät, das an die CE angeschlossen wird. Geräte am Edge eines Provider-Netzwerks. Unsere PEs laufen nur mit OSPF. BGP und VPNs werden nicht bereitgestellt.
P Ein Provider-Core-Router (P). Wir haben uns dafür entschieden, die Port-Spiegelung an einem P-Router zu demonstrieren. Sie können die Portspiegelung auf jedem der Provider-Geräte nach Bedarf konfigurieren.
Analyzer Das Analysegerät empfing den Spiegelverkehr zur Speicherung und Analyse. Die Einzelheiten des Analysators werden in diesem Dokument nicht behandelt. Es gibt eine Reihe von Open-Source- und kommerziellen Optionen. Unser Analysator läuft zufällig Centos 7.x mit einem Gnome-Desktop, der eine GUIO-Version von Wireshark unterstützt.

Topologie-Illustrationen

Abbildung 1: Lokale Portspiegelung

Schritte zur R3-Konfiguration

Weitere Informationen zum Navigieren in der CLI finden Sie unter Verwenden des CLI-Editors im Konfigurationsmodus

Hinweis:

Eine vollständige Konfiguration auf allen Geräten finden Sie unter: Anhang 2: Festlegen von Befehlen auf allen Geräten

In diesem Abschnitt werden die wichtigsten Konfigurationsaufgaben beschrieben, die für die Konfiguration des Prüflings erforderlich sind, in diesem Beispiel das P-Gerät (R3). Abgesehen von den für das Sampling verwendeten Besonderheiten verfügen alle Geräte über eine ähnliche Basiskonfiguration, die IPv6- und IPv4-Konnektivität der Hauptinstanz unterstützt.

  1. Konfigurieren Sie die IPv4- und IPv6-Routing-Baseline. Dazu gehört die Nummerierung der Loopback- und Core-Schnittstellen für IPv4 und IPv6. Außerdem definieren Sie das OSPF- und OSPFv3-Routingprotokoll, um die Erreichbarkeit zwischen allen Netzwerkschnittstellen zu gewährleisten.

    Für die Schnittstelle, die an den Analyzer angeschlossen ist, wird eine passive IGP-Instanz bereitgestellt. Dies bietet Erreichbarkeit für Diagnosezwecke, ohne dass Hello-Pakete auf der Schnittstelle generiert werden. Eine OSPF-Nachbarschaft zum Analysegerät wird nicht erwartet oder benötigt

    Hinweis: Für den Anwendungsfall der lokalen Spiegelung ist nur eine IP-Verbindung zwischen dem Analysegerät und dem Gerät erforderlich, das die Portspiegelung durchführt. In diesem Beispiel führen wir eine passive IGP auf der Schnittstelle aus, die an den Analysator angeschlossen ist. Wir konfigurieren auch eine Standardroute auf dem Analysegerät, um die IP-Konnektivität zwischen ihm und den anderen Geräten herzustellen. Dies bietet die Möglichkeit, die Konnektivität zwischen dem Analysator und allen anderen Geräten zu testen. in der Topologie.

    Diese Funktion ist am nützlichsten in einem Remote-Port-Mirror-Fall, in dem eine Layer-3-Erreichbarkeit zwischen dem Probenahmegerät und dem Analysator erforderlich ist.
  2. Konfigurieren Sie die Abtastrate. Wir verwenden eine Rate von 1, um alle übereinstimmenden Pakete auszuwählen und zu testen. Der Standardwert run-length 0 bleibt bestehen, da der gesamte übereinstimmende Datenverkehr bereits abgetastet wurde. Sie müssen auch die Ausgangsschnittstelle und die Adresse des nächsten Hops angeben, an die der gespiegelte Datenverkehr gesendet wird. In diesem Beispiel der lokalen Portspiegelung ist zu beachten, dass die angegebenen Schnittstellen- und Next-Hop-Adressen direkt an den Prüfling angehängt sind. Daher werden keine Tunnel benötigt oder verwendet, wenn der gespiegelte Datenverkehr an den Analyzer gesendet wird.
    Hinweis:

    Bei dieser Konfiguration wird davon ausgegangen, dass der Analyzer auf ARP- und ND-Anforderungen antwortet, die vom Prüfling zur Auflösung der MAC-Adresse gesendet werden. Wenn dies nicht der Fall ist oder wenn Sie möchten, dass ARP-Datenverkehr nicht Teil Ihrer Paketerfassungen ist, sollten Sie einen statischen ARP-Eintrag konfigurieren. Stellen Sie sicher, dass Sie die richtige MAC-Adresse für die Schnittstelle auf dem Analysegerät angeben, das an den Prüfling angeschlossen ist.

