Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Considérations relatives aux routeurs de surveillance passive des flux et aux Logiciels pour les routeurs MX Series

La mise en œuvre d’une surveillance passive des flux implique plusieurs considérations matérielles et logicielles. Lorsque vous définissez les exigences matérielles du centre de télésurveillance, gardez à l’esprit les points suivants :

  • Les interfaces d’entrée du centre de télésurveillance doivent être des interfaces Gigabit Ethernet avec SFP (4 ou 10 ports) ou des interfaces 1 port 10 Gigabit Ethernet avec XENPAK.

  • Pour surveiller les flux dans les deux sens pour une interface unique, la station de surveillance doit disposer de deux ports de réception Ethernet, un pour chaque sens de flux. Dans la topologie d’application de surveillance passive des flux, la station de surveillance a besoin d’un port pour surveiller le trafic circulant du routeur 1 vers le routeur 2, et d’un second port pour surveiller le trafic circulant du routeur 2 vers le routeur 1.

  • Les PIC des services de surveillance doivent être installés dans un emplacement FPC amélioré de type 1.

  • Les PIC de services de tunnel de type 1 et de type 2 sont pris en charge.

  • Utilisez un PIC ES pour chiffrer l’exportation de flux.

  • Le hachage symétrique n’est pas pris en charge sur les cartes de ligne MPC10 et MPC11. Vous devez choisir une carte de ligne MPC différente si vous souhaitez prendre en charge le hachage symétrique ainsi que la surveillance passive.

  • Vous ne pouvez configurer la surveillance passive que sur un port physique et non sur une interface logique ou par VLAN. Vous ne pouvez pas configurer la surveillance passive sur un port Ethernet agrégé ou sur un port avec encapsulation Ethernet.

  • Les serveurs IDS doivent être directement connectés au routeur. Vous devez configurer les interfaces se connectant aux serveurs IDS dans le cadre d’un groupe d’agrégation de liens (LAG). Vous devez configurer des routes statiques pour acheminer les paquets vers un serveur IDS.

Lorsque vous définissez une stratégie de surveillance du trafic, gardez à l’esprit les points suivants :

  • La station de surveillance collecte uniquement les paquets IPv4. Tous les autres formats de paquets sont ignorés et ne sont pas comptabilisés.

  • Vous pouvez définir la durée pendant laquelle un flux de données peut être inactif avant que le centre de surveillance ne termine le flux et exporte les données de flux. Pour définir le minuteur, incluez l’instruction flow-inactive-timeout au niveau de la [edit forwarding-options monitoring group-name family inet output] hiérarchie. La valeur du minuteur peut être comprise entre 15 secondes et 1800 secondes, avec une valeur par défaut de 60 secondes.

Vous pouvez également configurer la station de surveillance pour collecter des rapports de flux périodiques pour les flux qui durent plus longtemps que le délai d’expiration actif configuré. Pour définir ce minuteur d’activité, incluez l’instruction flow-active-timeout au niveau de la [edit forwarding-options monitoring group-name family inet output] hiérarchie. La valeur du minuteur peut être comprise entre 60 secondes et 1800 secondes, avec une valeur par défaut de 180 secondes.

  • Si possible, plusieurs flux expirés sont exportés ensemble. Un paquet UDP est envoyé lorsque l’une des conditions suivantes est remplie :

    • Lorsque le paquet actuel contient 30 flux, les flux sont exportés.

    • S’il y a moins de 30 flux mais que le minuteur d’exportation expire, les flux sont exportés une seconde après l’expiration du minuteur.

  • Les flux TCP et UDP sont considérés différemment :

    • Les flux TCP surveillent un segment contenant le bit FIN et un accusé de réception ultérieur (ACK) pour détecter la fin d’un flux. Une réinitialisation TCP (RST) peut également indiquer la fin d’un flux. Lorsque ces combinaisons TCP sont détectées, le flux expire. Les cas FIN+ACK et RST couvrent la plupart des fermetures de flux TCP. Pour tous les autres flux, un délai d’inactivité est nécessaire.

    • Tous les flux non-TCP, tels que UDP, dépendent de mécanismes de délai d’attente pour l’exportation.

  • La valeur MTU par défaut des interfaces Gigabit Ethernet est de 1500 octets. Si la station de surveillance reçoit des paquets de plus de 4474 octets, ils sont rejetés ; Aucune fragmentation n’est effectuée. Notez que la taille de MTU prise en charge sur les PIC Gigabit Ethernet peut dépasser 1 500 octets, selon le type de PIC.

  • Le trafic entrant ignoré n’est pas transféré aux analyseurs de paquets.

  • Les interfaces du centre de télésurveillance qui collectent le trafic intercepté doivent être configurées avec une encapsulation Cisco HDLC ou PPP.

  • Vous devez toujours utiliser une interface standard (par exemple, une interface qui suit le format habituel interface-name-fpc/pic/slot ) pour envoyer des enregistrements de flux à un serveur de flux. Les données de flux générées par les PIC Monitoring Services ou Monitoring Services II ne seront pas transmises au serveur via l’interface fxp0 .

  • Vous pouvez envoyer des enregistrements de version 5 à plusieurs serveurs de flux. Vous pouvez configurer jusqu’à huit serveurs et le flux de trafic est équilibré entre les serveurs selon la méthode du Round Robin. Si l’un des serveurs cesse de fonctionner, la charge du flux de trafic s’équilibre automatiquement entre les serveurs actifs restants. Pour configurer, incluez jusqu’à huit flow-server instructions au niveau de la [edit forwarding-options monitoring group-name output] hiérarchie.