포트 미러링 방화벽 필터 정의

인터넷 프로세서 II ASIC(Application-Specific Integrated Circuit)를 포함하는 라우터에서는 분석을 위해 라우터에서 외부 호스트 주소 또는 패킷 분석기로 IP 버전 4(IPv4) 또는 IP 버전 6(IPv6) 패킷의 사본을 보낼 수 있습니다. 이를 포트 미러링이라고 합니다.

포트 미러링은 트래픽 샘플링과는 다릅니다. 트래픽 샘플링에서, IPv4 헤더를 기반으로 하는 샘플링 키가 라우팅 엔진으로 전송됩니다. 여기에서 키를 파일에 배치하거나 키를 기반으로 하는 cflowd 패킷을 cflowd 서버로 보낼 수 있습니다. 포트 미러링에서는 전체 패킷이 복사되어 다음 홉 인터페이스를 통해 전송됩니다.

샘플링 및 포트 미러링의 동시 사용을 구성하고 포트 미러링 패킷에 대해 독립적인 샘플링 속도 및 실행 거리를 설정할 수 있습니다. 그러나 패킷이 샘플링 및 포트 미러링 모두에 선택된 경우, 하나의 작업만 수행할 수 있으며 포트 미러링이 우선합니다. 예를 들어, 인터페이스에 입력되는 모든 패킷을 샘플링하도록 인터페이스를 구성하고 필터가 다른 인터페이스로 포트 미러링할 패킷을 선택하는 경우, 포트 미러링만 적용됩니다. 명시적 필터 포트 미러링 기준과 일치하지 않는 다른 모든 패킷은 최종 대상으로 전달될 때 계속해서 샘플링됩니다.

방화벽 필터는 라우터를 통해 네트워크 대상으로 또는 네트워크 라우팅 엔진대상으로 향하는 과도한 트래픽으로부터 라우터를 보호하는 수단을 제공합니다. 로컬 패킷을 제어하는 방화벽 필터는 외부 인시던트로부터 라우터를 보호할 수도 있습니다.

방화벽 필터를 구성하여 다음을 수행할 수 있습니다.

• 소스, 프로토콜 및 애플리케이션을 기반으로 라우팅 엔진으로 향하는 트래픽을 제한합니다.

• 플러드 또는 서비스 거부(DoS) 공격으로부터 보호하기 위해 라우팅 엔진으로 향하는 패킷의 트래픽 속도를 제한합니다.

• 라우팅 엔진으로 향하는 단편화된 패킷과 관련된 특별한 상황을 해결합니다. 디바이스는 방화벽 필터(단편 포함)에 대해 모든 패킷을 평가하기 때문에 패킷 헤더 정보를 포함하지 않는 단편을 수용하도록 필터를 구성해야 합니다. 그렇지 않으면 필터는 단편화된 패킷의 첫 번째 부분을 제외한 모든 부분을 버립니다.

일반적인 방화벽 필터 구성(레이어 3 환경 포함)에 대한 자세한 내용은 라우팅 정책, 방화벽 필터 및 트래픽 폴리서 사용자 가이드의 무상태 방화벽 필터 개요 및 표준 방화벽 필터가 패킷을 평가하는 방법을 참조하십시오.

포트 미러링 작업으로 방화벽 필터를 정의하려면 다음을 수행합니다.