Configuration des interfaces d’entrée, des interfaces de services de surveillance et des interfaces d’exportation sur les routeurs MX Series
Après avoir créé le filtre d’entrée, vous devez configurer les interfaces où le trafic entrera dans le routeur.
Les interfaces Ethernet prennent en charge à la fois la surveillance passive par port et la surveillance passive par VLAN. Pour les interfaces Gigabit Ethernet, incluez l’instruction passive-monitor-mode au niveau de la [edit interfaces ge-fpc/pic/port] hiérarchie. Sur les interfaces Ethernet, le mode moniteur passif empêche le moteur de routage de recevoir des paquets et empêche la table de routage de transmettre des paquets. Vous pouvez le vérifier par la présence des indicateurs d’interface No-receive et No-transmit dans la sortie de la show interfaces ge-fpc/pic/port commande.
Les restrictions suivantes s’appliquent à la surveillance passive des flux sur les interfaces Ethernet :
-
Aucun type d’encapsulation spécial n’est autorisé, vous devez donc configurer uniquement les encapsulations Ethernet.
-
Lorsque vous configurez l’instruction, les filtres d’adresse
passive-monitor-modeMAC de destination appliqués aux interfaces entrantes sont désactivés par défaut. -
L’instruction
flow-controlau niveau de la hiérarchie ] ne fonctionne pas lorsque la[edit interfaces ge-fpc/pic/port gigether-optionssurveillance passive des flux est activée.
En plus du mode moniteur passif, appliquez le filtre de pare-feu précédemment défini à l’interface avec l’instruction filter au niveau de la [edit interfaces interface-name-fpc/pic/port unit unit-number family inet] hiérarchie :
[edit]
interfaces {
ge-2/0/0 {
description “Gigabit Ethernet input interface”;
passive-monitor-mode;
unit 0 {
family inet {
filter {
input input-monitoring-filter;
}
}
}
}
}
Configurez les interfaces du PIC Monitoring Services ou du PIC Monitoring Services II avec l’instruction family inet au niveau de la [edit interfaces mo-fpc/pic/port unit unit-number] hiérarchie. L’instruction permet aux interfaces de traiter le trafic IPv4 reçu des interfaces d’entrée.
Lorsque vous utilisez des instances VRF, vous devez configurer deux interfaces logiques. Le premier (unit 0) fait partie de la table de routage inet.0 et provient des paquets de flux. Le second (unit 1) est configuré dans le cadre de l’instance VRF afin que l’interface des services de surveillance puisse servir de saut suivant valide pour les paquets reçus dans l’instance.
Vous pouvez également capturer les options, les paquets et les informations de temps de vie dépassé (TTL) lorsque l’interface des services de surveillance traite les enregistrements de flux. Pour configurer, incluez les receive-options-packets instructions et receive-ttl-exceeded au niveau de la [edit interfaces mo-fpc/pic/port unit unit-number family inet] hiérarchie :
[edit]
interfaces {
mo-4/0/0 {
unit 0 {
family inet {
receive-options-packets;
receive-ttl-exceeded;
}
}
unit 1 {
family inet;
}
}
mo-4/1/0 {
unit 0 {
family inet;
}
unit 1 {
family inet;
}
}
mo-4/2/0 {
unit 0 {
family inet;
}
unit 1 {
family inet;
}
}
mo-4/3/0 {
unit 0 {
family inet;
}
unit 1 {
family inet;
}
}
}
Vous devez également configurer l’interface d’exportation où les paquets de flux quittent la station de surveillance et sont envoyés au serveur de flux.
Sur les interfaces de sortie, vous pouvez appliquer un filtre de pare-feu qui mène à une instance de routage de transfert basée sur un filtre. Ceci est utile si vous souhaitez mettre en miroir le trafic vers plusieurs PIC de Monitoring Services ou interfaces de services de collecte de flux. Pour configurer, incluez l’instruction output au niveau de la [edit interfaces interface-name unit logical-unit-number family inet filter] hiérarchie. Pour plus d’informations, consultez Utilisation du transfert basé sur des filtres pour exporter le trafic surveillé vers plusieurs destinations.
[edit]
interfaces
ge-3/0/0 {
description “export interface to flow server”;
unit 0 {
family inet;
address ip-address;
filter {
output output-filter-name;
}
}
}