На оборудовании Eltex реализовано 2 3 способа зеркалирования трафика:
...
2) RSPAN - функционал, позволяющий зеркалировать трафик с указанного порта/портов, при этом навешивая дополнительную RSPAN vlan tag.
3) ACL-mirroring - функционал, позволяющий зеркалировать трафик, основываясь на правилах ACL.
Блок кода | ||
---|---|---|
| ||
monitor-session test1 destination interface tengigabitethernet 0/1/2 source interface tengigabitethernet 0/1/3 vlan 100 exit vlan 101 direction rx-only exit vlan 102 direction tx-only |
...
Ввиду аппаратных особенностей марщрутизаторы маршрутизаторы серии ME не зеркалируют пакеты самого маршрутизатораобрабатываемые CPU устройства, а только транзитный трафик.
В ОС самого маршрутизатора установлена утилита tcpdump. Данная утилита является стандартным сетевым анализатором в среде Linux и тем самым вы сможете использовать весь функционал, что и на обычном сервере Linux.С помощью данной утилиты вы можете лишь можете посмотреть трафик обрабатываемый CPU устройства, то есть, посмотреть трафик самого маршрутизатора. Для этого:
...
def-ns tcpdump -i i<индекс интерфейса> -w /var/log/nfv5.pcap
Начиная с версии 3.7.0, реализован функционал ACL-mirroring(Реализовано только для L3 трафика на маршрутизаторах ME5200, ME5210 и линейных картах LC8 и LC20. Реализация зеркалирования L2 трафика запланирована в следующих версиях). Для его работы требуется выделить аппаратные ресурсы(для применения внесенных изменений необходимо перезагрузить устройство):
Блок кода |
---|
hw-module enable acl-mirror |
Далее приведен пример конфигурации:
Блок кода | ||
---|---|---|
| ||
monitor-session 1 <<<<< Создаем monitor-session для зеркалирования, посредством ACL, с указанием порта назначения.
destination interface tengigabitethernet 0/0/15
access-list 1
seq-num 10
monitor-session 1 <<<<< Указываем имя сессии,куда будет зеркалироваться трафик
protocol tcp <<<<< Указываем match по протоколу TCP
exit
seq-num 20
monitor-session 1
tcp-flags +fin <<<<< Указываем match по TCP флагу
exit
seq-num 30
dscp 20 <<<<< Указываем match по полю DSCP
monitor-session 1
exit
exit
interface tengigabitethernet 0/0/16
access-group ingress 1
description server
ipv4 address 172.20.20.1/24
load-interval 30
exit |
Блок кода | ||
---|---|---|
| ||
0/ME5200:R4# show access-lists detailed
Thu Apr 25 11:05:04 2024
HW resources: 3/100 acl entries
Access-list: 1
Configured on interfaces:
te0/0/16, L2: 0, IPv4: 0, IPv6: 0 hits
seq-num 10
action: permit, monitor-session 1
match: proto tcp, tos any, no fragments, flow-label any
tcp-flags any
vid any, pcp any, dei any, ether-type any
source: ipv4 any, ipv6 any, port any, mac any
destination: ipv4 any, ipv6 any, port any, mac any
set: none
total: L2: 0, IPv4: 739, IPv6: 0 hits
seq-num 20
action: permit, monitor-session 1
match: proto tcp, tos any, no fragments, flow-label any
tcp-flags +fin
vid any, pcp any, dei any, ether-type any
source: ipv4 any, ipv6 any, port any, mac any
destination: ipv4 any, ipv6 any, port any, mac any
set: none
total: L2: 0, IPv4: 371, IPv6: 0 hits
seq-num 30
action: permit, monitor-session 1
match: proto any, tos any, dscp 20, no fragments, flow-label any
tcp-flags any
vid any, pcp any, dei any, ether-type any
source: ipv4 any, ipv6 any, port any, mac any
destination: ipv4 any, ipv6 any, port any, mac any
set: none
total: L2: 0, IPv4: 153, IPv6: 0 hits |