リモート宛先用のポートミラーリングの設定
宛先を VLAN として使用することによる、リモート宛先へのレイヤー 2 ポート ミラーリング
EX9200スイッチでポートミラーリングを設定して、インターフェイス、ルーティングインスタンス、VLANなどの出力先にトラフィックのコピーを送信します。また、入力トラフィックについては、さまざまな一致条件とアクションを含むファイアウォールフィルター条件を設定することができます。
ポートミラーリング設定で出力先としてVLANを設定すると、各ポートミラーリングセッションのトラフィックは、参加するすべてのスイッチでそのミラーリングセッション専用のユーザー指定VLANを介して伝送されます。ミラーリングされたトラフィックは、そのVLAN(ミラーVLANとも呼ばれます)にコピーされ、ミラーVLANのメンバーであるインターフェイスに転送されます。ミラー VLAN のメンバーである宛先インターフェイスは、すべてのスイッチのミラーリング セッションに同じリモート ミラーリング VLAN が使用されている場合、ネットワーク内の複数のスイッチにまたがることができます。
VLANをポートミラーリング出力宛先として設定して、リモート宛先にトラフィックをミラーリングする場合、ファイアウォールフィルター設定で port-mirror または port-mirror-instance アクションを使用できます。
リモート VLAN へのレイヤー 2 ポート ミラーリングの設定
EX9200スイッチではミラーリングを設定して、ローカル監視用にローカルインターフェイスに、リモート監視用にVLANにパケットのコピーを送信することができます。ミラーリングを使用して、以下のパケットをコピーできます。
ポートを出入りするパケット
VLANを出入りするパケット
パフォーマンスに与える影響を軽減するため、必要なパケットのみをミラーリングします。以下のことを推奨します。
使用していないときに設定したポートミラーリングを無効にします。
ポートミラーリング設定では、すべてのインターフェイスを入力として指定するのではなく、個々のインターフェイスを入力として指定します。
以下を行ってミラーリングするトラフィックの量を制限します。
統計サンプリングを使用します。
統計サンプルを選択する比率を設定します。
ファイアウォールフィルターを使用します。
リモートVLANへのポートミラーリングの設定
ポートミラーリングインスタンスにミラーリングされるパケットをフィルタリングするには、インスタンスを作成し、それをファイアウォールフィルターのアクションとして使用します。ローカルとリモートの両方のミラーリング設定でファイアウォールフィルターを使用できます。
複数のフィルターまたは条件で同じポートミラーリングインスタンスを使用する場合、パケットはポートミラーリング出力ポートまたはポートミラーリングVLANに1回のみコピーされます。
ミラーリングされたトラフィックをフィルターするには、 [edit forwarding-options] 階層レベルでポートミラーリングインスタンスを作成し、次にファイアウォールフィルターを作成します。フィルターは、使用可能な一致条件のいずれかを使用でき、アクションとして port-mirror-instance instance-name を持つ必要があります。ファイアウォールフィルター設定でのこのアクションは、ポートミラーリングインスタンスへの入力を提供します。
ファイアウォールフィルターでポートミラーリングインスタンスを設定するには:
例:リモートVLANへのレイヤー2ポートミラーリングの設定
EX9200スイッチではミラーリングを設定して、ローカル監視用にローカルインターフェイスに、リモート監視用にVLANにパケットのコピーを送信することができます。ミラーリングを使用して、これらのパケットをコピーできます。
-
ポートを出入りするパケット
-
VLAN に入る、または既存のパケット
ミラーリングされたトラフィックをアナライザ VLAN に送信する場合、リモート監視ステーションで実行されているプロトコル アナライザ アプリケーションを使用してミラーリングされたトラフィックを分析できます。
このトピックでは、関連する 2 つの例として、リモート監視ステーションから分析を実行できるように、スイッチ上のポートに入るトラフィックを remote-analyzer VLAN にミラーリングする方法について説明します。最初の例は、従業員のコンピューターに接続されたポートに入るすべてのトラフィックをミラーリングする方法を示しています。2 つ目の例では、同じシナリオを示していますが、Web サイトに行く従業員のトラフィックのみをミラーリングするフィルターが含まれています。
パフォーマンスに与える影響を軽減するため、必要なパケットのみをミラーリングします。以下のことを推奨します。
-
使用していない時は、設定済みのミラーリング セッションを無効にします。
-
すべてのインターフェイスを入力として指定するのではなく、個々のインターフェイスを入力として指定します。
-
ファイアウォールフィルターを使用してミラーリングされるトラフィックの量を制限します。
この例では、リモート ミラーリングの設定方法を説明します。
要件
リモートミラーリングを設定する前に、必ず以下のようにしてください。
-
ミラーリングの概念を理解できました。
-
ポートミラーリングが出力インターフェイスとして使用するインターフェイスは、スイッチ上で設定されています。
概要とトポロジー
このトピックでは、関連する 2 つの例として、リモート監視ステーションから分析を実行できるように remote-analyzer VLAN へのミラーリングを設定する方法について説明します。最初の例は、従業員のコンピューターからのすべてのトラフィックをミラーリングするようにスイッチを設定する方法を示しています。2 つ目の例では、同じシナリオを示していますが、その設定には、Web サイトに行く従業員のトラフィックだけをミラーリングするフィルターが含まれています。
図1は、これら両方の例のシナリオのネットワークトポロジーを示しています。
トポロジー
この例では:
-
インターフェイス ge-0/0/0 はレイヤー 2 インターフェイスであり、インターフェイス ge-0/0/1 は、従業員のコンピューターの接続として機能するレイヤー 2 インターフェイス(送信元スイッチ上の両方のインターフェイス)です。
-
インターフェイス ge-0/0/10 は、送信元スイッチと宛先スイッチを接続するレイヤー 2 インターフェイスです。
-
インターフェイス ge-0/0/5 は、宛先スイッチをリモート監視ステーションに接続するレイヤー 2 インターフェイスです。
