Настройка зеркального отображения портов

Область применения: Advanced Threat Analytics версии 1.9

Замечание

Эта статья относится только к развертыванию шлюзов ATA вместо упрощенных шлюзов ATA. Чтобы определить, нужно ли использовать шлюзы ATA, см. статью "Выбор правильных шлюзов для развертывания".

Основной источник данных, используемый ATA, — это глубокий анализ пакетов сетевого трафика к вашим контроллерам домена и от них. Для просмотра сетевого трафика ATA необходимо настроить зеркальное отображение порта или использовать сетевой TAP.

Для зеркального отображения портов настройте зеркальное отображение портов для каждого контроллера домена в качестве источника сетевого трафика. Как правило, для настройки зеркального отображения портов необходимо работать с группой сети или виртуализации. Дополнительные сведения см. в документации поставщика.

Контроллеры домена и шлюзы ATA могут быть физическими или виртуальными. Ниже приведены распространенные методы зеркального отображения портов и некоторые рекомендации. Дополнительные сведения см. в документации по коммутатору или серверу виртуализации. Изготовитель коммутаторов может использовать другую терминологию.

Анализатор переключаемых портов (SPAN) — копирует сетевой трафик из одного или нескольких портов коммутатора в другой порт коммутатора на том же коммутаторе. Шлюз ATA и контроллеры домена должны быть подключены к одному физическому коммутатору.

Анализатор портов удаленного коммутатора (RSPAN) — позволяет отслеживать сетевой трафик из исходных портов, распределенных по нескольким физическим коммутаторам. RSPAN копирует исходный трафик в специальную виртуальную локальную локальную сеть RSPAN. Эта VLAN должна быть соединена по магистрали с другими коммутаторами. RSPAN работает на уровне 2.

Инкапсулированный анализатор портов удаленного коммутатора (ERSPAN) — это частная технология Cisco, работающая на уровне 3. ERSPAN позволяет отслеживать трафик между коммутаторами без необходимости в магистрали виртуальной локальной сети. ERSPAN использует инкапсуляцию универсальной маршрутизации (GRE) для копирования отслеживаемого сетевого трафика. ATA в настоящее время не может напрямую получать трафик ERSPAN. Чтобы ATA работал с трафиком ERSPAN, переключатель или маршрутизатор, который может декапсулировать трафик, необходимо настроить в качестве назначения ERSPAN, где трафик декапсулирован. Затем настройте коммутатор или маршрутизатор, чтобы перенаправить декапсулированный трафик в шлюз ATA с помощью SPAN или RSPAN.

Замечание

Если контроллер домена, по которому ведется зеркалирование порта, подключен по каналу глобальной сети, убедитесь, что этот канал может обрабатывать дополнительную нагрузку трафика ERSPAN. ATA поддерживает только мониторинг трафика, когда трафик достигает сетевого адаптера и контроллера домена таким же образом. ATA не поддерживает мониторинг трафика при распределении трафика на разные порты.

Поддерживаемые параметры зеркального отображения портов

Шлюз ATA Контроллер домена Соображения
Виртуальное Виртуальная на одном узле Виртуальный коммутатор должен поддерживать зеркальное отображение портов.

Перемещение одной из виртуальных машин на другой узел само по себе может нарушить зеркальное отображение портов.
Виртуальное Виртуализация на различных хостах Убедитесь, что виртуальный коммутатор поддерживает этот сценарий.
Виртуальное Физический Требуется выделенный сетевой адаптер, в противном случае ATA видит весь трафик, поступающий и исходящий из узла, даже трафик, который он отправляет в Центр ATA.
Физический Виртуальное Убедитесь, что виртуальный коммутатор поддерживает этот сценарий и конфигурацию зеркального отображения портов на физических коммутаторах в зависимости от сценария:

Если виртуальный узел находится на том же физическом коммутаторе, необходимо настроить диапазон уровня коммутатора.

Если виртуальный узел находится на другом коммутаторе, необходимо настроить RSPAN или ERSPAN*.
Физический Физический на том же коммутаторе Физический коммутатор должен поддерживать функции SPAN/отражения порта.
Физический Физический на другом коммутаторе Требуется физические коммутаторы для поддержки RSPAN или ERSPAN*.

* ERSPAN поддерживается только при выполнении декапсуляции перед анализом трафика ATA.

Замечание

Убедитесь, что контроллеры домена и шлюзы ATA, к которым они подключаются, имеют синхронизированное время с точностью до пяти минут относительно друг друга.

Если вы работаете с кластерами виртуализации, выполните следующие действия.

  • Для каждого контроллера домена, работающего в кластере виртуализации в виртуальной машине с шлюзом ATA, настройте сходство между контроллером домена и шлюзом ATA. Таким образом, когда контроллер домена перемещается на другой узел в кластере, шлюз ATA следует за ним. Это хорошо работает, если есть несколько контроллеров домена.

Замечание

Если ваша среда поддерживает виртуализацию на разных хостах (RSPAN), вам не нужно беспокоиться о привязке.

  • Чтобы убедиться, что шлюзы ATA имеют правильный размер для обработки мониторинга всех контроллеров домена самостоятельно, попробуйте выполнить эту команду: установите виртуальную машину на каждом узле виртуализации и установите шлюз ATA на каждом узле. Настройте каждый шлюз ATA для мониторинга всех контроллеров домена, работающих в кластере. Таким образом, отслеживаются все узлы, на которых работают контроллеры домена.

После настройки зеркального отображения портов убедитесь, что зеркальное отображение портов работает перед установкой шлюза ATA.

См. также

  • Last updated on