  3. Definieren Sie den Firewall-Filter, der abgeglichen werden soll, und spiegeln Sie dann IPv4-Pakete. Beachten Sie, dass die Aktion des Filters eine Port-Spiegelungsaktion angibt. Diese Aktion leitet übereinstimmenden Datenverkehr an die zuvor konfigurierten Portspiegelungsinstanzen weiter. Es sind zwei Filter definiert, jeweils einer für die Quell- und Zieladressen von CE1 bzw. CE2. Die Filter verfügen über eine Zählfunktion, die bei der Bestätigung des ordnungsgemäßen Betriebs hilft.

    Vergessen Sie nicht den letzten accept-all Begriff, der die Standardaktion deny-all eines Junos-Firewallfilters außer Kraft setzt!

  4. Definieren Sie den Firewall-Filter so, dass IPv6-Pakete abgeglichen und gespiegelt werden.

  5. Wenden Sie die IPv4- und IPv6-Filter auf die gewünschten Schnittstellen an. In unserem Beispiel wenden wir beide Filter auf die Schnittstelle et-0/0/0 an. Beachten Sie die Richtungsabhängigkeit der Filteranwendung. Für jeden CE-Datenverkehrsfluss (IPv4 oder IPv6) wenden wir einen Filter als Eingang und den anderen als Ausgang an. Diese Anwendungsmethode ist mit der Schreibweise der Filter unter Berücksichtigung der Adresszuweisungen und der Richtungsabhängigkeit des Datenverkehrs kompatibel.

Überprüfung

  1. Bestätigen Sie OSPF- und OSPF3-Nachbarn und Routen zu allen Loopback-Adressen.

  2. Bestätigen Sie die Portspiegelungsinstanz auf R3. Stellen Sie sicher, dass der Port-Spiegelungsstatus für die Spiegelungsschnittstelle gilt up . Stellen Sie sicher, dass Sie den up Status sowohl für die IPv4- als auch für die IPv6-Familie bestätigen. In diesem Fall empfiehlt es sich, die IP-Konnektivität zwischen dem Prüfling und dem Analysator zu bestätigen. In unserem Setup ist auf dem Analyzer eine Standardroute konfiguriert, um Ping-Tests von allen Punkten des Netzwerks aus zu ermöglichen. Technisch gesehen muss der Analysator nur für den Prüfling erreichbar sein (R3), da es sich hierbei um ein Beispiel für Local Port Mirroring handelt.

  3. Löschen Sie die Firewall-Zähler und Schnittstellenstatistiken auf R3. Generieren Sie als Nächstes IPv4- und IPv6-Testdatenverkehr zwischen den CE-Geräten, und zeigen Sie die Firewall-Zähler auf R3 an. Stellen Sie sicher, dass die auf R3 angewendeten Filter den Testdatenverkehr korrekt widerspiegeln.

  4. Zeigen Sie die Firewall-Leistungsindikatoren auf R3 an. Überprüfen Sie, ob die auf R3 angewendeten Filter den von Ihnen generierten Testdatenverkehr korrekt wiedergeben.

  5. Zeigt Schnittstellenstatistiken für die et-0/0/2.0-Schnittstelle von R3 an, die an den Analysator angeschlossen ist. Das Ziel besteht darin, Ausgabedatenverkehrszähler zu bestätigen, die mit dem generierten Testdatenverkehr korrelieren. Mit zehn Pings für IPv4 und IPv6 und angesichts der Tatsache, dass wir sowohl Anfragen als auch Antworten spiegeln, können Sie mit etwa 40 Ausgabepaketen rechnen.

  6. Führen Sie tcpdump oder die Analyseanwendung Ihrer Wahl auf der Überwachungsstation aus, um den Empfang und die Verarbeitung des gespiegelten Testdatenverkehrs zu bestätigen. Um die Größe der Erfassung kleiner zu halten, haben wir neuen Testdatenverkehr mit nur zwei Ping-Anfragen für IPv4 und IPv6 generiert. Die Erfassung und Decodierung bestätigt, dass die Portspiegelung von IPv4 und IPv6 basierend auf einem Firewall-Filterabgleich wie erwartet funktioniert. Beachten Sie, dass sowohl der Anforderungs- als auch der Antwortverkehr angezeigt wird.

    Beachten Sie bei der Erfassung außerdem, dass nur der Layer-3-Datenverkehr gespiegelt wird. Die gezeigte Layer-2-Kapselung wird vom Prüfling (R3) erzeugt, wenn der gespiegelte Datenverkehr an den Analysator weitergeleitet wird. Sie können die Port-Spiegelung für Layer-2-Services wie Ethernet-Switching oder VXLAN konfigurieren, wenn Sie den ursprünglichen Layer-2-Frame beibehalten müssen.

Anhang: Festlegen von Befehlen auf allen Geräten

Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle Details, die für Ihre Netzwerkkonfiguration erforderlich sind, und kopieren Sie dann die Befehle und fügen Sie sie in die CLI auf der Hierarchieebene [edit] ein.

R1 (CE)

R2 (PE)

R3 (Prüfling)

R4 (PE)

R5 (CE)