パケット ヘッダーを使用して仲介デバイス上の加入者を追跡する
ルーターがミラーリングされたトラフィックを仲介デバイスに送信すると、パケットヘッダーにカプセル化されます。 図1 は、ルーターが仲介デバイスに送信するミラーリングされたパケットヘッダーとペイロードです。パケットヘッダーには、メディエーションデバイスが加入者と加入者セッションを追跡するために使用できるミラーヘッダーが含まれています。ルーターは、RADIUSサーバーから受信した情報に基づいてミラーヘッダーを作成します。
表1は、ミラーリングされたパケットのパケットヘッダーのフィールドについて説明しています。
| フィールド |
値 |
長さ(ビット) |
|---|---|---|
| IP Header |
||
| バージョン |
4 |
4 |
| 国際人道法 |
5 |
4 |
| サービスの種類 |
0 |
8 |
| 全長 |
動的に計算 |
16 |
| 識別 |
動的に計算 |
16 |
| フラグ |
動的に計算 |
3 |
| フラグメントオフセット |
動的に計算 |
13 |
| Time to Live(有効期限) |
255 |
8 |
| プロトコル |
17 |
8 |
| ヘッダーチェックサム |
動的に計算 |
16 |
| 送信元アドレス |
ミラーリングされたトラフィックをメディエーションデバイスに送信するルーターインターフェイスのIPアドレス |
32 |
| 宛先アドレス |
ミラーリングされたトラフィックが転送される仲介デバイスのIPアドレス(VSA 26-60) |
32 |
| UDP Header |
||
| 送信元ポート |
ミラーリングされたトラフィックがメディエーションデバイスに送信されるルーターのUDPポート番号 |
16 |
| 宛先ポート |
ミラーリングされたトラフィックが転送される仲介デバイス上の UDP ポート(VSA 26-61) |
16 |
| 長さ |
動的に計算 |
16 |
| チェックサム |
0 |
16 |
| Mirror Header |
||
| V(ミラーヘッダー値) |
セッションIDとインターセプトIDの値の決定方法を指定するためにルーターで使用します。RADIUS から受信した値は 0 または 1 です。ただし、メディエーションデバイスに送信されるパケットヘッダーでは、値は常に0です。 |
2 |
| インターセプトID |
仲介デバイスがセッションIDとともに使用し、複数のログインイベントおよびログアウトイベントにわたって加入者を追跡します。この値は、トラフィックが傍受されている加入者に割り当てられます。切片IDは一定です。加入者がセッションにログインしたりログアウトしたりしても変更されることはありません。 |
30 |
| セッションID |
ミラーリングされた加入者のセッションを識別するためにメディエーションデバイスによって使用されます。値は、Junos OSによって加入者セッションに割り当てられます。セッションIDは、加入者の新しいセッションごとに変更されます。 |
32 |
ミラーヘッダーフォーマット
インターセプトIDとセッションIDの値は、ルーターがVSA 26-59で受信する値によって決まります。VSA 26-59は、4バイトまたは8バイトの16進数文字列として宣言されます。ミラーヘッダー値は、インターセプトIDとセッションIDの形成に4バイト値と8バイト値のどちらを使用するかを指定します。
VSA 26-59は16進形式です。たとえば、40000010の値はVSA 26-59形式で0x40000010になります。V = 0は、16進形式でV = 0x0として表されます。
4バイトフォーマット
4バイト形式では、インターセプトIDを手動で指定できます。セッションID値は、Acct-Session-ID(RADIUS属性44)の最下位32ビットに基づいて自動的に作成されます。
VSA 26-59の4バイト形式を使用するには、VSAの最初の2つの最上位ビットを16進数値01(1ビット目は0、2ビット目は1)に設定します。4バイト形式は、VSA内の1つのワードを示します。ワードの残りの30ビットがインターセプトID値を形成します。
例えば、VSA 26-59の値40000010は、 図2に示すように、ミラーヘッダーに以下のフィールドを設定します。
-
V = 1
-
インターセプトID = 0x10
図2:VSA 26-59
の4バイト形式
8バイトフォーマット
VSA 26-59 の 8 バイト形式では、セッション ID 値とインターセプト ID 値の両方を手動で指定できます。
8バイト形式を使用するには、VSAの最初のワードの最初の2つの最上位ビットを値0に設定します。これはVSA内の2つのワードを示します。最初のワードの残りの30ビットがインターセプトID値を形成し、2番目のワードがセッションIDフィールドになります。これら 2 つの単語の順序を変更することはできません。
例えば、VSA 26-59の値0000030000000090は、 図3に示すように、ミラーヘッダーに以下のフィールドを設定します。
-
V = 0
-
インターセプトID = 0x300
-
セッションID = 0x90
図3:VSA 26-59
の8バイト形式
ミラーヘッダーフォーマット(ペイロード方向付きJunos OS Evolved)
Junos OS Evolvedデバイスでは、 set system services radius-flow-tap extended-mirror-header コマンドを使用してミラーヘッダーのDirection(D)フィールドを有効にできます。方向(D)フィールドは、調停デバイスがトラフィックの方向を迅速に識別し、法執行機関が定義した適切なルールを適用するのに役立ちます。
VSA の最初の 2 ビットを値 2 に設定し、ミラー ヘッダーに Direction フィールドが含まれていることを示します。 図 4 のミラー ヘッダーを参照してください。
方向(D)フィールドは3ビット長です。可能な値は以下の通りです。
-
0:キープアライブメカニズム用に予約されています
-
1:傍受したデータまたはイベントの方向がPOI(Point of Interconnect)に認識されない
-
2:傍受したデータまたはイベントがターゲット(下流)に送信されました
-
3:傍受したデータまたはイベントがターゲット(アップストリーム)に送信されました