Installation de l’OVA Virtual Collector d’ATP Appliance

Les options de déploiement extensible de l’appliance ATP incluent un produit Virtual Collector (vCollector), en tant qu’Open Virtual Appliance, ou OVA, qui s’exécute sur les machines virtuelles. Plus précisément, une image packagée OVA d’ATP Appliance est disponible pour VMware Hypervisor for vSphere 6.5, 6.0, 5.5 et 5.0. Des modèles Virtual Collector prenant en charge 25 Mbit/s, 100 Mbit/s, 500 Mbit/s et 1,0 Gbit/s sont disponibles.

Un package OVF se compose de plusieurs fichiers contenus dans un répertoire unique avec un fichier descripteur OVF qui décrit le modèle et le package de machine virtuelle ATP Appliance : métadonnées pour le package OVF et une image logicielle ATP Appliance. Le répertoire est distribué en tant que package OVA (un fichier d’archive tar contenant le répertoire OVF).

Figure 1 : le vSwitch et le groupe de ports sont en mode Both the vSwitch and the port-group are in promiscuous mode

promiscuité

Options de déploiement de Virtual Collector

Deux types de déploiements vCollector sont pris en charge pour un commutateur réseau SPAN/TAP :

Trafic s’étendant sur un vCollector à partir d’un commutateur physique. Dans ce cas, le trafic est réparti du port A au port B. ESXi contenant l’OVA vCollector de l’appliance ATP est connecté au portB. Ce scénario de déploiement est illustré dans la figure ci-dessus.
Trafic provenant d’une machine virtuelle qui se trouve sur le même vSwitch que le vCollector. Dans ce scénario de déploiement, étant donné que le vSwitch contenant le vCollector est en mode promiscuous, par défaut, tous les groupes de ports créés seront également en mode promiscuous. Par conséquent, 2 groupes de ports sont recommandés dans lesquels le groupe_portsA (vCollector) en mode promiscuous est associé au vCollector, et port-groupB (vTraffic) représente le trafic qui n’est pas en mode promiscuous.

Note:
Le trafic provenant d’une machine virtuelle qui n’est pas sur le même vSwitch que le vCollector n’est pas pris en charge. En outre, une carte réseau dédiée est requise pour le déploiement de vCollector ; attacher la carte réseau à un commutateur virtuel en mode promiscuité (pour collecter tout le trafic). Si un vSwitch est en mode promiscuité, par défaut, tous les groupes de ports sont placés en mode promiscuité, ce qui signifie que d’autres machines virtuelles régulières reçoivent également du trafic inutile. Une solution consiste à créer un groupe de ports différent pour les autres machines virtuelles et à configurer sans mode promiscuous.

Tableau 1 : exigences de provisionnement pour Traffic et Email Collector
Prise en charge des versions de VM vCenter	Matériel vCollector ESXi recommandé	Processeurs vCollector	Mémoire vCollector
Version de VM vCenter Server : 6.5, 6.0, 5.5 et 5.0. Version de vSphere Client : 6.5, 6.0, 5.5 et 5.0. Version d’ESXi : 5.5.0 et 5.5.1	Vitesse du processeur 2.3-3.3 GHz Autant de cœurs physiques que de processeurs virtuels Hyperthreading : activer ou désactiver	Réservation : Par défaut Limite de CPU : Illimité Mode de partage Core Hyperthreaded : Aucun (si Hyperthreading est activé sur ESXi)	Réservation de mémoire : par défaut Limite de mémoire : illimité

Tableau 2 : options de dimensionnement du collecteur de trafic
Modèle	Performanc e	Nombre de vCPU	Mémoire	Stockage sur disque
vC--v500M	500 Mbit/s	4	16 Go	512 Go
vC--v1G	1 Gbit/s	8	32 Go	512 Go
vC-v2.5G	2,5 Gbit/s	24	64 Go	512 Go

Tableau 3 : options de dimensionnement pour Email Collector
Modèle	Performance	Nombre de vCPU	Mémoire	Stockage sur disque	E-mails/Jour
vC--v500M	500 Mbit/s	8	16 Go	512 Go	720 mille
vC--v1G	1 Gbit/s	16	16 Go	512 Go	1,4 million
vC-v2.5G	2,5 Gbit/s	24	32 Go	512 Go	2,4 millions

Note:

VDS et DVS ne sont pas pris en charge dans cette version.

