Définition d’un filtre de pare-feu de mise en miroir des ports

À partir de la version 14.2, sur les routeurs contenant un circuit intégré spécifique à l’application (ASIC) d’Internet Processor II ou un processeur Internet T Series, vous pouvez envoyer une copie d’un paquet IP version 4 (IPv4) ou IP version 6 (IPv6) du routeur à une adresse hôte externe ou à un outil d’analyse des paquets pour analyse. C’est ce qu’on appelle la mise en miroir des ports.

La mise en miroir des ports est différente de l’échantillonnage du trafic. Dans l’échantillonnage du trafic, une clé déchantillonnage basée sur l’en-tête IPv4 est envoyée au moteur de routage. Là, la clé peut être placée dans un fichier, ou des paquets cflowd basés sur la clé peuvent être envoyés à un serveur cflowd. Dans la mise en miroir de ports, l’intégralité du paquet est copiée et envoyée via une interface next-hop.

Vous pouvez configurer l’utilisation simultanée de l’échantillonnage et de la mise en miroir des ports, et définir une fréquence d’échantillonnage et une durée d’exécution indépendantes pour les paquets mis en miroir des ports. Toutefois, si un paquet est sélectionné à la fois pour l’échantillonnage et la mise en miroir des ports, une seule action peut être effectuée et la mise en miroir des ports est prioritaire. Par exemple, si vous configurez une interface pour échantillonner chaque paquet d’entrée de l’interface et qu’un filtre sélectionne également le paquet à mettre en miroir sur une autre interface, seule la mise en miroir des ports prendra effet. Tous les autres paquets qui ne correspondent pas aux critères explicites de mise en miroir des ports du filtre continuent d’être échantillonnés lorsqu’ils sont transférés à leur destination finale.

Les filtres de pare-feu permettent de protéger votre routeur contre le trafic excessif transitant par le routeur vers une destination réseau ou à destination du moteur de routage. Les filtres de pare-feu qui contrôlent les paquets locaux peuvent également protéger votre routeur contre les incidents externes.

Vous pouvez configurer un filtre de pare-feu pour qu’il effectue les opérations suivantes :

• Limitez le trafic destiné au moteur de routage en fonction de sa source, de son protocole et de son application.

• Limitez le débit de trafic des paquets destinés au moteur de routage pour vous protéger contre les attaques par flooding ou par déni de service (DoS).

• Traiter les circonstances particulières associées aux paquets fragmentés destinés au moteur de routage. Étant donné que l’équipement évalue chaque paquet par rapport à un filtre de pare-feu (y compris les fragments), vous devez configurer le filtre pour qu’il accepte les fragments qui ne contiennent pas d’informations d’en-tête de paquet. Dans le cas contraire, le filtre rejette tous les paquets fragmentés, à l’exception du premier.

Pour plus d’informations sur la configuration générale des filtres de pare-feu (y compris dans un environnement de couche 3), consultez Présentation des filtres de pare-feu sans état et Guide de l’utilisateur des filtres de pare-feu standard pour évaluer les paquets dans le Guide de l’utilisateur des stratégies de routage, des filtres de pare-feu et des mécanismes de contrôle du trafic.

Pour définir un filtre de pare-feu avec une action de mise en miroir des ports :