Дерево страниц

Сравнение версий

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.

...

Netflow — сетевой протокол, предназначенный для учета и анализа трафика. Netflow позволяет передавать данные о трафике (адрес отправителя и получателя, порт, количество информации и др.) с сетевого оборудования (сенсора) на коллектор. В качестве коллектора может использоваться обычный сервер.

Информация

В текущей реализации трафик, отброшенный маршрутизатором по каким-либо причинам, не будет учитываться в статистике.

Алгоритм настройки

Шаг

Описание

Команда

Ключи

1

Задать версию Netflow-протокола.

esr(config)# netflow version <VERSION>

<VERSION> – версия Netflow-протокола: 5, 9 и 10.

2

Установить максимальное количество наблюдаемых сессий.

esr(config)# netflow max-flows <COUNT>

<COUNT> – количество наблюдаемых сессий, принимает значение [10000..2000000].

Значение по умолчанию: 512000.

3Установить интервал, по истечении которого информация об активных сессиях экспортируются на коллектор.esr(config)# netflow active-timeout <TIMEOUT>

<TIMEOUT> – интервал времени, по истечении которого информация об активных сессиях экспортируются на коллектор, задается в секундах, принимает значение [5..36000].

Значение по умолчанию: 1800 секунд.

4

Установить интервал, по истечении которого информация об устаревших сессиях экспортируются на коллектор.

esr(config)# netflow inactive-timeout <TIMEOUT>

<TIMEOUT> – задержка перед отправкой информации об устаревших сессиях, задается в секундах, принимает значение [0..240].

Значение по умолчанию: 15 секунд.

5

Установить частоту отправки статистики на Netflow-коллектор.

esr(config)# netflow refresh-rate <RATE>

<RATE> – частота отправки статистики, задается в пакетах на поток, принимает значение [1..10000].

Значение по умолчанию: 10.

6

Активировать Netflow на маршрутизаторе.

esr(config)# netflow enable


7

Создать коллектор Netflow и перейти в режим его конфигурирования.

esr(config)# netflow collector <ADDR>

<ADDR> – IP-адрес коллектора, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

8

Установить порт Netflow-сервиса на сервере сбора статистики.

esr(config-netflow-host)# port <PORT>

<PORT> – номер UDP-порта, указывается в диапазоне [1..65535].

Значение по умолчанию: 2055.

9

Включить отправку статистики на Netflow-сервер в режим конфигурирования интерфейса/туннеля/сетевого моста.

esr(config-if-gi)# ip netflow export


...

Шаг

Описание

Команда

Ключи

1

Включить SNMP-сервер.

esr(config)# snmp-server


2

Определить community для доступа по протоколу SNMPv2c.

esr(config)# snmp-server community <COMMUNITY> [ <TYPE> ]
[ { <IP-ADDR> | <IPV6-ADDR> } ]
[ client-list <OBJ-GROUP-NETWORK-NAME> ]
[ <VERSION> ] [ view <VIEW-NAME> ] [ vrf <VRF> ]

<COMMUNITY> – сообщество для доступа по протоколу SNMP;

<TYPE> – уровень доступа:

  • ro – доступ только для чтения;
  • rw – доступ для чтения и записи.

<IP-ADDR> – IP-адрес клиента, которому предоставлен доступ, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<IPV6-ADDR> – IPv6-адрес клиента, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF];

<OBJ-GROUP-NETWORK-NAME> – имя профиля IP-адресов, от которых обрабатываются snmp-запросы, задаётся строкой до 31 символа;

<VERSION> – версия snmp, поддерживаемая данным community, принимает значения v1 или v2c;

<VIEW-NAME> – имя профиля SNMP view, задаётся строкой до 31 символа;

<VRF> – имя экземпляра VRF, из которого будет разрешен доступ, задается строкой до 31 символа.

3

Устанавливает значение переменной SNMP, содержащей контактную информацию.

esr(config)# snmp-server contact <CONTACT>

<CONTACT> – контактная информация, задается строкой до 255 символов.