Configuration du vSwitch pour le déploiement OVA

Identifiez la carte réseau physique à partir de laquelle le trafic partagé est reçu, puis créez un commutateur virtuel VMware et associez-le à la carte réseau physique.
Cliquez sur Virtual Switch Properties (Propriétés du commutateur virtuel). Dans l’onglet Ports, sélectionnez vSwitch et cliquez sur le bouton Modifier.
Sélectionnez l’onglet Sécurité et définissez le mode Promiscuous sur accepter, puis cliquez sur OK. Cliquez à nouveau sur OK pour quitter.
Créez un nouveau groupe de ports « vtraffic » dans le commutateur virtuel. Ce nouveau groupe de ports sera attribué ultérieurement à votre vCollector. Voir vSwitch Tip ci-dessous pour plus d’informations sur le dépannage de cette configuration.

Pour installer l’OVA de l’appliance ATP Traffic Collector sur une machine virtuelle

Téléchargez le fichier OVA de l’appliance ATP sur un système de bureau pouvant accéder à VMware vCenter.
Connectez>vous à vCenter et cliquez sur FileDeploy OVF Template.
Parcourez le répertoire Téléchargements et sélectionnez le fichier OVA, puis cliquez sur Suivant pour afficher la page Détails du modèle OVF.
Cliquez sur Suivant pour afficher et consulter la page Contrat de licence utilisateur final.
Acceptez le CLUF et cliquez sur Suivant pour afficher la page Nom et emplacement.
Un nom par défaut est créé pour le collecteur virtuel. Si vous le souhaitez, entrez un nouveau nom.
Choisissez le centre de données sur lequel le vCollector sera déployé, puis cliquez sur Suivant pour afficher la page Hôte/Cluster.
Choisissez l’hôte/cluster sur lequel le vCollector résidera, puis cliquez sur Suivant pour afficher la page Stockage.
Choisissez le stockage de fichiers de destination pour les fichiers de la machine virtuelle vCollector, puis cliquez sur Suivant pour afficher la page Format du disque. La valeur par défaut est THIN PROVISION LAZY ZEROED qui nécessite 512 Go d’espace libre sur le périphérique de stockage. L’utilisation du provisionnement de disque léger pour économiser initialement de l’espace disque est également prise en charge.

Cliquez sur Suivant pour afficher la page Mappage réseau.
Configurez les deux interfaces vCollector :
- Gestion (administrative) : cette interface permet de communiquer avec le gestionnaire central (CM) des appliances ATP. Affectez le réseau de destination au groupe de ports qui dispose d’une connectivité à l’adresse IP du réseau de gestion CM.
- Surveillance : Cette interface permet d’inspecter et de collecter le trafic réseau. Affectez le réseau de destination à un groupe de ports qui reçoit du trafic en miroir ; Il s’agit du groupe de ports « vTraffic » configuré dans la section Configuration requise ci-dessus. Cliquez sur Suivant pour afficher la page Propriétés de l’appliance ATP.
La stratégie d’allocation IP peut être configurée pour l’adressage DHCP ou statique : Juniper recommande d’utiliser l’adressage statique. Pour obtenir des instructions DHCP, passez à l’étape 12. Pour Stratégie d’allocation IP en tant que statique, effectuez les affectations suivantes :
- Adresse IP : attribuez l’adresse IP du réseau de gestion pour le collecteur virtuel ; elle doit se trouver dans le même sous-réseau que l’adresse IP de gestion du gestionnaire central de l’appliance ATP.
- Masque de réseau : affectez le masque de réseau au collecteur virtuel.
- Passerelle : attribuez la passerelle au collecteur virtuel.
- Adresse DNS 1 : attribuez l’adresse DNS principale au collecteur virtuel.
- Adresse DNS 2 : attribuez l’adresse DNS secondaire au collecteur virtuel.
Entrez le domaine de recherche et le nom d’hôte du collecteur virtuel.
Renseignez les paramètres du vCollector de l’appliance ATP :
- Nouveau mot de passe administrateur de l’interface de ligne de commande de l’appliance ATP : il s’agit du mot de passe permettant d’accéder au collecteur virtuel à partir de l’interface de ligne de commande.
- Adresse IP du gestionnaire central de l’appliance ATP : entrez l’adresse IP du réseau de gestion configurée pour le gestionnaire central. Cette adresse IP doit être accessible par l’adresse IP Virtual Collector Management.
- Nom du périphérique ATP Appliance : entrez un nom de périphérique unique pour le collecteur virtuel.
- Description du périphérique de l’appliance ATP : entrez une description pour le collecteur virtuel.
- Phrase secrète de clé de périphérique ATP Appliance : entrez la phrase secrète du collecteur virtuel ; elle doit être identique à la phrase secrète configurée dans le Gestionnaire central pour le Core/CM. Cliquez sur Suivant pour afficher la page Prêt à terminer.
Ne cochez pas l’option Mise sous tension après déploiement, car vous devez d’abord (ensuite) modifier les exigences en matière de CPU et de mémoire (selon le modèle de Virtual Collector : 100 Mbit/s, 500 Mbit/s ou 1 Gbit/s). Il est important de réserver le processeur et la mémoire pour tout déploiement virtuel.
Pour configurer le nombre de vCPU et de mémoire :
1. Mettez le collecteur virtuel hors tension.
2. Faites un clic droit sur le collecteur virtuel -> Modifier les paramètres
3. Sélectionnez Mémoire dans l’onglet matériel. Entrez la mémoire requise dans la zone de combinaison Taille de la mémoire à droite.
4. Sélectionnez CPU dans l’onglet matériel. Entrez la zone de combinaison du nombre requis de CPU virtuels sur la droite. Cliquez sur OK pour définir.
Pour configurer la réservation du processeur et de la mémoire :
- Pour la réservation du CPU : Faites un clic droit sur vCollector-> Modifier les paramètres :
- Sélectionnez l’onglet Ressources, puis CPU.
- Sous Réservation, spécifiez l’allocation de CPU garantie pour la machine virtuelle. Il peut être calculé en fonction du nombre de vCPU *vitesse du processeur.
- Pour la réservation de mémoire : Faites un clic droit sur vCollector -> Modifier les paramètres.
- Dans l’onglet Ressources, sélectionnez Mémoire.
- Sous Réservation, spécifiez la quantité de mémoire à réserver pour la machine virtuelle. Elle doit être identique à la mémoire spécifiée dans le guide de dimensionnement.
Si Hyperthreading est activé, effectuez les sélections suivantes :
- Faites un clic droit sur le collecteur virtuel -> Modifier les paramètres.
- Dans l’onglet Ressources, sélectionnez Partage HT : Aucun pour le processeur avancé.
Mettez le collecteur virtuel sous tension.