-
VLAN
remote-analyzerは、ミラーリングされたトラフィックを伝送するようにトポロジー内のスイッチすべてで設定されています。
従業員から Web サイトへのトラフィックをミラーリングしてリモート分析
従業員から Web サイトへのリモートトラフィック分析のためにポートミラーリングを設定するには、以下のタスクを実行します。
手順
CLIクイックコンフィグレーション
従業員のトラフィックを外部の Web にミラーリングするようにポートミラーリングを素早く設定するには、以下のコマンドをコピーしてスイッチの端末ウィンドウに貼り付けます。
-
送信元スイッチの端末ウィンドウに以下のコマンドをコピーアンドペーストします。
[edit] set forwarding-options port-mirroring instance employee-web-monitor output vlan 999 set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/10 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/10 unit 0 family ethernet-switching vlan members 999 set firewall family ethernet-switching filter watch-employee term employee-to-corp from destination-address 192.0.2.16/28 set firewall family ethernet-switching filter watch-employee term employee-to-corp from source-address 192.0.2.16/28 set firewall family ethernet-switching filter watch-employee term employee-to-corp then accept set firewall family ethernet-switching filter watch-employee term employee-to-web from destination-port 80 set firewall family ethernet-switching filter watch-employee term employee-to-web then port-mirror-instance employee-web-monitor set interfaces ge-0/0/0 unit 0 family ethernet-switching filter input watch-employee set interfaces ge-0/0/1 unit 0 family ethernet-switching filter input watch-employee
-
宛先スイッチの端末ウィンドウに以下のコマンドをコピーアンドペーストします。
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/10 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/10 unit 0 family ethernet-switching vlan members 999 set interfaces ge-0/0/5 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/5 unit 0 family ethernet-switching vlan members 999
ステップバイステップの手順
リモート監視ステーションから使用するために、従業員のコンピューターに接続された 2 つのポートから remote-analyzer VLAN へのすべてのトラフィックのポートミラーリングを設定するには:
-
送信元スイッチ上:
-
employee-web-monitorポートミラーリングインスタンスを設定します。[edit ] user@switch# set interfaces ge-0/0/10 unit 0 family ethernet-switching port mode access user@switch# set forwarding-options port-mirroring instance employee-web-monitor output vlan 999
-
remote-analyzerVLAN の VLAN ID を設定します。[edit vlans] user@switch# set remote-analyzer vlan-id 999
-
remote-analyzerVLAN に関連付けるようにインターフェイスを設定します。[edit interfaces] user@switch# set ge-0/0/10 unit 0 family ethernet-switching vlan members 999
-
watch-employeeと呼ばれるファイアウォールフィルターを設定します。[edit firewall family ethernet-switching] user@switch# set filter watch-employee term employee-to-corp from destination-address 192.0.2.16/28 user@switch# set filter watch-employee term employee-to-corp from source-address 192.0.2.16/28 user@switch# set filter watch-employee term employee-to-corp then accept user@switch# set filter watch-employee term employee-to-web from destination-port 80 user@switch# set filter watch-employee term employee-to-web then port-mirror-instance employee-web-monitor
この構成では、
employee-to-corp項は、宛先アドレス192.0.2.16/28および送信元アドレス192.0.2.16/28からのトラフィックがスイッチを通過できるように受け入れることができることを定義し、employee-to-web項は、ポート80からのトラフィックをポートミラーリングインスタンスemployee-web-monitorに送信する必要があることを定義します。 -