4

Установить значение кода DSCP для использования в IP-заголовке исходящих пакетов SNMP-сервера (не обязательно).

esr(config)# snmp-server dscp <DSCP>

<DSCP> – значение кода DSCP, принимает значения в диапазоне [0..63].

Значение по умолчанию: 63.

5

Разрешить перезагрузку маршрутизатора при помощи snmp-сообщений (не обязательно)

esr(config)# snmp-server system-shutdown


6

Cоздать SNMPv3-пользователь.

esr(config)# snmp-server user <NAME>

<NAME> – имя пользователя, задаётся строкой до 31 символа.

7

Устанавливает значение переменной SNMP, содержащей информацию о расположении оборудования

esr(config)# snmp-server location <LOCATION>

<LOCATION> –информация о расположении оборудования, задается строкой до 255 символов.

8

Определить уровень доступа пользователя по протоколу SNMPv3.

esr(config-snmp-user)# access <TYPE>

<TYPE> – уровень доступа:

  • ro – доступ только для чтения;
  • rw – доступ для чтения и записи.

9

Определить режим безопасности пользователя по протоколу SNMPv3.

esr(config-snmp-user)# authentication access <TYPE>

<TYPE> – режим безопасности:

  • auth – используется только аутентификация;
  • priv – используется аутентификация и шифрование данных.

10

Определить алгоритм аутентификации SNMPv3-запросов.

esr(config-snmp-user)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм шифрования:

  • md 5 – пароль шифруется по алгоритму md5;
  • sha 1 – пароль шифруется по алгоритму sha1.

11

Установить пароль для аутентификации SNMPv3-запросов.

esr(config-snmp-user)# authentication key ascii-text
{ <CLEAR-TEXT> | encrypted <ENCRYPTED-TEXT> }

<CLEAR-TEXT> – пароль, задаётся строкой от 8 до 16 символов;

  • encrypted – при указании команды задается зашифрованный пароль:

<ENCRYPTED-TEXT> – зашифрованный пароль размером от 8 байт до 16 байт (от 16 до 32 символов) в шестнадцатеричном формате (0xYYYY...) или (YYYY...).

12

Активировать фильтрацию и установить профиль IP-адресов, с которых могут приниматься SNMPv3 пакеты с данным именем SNMPv3 пользователя.

esr(config-snmp-user)# client-list <NAME>

<NAME> – имя ранее сознанной object-group, задается строкой до 31 символа.

13Указать vrf для SNMPv3-пользователя (не обязательно).esr-21(config-snmp-user)# ip vrf forwarding <VRF><VRF> – имя экземпляра VRF, из которого будет разрешен доступ, задается строкой до 31 символа.

14

Активировать фильтрацию и установить IPv4/IPv6-адрес, которому предоставлен доступ к маршрутизатору под данным SNMPv3-пользователем.

esr(config-snmp-user)# ip address <ADDR>

<ADDR> – IP-адрес клиента, которому предоставлен доступ, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

esr(config-snmp-user)# ipv6 address <ADDR>

<IPV6-ADDR> – IPv6-адрес клиента, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF].

15

Активировать SNMPv3-пользователя.

esr(config-snmp-user)# enable

Значение по умолчанию: процесс выключен.

16

Определить алгоритм шифрования передаваемых данных.

esr(config-snmp-user)# privacy algorithm <ALGORITHM>

<ALGORITHM> – алгоритм шифрования:

  • aes 128 – использовать алгоритм шифрования AES-128;
  • des – использовать алгоритм шифрования DES.

17

Установить пароль для шифрования передаваемых данных.

esr(config-snmp-user)# privacy key ascii-text
{ <CLEAR-TEXT> | encrypted <ENCRYPTED-TEXT> }

<CLEAR-TEXT> – пароль, задаётся строкой от 8 до 16 символов;

<ENCRYPTED-TEXT> – зашифрованный пароль размером от 8 байт до 16 байт (от 16 до 32 символов) в шестнадцатеричном формате (0xYYYY...) или (YYYY...).

18

Установить профиль snmp view, позволяющий разрешать или запрещать доступ к тем или иным OID для user.

esr(config-snmp-user)# view <VIEW-NAME>

<VIEW-NAME> – имя SNMP view профиля, на основании которого обеспечивается доступ к OID, задается строкой до 31 символа.