Pointe:
vSwitch Résolution des problèmes d’installation : Si votre collecteur virtuel ne détecte pas de trafic, (1) confirmez la configuration de votre environnement [installation d’ESXi avec installation OVA d’un vCollector appliance Juniper ATP ; votre vNIC pour la collecte du trafic est connecté à un commutateur d’agrégation tap]. (2) Vérifiez les symptômes [La surveillance de l’interface ESXi au niveau de l’hôte indique les niveaux de trafic tactile attendus ; La capture de paquets TCPdump affiche uniquement le trafic Spanning Tree et aucune donnée ; La configuration de base du système est conforme à la documentation. Solution probable : si le port du commutateur conserve les balises VLAN (agrégation), configurez l’adaptateur VMkernel pour qu’il ne regarde que TOUS les VLAN (4095) et pas seulement le VLAN par défaut (0), comme indiqué dans les paramètres ci-dessous :

Figure 2 : configuration de dépannage du VLAN vSwitch dans les groupes de ports

Pointe:
Juniper génère un fichier .ovf et .vmdk pour chaque version. Les .ovf et .vmdk sont regroupés dans un fichier .tar que vous téléchargez et développez. Pour les clients qui ne souhaitent pas utiliser vCenter pour le déploiement du collecteur virtuel : téléchargez le fichier .tar et développez l’OVF et le VMDK dans le même répertoire. Ensuite, à partir du client vSphere, cliquez sur Fichier -> Déployer le modèle OVF. Choisissez le fichier .ovf, puis terminez le déploiement de l’Assistant ovf. L’assistant de configuration vous invite à entrer les propriétés du collecteur/cœur telles que l’adresse IP, le nom d’hôte, la clé de périphérique. Connectez-vous à l’interface de ligne de commande et configurez chaque paramètre.