従業員のインターフェイスにファイアウォールフィルターを適用します。
[edit interfaces] user@switch# set ge-0/0/0 unit 0 family ethernet-switching filter input watch-employee user@switch# set ge-0/0/1 unit 0 family ethernet-switching filter input watch-employee
-
-
宛先スイッチ上:
-
remote-analyzerVLAN の VLAN ID を設定します。[edit vlans] user@switch# set remote-analyzer vlan-id 999
-
アクセス モードで宛先スイッチ上のインターフェイスを設定し、
remote-analyzerVLAN に関連付けます。[edit interfaces] user@switch# set ge-0/0/10 unit 0 family ethernet-switching interface-mode access user@switch# set ge-0/0/10 unit 0 family ethernet-switching vlan members 999
-
宛先スイッチに接続されているインターフェイスをアクセス モードで設定し、
remote-analyzerVLAN に関連付けます。[edit interfaces] user@switch# set ge-0/0/5 unit 0 family ethernet-switching interface-mode access user@switch# set ge-0/0/5 unit 0 family ethernet-switching vlan members 999
-
結果
送信元スイッチ上の設定の結果を確認します。
[edit]
user@switch> show
interfaces {
ge-0/0/10 {
unit 0 {
family ethernet-switching {
interface-mode access;
vlan {
members remote-analyzer;
}
}
}
}
ge-0/0/0 {
unit 0 {
family ethernet-switching {
filter {
input watch-employee;
}
}
}
}
ge-0/0/1 {
unit 0 {
family ethernet-switching {
filter {
input watch-employee;
}
}
}
}
}
firewall {
family ethernet-switching {
filter watch-employee {
term employee-to-corp {
from {
source-address {
192.0.2.16/28;
}
destination-address {
192.0.2.16/28;
}
}
then accept;
}
term employee-to-web {
from {
destination-port 80;
}
then port-mirror-instance employee-web-monitor;
}
}
}
}
forwarding-options {
analyzer employee-web-monitor {
output {
vlan {
999;
}
}
}
vlans {
remote-analyzer {
vlan-id 999;
}
}
宛先スイッチ上の設定の結果を確認します。
[edit]
user@switch> show
vlans {
remote-analyzer {
vlan-id 999;
}
}
interfaces {
ge-0/0/10 {
unit 0 {
family ethernet-switching {
interface-mode access;
vlan {
members remote-analyzer;
}
}
}
}
ge-0/0/5 {
unit 0 {
family ethernet-switching {
interface-mode access;
vlan {
members remote-analyzer;
}
}
}
}
}
検証
設定が正常に機能していることを確認するには、以下のタスクを実行します。
ポートミラーリングインスタンスが正しく作成されたことの確認
目的
ポートミラーインスタンス employee-web-monitor が、適切な出力VLANを持つスイッチ上で作成されていることを確認します。
アクション
show forwarding-options port-mirrorコマンドを使用することで、ポートミラーが想定どおりに設定されていることを確認できます。以前に作成され、無効にしたアナライザを表示するには、J-Web インターフェイスに移動します。
送信元スイッチで従業員のトラフィックを監視しながらポートミラーが想定どおりに設定されていることを確認するには、送信元スイッチで show forwarding-options port-miror コマンドを実行します。この設定の例では、以下の出力が表示されます。
user@switch> show forwarding-options port-mirror
Instance Name: employee-web-monitor
Instance Id: 3
Input parameters:
Rate : 1
Run-length : 0
Maximum-packet-length : 0
Output parameters:
Family State Destination Next-hop
ethernet-switching up default-switch/remote-analyzer
意味
この出力は、 employee-web-monitor インスタンスの比率が1(すべてのパケットをミラーリング、デフォルト)、ミラーリングされた元のパケットの最大サイズ(0はパケット全体を示す)、設定の状態がup(適切な状態であり、アナライザーがプログラムされており、ge-0/0/0およびge-0/0/1に入るトラフィックをミラーリングしていることを示す)であることを示しています。 ミラーリングされたトラフィックを remote-analyzer) と呼ばれる VLAN に送信しています。