19

Включить передачу SNMP-уведомлений на указанный IP-адрес и перейти в режим настройки SNMP-уведомлений.

esr(config)# snmp-server host
{ <IP-ADDR> | <IPV6-ADDR> } [vrf <VRF>]

<IP-ADDR> – IP-адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

<IPV6-ADDR> – IPv6-адрес, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF];

<VRF> – имя экземпляра VRF, в котором находится коллектор SNMP-уведомлений, задается строкой до 31 символа.

20

Определить порт коллектора SNMP-уведомлений на удаленном сервере (не обязательно).

esr(config-snmp-host)# port <PORT>

<PORT> – номер UDP-порта, указывается в диапазоне [1..65535].

Значение по умолчанию: 162.

21

Разрешить отправку SNMP-уведомлений различных типов.

esr(config)# snmp-server enable traps <TYPE>

<TYPE> – тип фильтруемых сообщений. Может принимать значения:

config, entry, entry-sensor, environment, envmon, files-operations, flash, flash-operations, interfaces, links, ports, screens, snmp, syslog.

Дополнительные параметры зависят от типа фильтра. См. ESR-Series. Справочник команд CLI. Версия 1.14.4.

22

Создать профиль snmp view, позволяющий разрешать или запрещать доступ к тем или иным OID для community (SNMPv2) и user (SNMPv3).

esr(config)# snmp-server enable traps <TYPE>

<VIEW-NAME> – имя профиля SNMP view, задаётся строкой до 31 символа.

...

Основной этап конфигурирования:

Scroll Pagebreak
Включаем SNMP-сервер:

Блок кода
esr(config)# snmp-server

...

Блок кода
esr(config)# snmp-server user admin

Scroll Pagebreak
Определим режим безопасности:

...

Шаг

Описание

Команда

Ключи

1

Перейти в контекст настройки агента/proxy.

esr(config)# zabbix-agent

esr(config)# zabbix-proxy


2

Указать имя узла сети (опционально).

Для активного режима имя должно совпадать с именем узла сети на Zabbix-cервере.

esr(config-zabbix)# hostname  <WORD>

esr(config-zabbix-proxy)# hostname <WORD>

<WORD> – имя узла сети, задается строкой до 255 символов.

3

Указать адрес Zabbix-cервера.

esr(config-zabbix)# server <ADDR>

esr(config-zabbix-proxy)# server <ADDR>

<ADDR> – IP-адрес сервера, задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

4

Указать адрес сервера для активных проверок (при использовании активного режима).

esr(config-zabbix)# active-server <ADDR> <PORT>

esr(config-zabbix-proxy)# active-server <ADDR> <PORT>

<ADDR> – IP-адрес сервера, задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

<PORT> – Порт сервера, задается в диапазоне [1..65535].

Значение по умолчанию 10051.

5

Указать порт, который будет слушать агент/прокси (не обязательно).

esr(config-zabbix)# port <PORT>

esr(config-zabbix-proxy)# port <PORT>


<PORT> – Порт, который слушает zabbix-агент/прокси, задается в диапазоне [1..65535].

Значение по умолчанию: 10050.

6

Разрешить выполнение удаленных команд zabbix-агентом/прокси (при использовании активного режима).

esr(config-zabbix)# remote-commands

esr(config-zabbix-proxy)# remote-commands


7

Указать адрес, с которого будет осуществляться взаимодействием с сервером (не обязательно).

esr(config-zabbix)# source-address <ADDR>

esr(config-zabbix-proxy)# source-address <ADDR>

<ADDR> – IP-адрес сервера, задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].
Значение по умолчанию: ближайший адрес по маршрутизации.

8

Указать время обработки удаленных команд (не обязательно).

esr(config-zabbix)# timeout <TIME>

esr(config-zabbix-proxy)# timeout <TIME>

<TIME> – время ожидания, определяется в секундах [1..30].

Значение по умолчанию 3. Рекомендуется устанавливать максимальное значение, т.к. некоторые команды могут выполняться дольше значения по умолчанию.