Pour installer l’OVA de l’appliance ATP d’Email Collector sur une machine virtuelle

Téléchargez le fichier OVA de l’appliance ATP sur un système de bureau pouvant accéder à VMware vCenter.
Connectez>vous à vCenter et cliquez sur FileDeploy OVF Template.
Parcourez le répertoire Téléchargements et sélectionnez le fichier OVA, puis cliquez sur Suivant pour afficher la page Détails du modèle OVF.
Cliquez sur Suivant pour afficher et consulter la page Contrat de licence utilisateur final.
Acceptez le CLUF et cliquez sur Suivant pour afficher la page Nom et emplacement
un nom par défaut est créé pour Virtual Email Collector. Si vous le souhaitez, entrez un nouveau nom.
Choisissez le centre de données sur lequel le vCollector sera déployé, puis cliquez sur Suivant pour afficher la page Hôte/Cluster.
Choisissez l’hôte/cluster sur lequel le vCollector résidera, puis cliquez sur Suivant pour afficher la page Stockage.
Choisissez le stockage de fichiers de destination pour les fichiers de la machine virtuelle vCollector, puis cliquez sur Suivant pour afficher la page Format du disque. La valeur par défaut est THIN PROVISION LAZY ZEROED qui nécessite 512 Go d’espace libre sur le périphérique de stockage. L’utilisation du provisionnement de disque léger pour économiser initialement de l’espace disque est également prise en charge.

Cliquez sur Suivant pour afficher la page Mappage réseau.
Configurer l’interface de gestion Virtual Email Collector : Cette interface permet de communiquer avec le gestionnaire central (CM) de l’appliance ATP. Affectez le réseau de destination au groupe de ports qui dispose d’une connectivité à l’adresse IP du réseau de gestion CM.
La stratégie d’allocation IP peut être configurée pour l’adressage DHCP ou statique : Juniper recommande d’utiliser l’adressage statique. Pour obtenir des instructions DHCP, passez à l’étape 12. Pour Stratégie d’allocation IP en tant que statique, effectuez les affectations suivantes :
- Adresse IP : attribuez l’adresse IP du réseau de gestion pour le collecteur virtuel ; elle doit se trouver dans le même sous-réseau que l’adresse IP de gestion du gestionnaire central de l’appliance ATP.
- Masque de réseau : affectez le masque de réseau au collecteur virtuel.
- Passerelle : attribuez la passerelle au collecteur virtuel.
- Adresse DNS 1 : attribuez l’adresse DNS principale au collecteur virtuel.
- Adresse DNS 2 : attribuez l’adresse DNS secondaire au collecteur virtuel.
Entrez le domaine de recherche et le nom d’hôte du collecteur virtuel.
Renseignez les paramètres du vCollector de l’appliance ATP :
- Nouveau mot de passe administrateur de l’interface de ligne de commande de l’appliance ATP : il s’agit du mot de passe permettant d’accéder au collecteur virtuel à partir de l’interface de ligne de commande.
- Adresse IP du gestionnaire central de l’appliance ATP : entrez l’adresse IP du réseau de gestion configurée pour le gestionnaire central. Cette adresse IP doit être accessible par l’adresse IP Virtual Collector Management.
- Nom du périphérique ATP Appliance : entrez un nom de périphérique unique pour le collecteur virtuel.
- Description du périphérique de l’appliance ATP : entrez une description pour le collecteur virtuel.
- Phrase secrète de clé de périphérique ATP Appliance : entrez la phrase secrète du collecteur virtuel ; elle doit être identique à la phrase secrète configurée dans le Gestionnaire central pour le Core/CM. Cliquez sur Suivant pour afficher la page Prêt à terminer.
Ne cochez pas l’option Mise sous tension après le déploiement, car vous devez d’abord (ensuite) modifier les exigences en matière de CPU et de mémoire (en fonction des options de dimensionnement disponibles). Il est important de réserver le processeur et la mémoire pour tout déploiement virtuel.
Pour configurer la réservation du processeur et de la mémoire :
- Pour la réservation du CPU : Faites un clic droit sur vCollector-> Modifier les paramètres :
- Sélectionnez l’onglet Ressources, puis CPU.
- Sous Réservation, spécifiez l’allocation de CPU garantie pour la machine virtuelle. Il peut être calculé en fonction du nombre de vCPU vitesse du processeur.
- Pour la réservation de mémoire : Faites un clic droit sur vCollector -> Modifier les paramètres.
- Dans l’onglet Ressources, sélectionnez Mémoire.
- Sous Réservation, spécifiez la quantité de mémoire à réserver pour la machine virtuelle. Elle doit être identique à la mémoire spécifiée dans le guide de dimensionnement.
Si Hyperthreading est activé, procédez aux élections suivantes :
- Faites un clic droit sur le collecteur virtuel -> Modifier les paramètres.
- Dans l’onglet Ressources, sélectionnez Partage HT : Aucun pour le processeur avancé.
Mettez sous tension le collecteur d’e-mails virtuel.