Comprendre l’architecture FlowTap et FlowTapLite

Découvrez les dispositifs de médiation et la manière dont ils interagissent avec le routeur exécutant l’application FlowTap ou FlowTapLite.

L’architecture flow-tap se compose d’un ou plusieurs dispositifs de médiation qui envoient des requêtes à un routeur ACX ou MX Series qui prend en charge cette fonctionnalité pour surveiller les données entrantes. Tous les paquets qui correspondent à des critères de filtre spécifiques sont transférés vers un ensemble d’une ou plusieurs destinations de contenu :

• Dispositif de médiation : client qui surveille le transfert de données électroniques ou vocales sur le réseau. Le dispositif de médiation envoie des demandes de filtre au routeur à l’aide de DTCP. Les clients ne sont pas identifiés pour des raisons de sécurité, mais disposent d’autorisations définies par un ensemble de classes de connexion spéciales.

• Plate-forme de surveillance : routeur configuré pour prendre en charge l’application FlowTap ou FlowTapLite. La plate-forme de surveillance traite les demandes des appareils de médiation, applique les filtres dynamiques, surveille les flux de données entrants et envoie les paquets correspondants aux destinations de contenu appropriées.

• Destination du contenu : destinataire des paquets correspondants à partir de la plate-forme de surveillance. En règle générale, les paquets correspondants sont envoyés via un tunnel de sécurité IP (IPSec) de la plate-forme de surveillance à un autre routeur connecté à la destination du contenu. La destination du contenu et le dispositif de médiation peuvent être physiquement situés sur le même hôte.

• Filtres dynamiques : le moteur de transfert de paquets génère automatiquement un filtre de pare-feu qui est appliqué à toutes les instances de routage IPv4. Chaque terme du filtre inclut une flow-tap action similaire aux actions existantes sample ou port-mirroring . Tant que l’un des termes de filtre correspond à un paquet entrant, le routeur copie le paquet et le transmet à la carte MPC ou à la carte de ligne configurée pour flow-tap le service. La carte fait passer le paquet par les filtres du client et en envoie une copie à chaque destination de contenu correspondante. Pour des raisons de sécurité, les filtres installés par un client ne sont pas visibles par les autres et la configuration de l’interface de ligne de commande ne révèle pas l’identité de la cible surveillée.

  Voici un exemple de configuration de filtre ; Notez qu’il est généré dynamiquement par le routeur (aucune configuration utilisateur n’est requise) :

La figure 1 montre un exemple de topologie qui utilise deux dispositifs de médiation et deux destinations de contenu.

La figure 2 montre un exemple de topologie qui utilise un dispositif de médiation et une destination de contenu. Notez que les routeurs ACX Series utilisent un port de recyclage.