Если за указанное время команда не будет выполнена, то обработка команды будет прекращена.

9

Включить функционал агента/прокси.

esr(config-zabbix)# enable

esr(config-zabbix-proxy)# enable


10Разрешить из соответствующей зоны безопасности firewall обращение к маршрутизатору (в зону self) по TCP портам 10050, 10051. См. раздел Конфигурирование Firewall.

Пример настройки zabbix-agent

...

Шаг

Описание

Команда

Ключи

1

Установить уровень syslog-сообщений, которые будут отправляться на snmp-сервер в виде snmp-trap.

esr(config)# syslog snmp <SEVERITY>

<SEVERITY> – уровень важности сообщения, принимает значения (в порядке убывания важности):

  • emerg – в системе произошла критическая ошибка, система неработоспособна;
  • alert – сигналы тревоги, необходимо немедленное вмешательство персонала;
  • crit – критическое состояние системы, сообщение о событии;
  • error – сообщения об ошибках;
  • warning – предупреждения, неаварийные сообщения;
  • notice – сообщения о важных системных событиях;
  • info – информационные сообщения системы;
  • debug – отладочные сообщения, предоставляют пользователю информацию для корректной настройки системы;
  • none – отключает вывод syslog-сообщений.

2

Задать уровень syslog-сообщений, которые будут отображаться при удаленных подключениях (Telnet, SSH) (не обязательно).

esr(config)# syslog monitor <SEVERITY>

3

Включить процесс логирования введенных команд пользователя на локальный syslog-сервер (не обязательно).

esr(config)# syslog cli-commands


4

Включить сохранение сообщений syslog в указанный файл журнала (при необходимости ведения локального syslog-файла).

esr(config)# syslog file <NAME> 

<NAME> – имя файла, в который будет производиться запись сообщений заданного уровня, задается строкой до 31 символа;

5Активировать или деактивировать сохранение в локальный syslog-файл событий работы отдельных процессов маршрутизатора (не обязательно).

esr(config-syslog-file)# match [not] process-name <PROCESS-NAME>

<PROCESS-NAME> – см. в Справочнике cправочнике команд CLI.

Если описаны разрешающие критерии (match process-name) – логируются только сообщения указанных процессов.

Если указаны запрещающие критерии (match not process-name) – логируются сообщения всех не запрещенных процессов.

По умолчанию разрешено логирование сообщений всех процессов.

6Указать уровень важности сообщений, которые будут сохраняться в локальный syslog-файл.

esr(config-syslog-file)# severity <SEVERITY>

<SEVERITY> – описано в команде syslog snmp.

7

Указать максимальный размер файла журнала (не обязательно).

esr(config)# syslog file-size <SIZE>

<SIZE> – размер файла, принимает значение [10..10000000] Кбайт.

8

Задать максимальное количество файлов, сохраняемых при ротации (не обязательно).

esr(config)# syslog max-files <NUM>

<NUM> – максимальное количество файлов, принимает значения [1.. 1000].

9

Включить передачу сообщений syslog на удаленный syslog-сервер (при необходимости отправки сообщений на удаленный syslog-сервер).

esr(config)#syslog host <HOSTNAME> <ADDR>
 <TRANSPORT>

<HOSTNAME> – наименование syslog-сервера, задаётся строкой до 31 символа. Используется только для идентификации сервера при конфигурировании. Значение «all» используется в команде no syslog host для удаления всех syslog-серверов;

<ADDR> – IP-адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<TRANSPORT> – протокол передачи данных, опциональный параметр, принимает значения:

  • TCP – передача данных осуществляется по протоколу TCP;
  • UDP – передача данных осуществляется по протоколу UDP.


10Указать IPv4/IPv6-адрес удаленного syslog-сервера.esr(config-syslog-host)# remote-address { <ADDR> | <IPV6-ADDR> }

<ADDR> – IP-адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<IPV6-ADDR> – IPv6-адрес, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF].

11Указать  IPv4/IPv6-адрес маршрутизатора, от которого будут отправляться пакеты на удаленный syslog-сервер (не обязательно).esr(config-syslog-host)# source-address { <ADDR> | <IPV6-ADDR> }

<ADDR> – IP-адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<IPV6-ADDR> – IPv6-адрес, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF];

Значение по умолчанию: IPv4/IPv6-адрес интерфейса, с которого отправляется пакеты на удаленный syslog-сервер.

12Указать транспортный протокол для передачи пакетов на удаленный syslog-сервер (не обязательно).esr(config-syslog-host)# transport { tcp | udp }

<VRF> – имя экземпляра VRF, в котором доступен удаленный syslog-сервер, задается строкой до 31 символа;

Значение по умолчанию: отсутствует (глобальная таблица маршрутизации).

13Указать имя экземпляра VRF, в рамках которого будут отправляться пакеты на удаленный syslog-сервер (не обязательно).esr(config-syslog-host)# vrf <VRF>
14Указать номер TCP/UDP-порта, на который будут отправляться пакеты с syslog-сообщениями (не обязательно).esr(config-syslog-host)# port <PORT>
<PORT> – номер TCP/UDP-порта, на который будут отправляться пакеты с syslog-сообщениями.

Значение по умолчанию: 514.

15Активировать или деактивировать отправку на удаленный syslog-сервер событий работы отдельных процессов маршрутизатора (не обязательно).

esr(config-syslog-host)# match [not] process-name <PROCESS-NAME>

<PROCESS-NAME> – см. в Справочнике cправочнике команд CLI.

Если описаны разрешающие критерии (match process-name) – логируются только сообщения указанных процессов.

Если указаны запрещающие критерии (match not process-name) – логируются сообщения всех не запрещенных процессов.

По умолчанию – разрешено логирование сообщений всех процессов.

16Указать уровень важности сообщений, которые будут сохраняться в локальный syslog-файл.

esr(config-syslog-host)# severity <SEVERITY>

<SEVERITY> описано в команде syslog snmp.

17

Включить вывод отладочных сообщений во время загрузки устройства (не обязательно).

esr(config)#syslog reload debugging


18

Включить нумерацию сообщений (не обязательно).

esr(config)#syslog sequence-numbers


19

Включить точность даты сообщений до миллисекунд (не обязательно).

esr(config)#syslog timestamp msec


20

Включить регистрацию неудачных аутентификаций (не обязательно).

esr(config)#logging login on-failure


21

Включить регистрацию изменений настроек системы аудита (не обязательно).

esr(config)#logging syslog configuration


22

Включить регистрацию изменений настроек пользователя (не обязательно).

esr(config)#logging userinfo


...

Шаг

Описание

Команда

Ключи

1

Перейти в режим настройки параметров резервирования конфигурации.

esr(config)# archive


2

Установить тип сохранения резервных конфигураций маршрутизатора
(не обязательно).

esr(config-ahchive)# type <TYPE>

<TYPE> – тип сохранения резервных конфигураций маршрутизатора. Принимает значения:

  • local;
  • remote;
  • both.

Значение по умолчанию: remote.

3

Включить режим резервирования конфигурации по таймеру
(не обязательно).

esr(config-ahchive)# auto


4

Включить режим резервирования конфигурации после каждого успешного применения конфигурации
(не обязательно).

esr(config-ahchive)# by-commit


5

Указать путь для удаленного копирования конфигураций маршрутизатора
(обязательно для типов remote и both).

esr(config-ahchive)# path <PATH>

<PATH> – определяет протокол, адрес сервера, расположение и префикс имени файла на сервере.

6

Задать период времени для автоматического резервирования конфигурации (не обязательно, актуально только для режима auto).

esr(config-ahchive)# time-period <TIME>

<TIME> – периодичность автоматического резервирования конфигурации, принимает значение в минутах [1..35791394].

Значение по умолчанию: 720 минут.

7

Задать максимальное количество локально сохраняемых резервных копий конфигураций
(не обязательно, актуально при типах local и both).

esr(config-ahchive)# count-backup <NUM>

<NUM> – максимальное количество локально сохраняемых резервных копий конфигураций. Принимает значения в диапазоне [1..100].

Значение по умолчанию: 1.

Пример конфигурации

Задача:

...