Konfigurace zrcadlení provozu pomocí přepínače ESXi vSwitch
Tento článek je jedním z řady článků popisujících cestu nasazení pro monitorování OT pomocí Microsoft Defenderu pro IoT.
Tento článek popisuje, jak používat režim Promiscuous v prostředí ESXi vSwitch jako alternativní řešení pro konfiguraci zrcadlení provozu, podobně jako port SPAN. Port SPAN na přepínači zrcadlí místní provoz z rozhraní na přepínači na jiné rozhraní na stejném přepínači.
Další informace naleznete v tématu Zrcadlení provozu s virtuálními přepínači.
Požadavky
Než začnete, ujistěte se, že rozumíte plánu monitorování sítě pomocí Defenderu pro IoT a portů SPAN, které chcete nakonfigurovat.
Další informace naleznete v tématu Metody zrcadlení provozu pro monitorování OT.
Konfigurace rozhraní monitorování pomocí režimu Promiscuous
Konfigurace monitorovacího rozhraní s režimem Promiscuous na přepínači ESXi v:
Otevřete stránku vlastností vSwitch a vyberte Přidat standardní virtuální přepínač.
Jako popisek sítě zadejte SPAN Network .
Do pole MTU zadejte hodnotu 4096.
Vyberte Zabezpečení a ověřte, že je zásada režimu Promiscuous nastavená na režim Přijmout .
Výběrem možnosti Přidat zavřete vlastnosti vSwitch.
Zvýrazněte virtuální přepínač, který jste právě vytvořili, a vyberte Přidat odesílání.
Vyberte fyzickou síťovou kartu, kterou použijete pro provoz SPAN, změňte MTU na 4096 a pak vyberte Uložit.
Otevřete stránku vlastností skupiny portů a vyberte Přidat skupinu portů.
Jako název zadejte skupinu portů SPAN, jako ID sítě VLAN zadejte 4095 a v rozevíracím seznamu vSwitch vyberte síť SPAN a pak vyberte Přidat.
Otevřete vlastnosti virtuálního počítače se senzorem OT.
V případě síťového adaptéru 2 vyberte síť SPAN.
Vyberte OK.
Připojení senzoru a ověřte, že zrcadlení funguje.
Ověření zrcadlení provozu
Po konfiguraci zrcadlení provozu se pokuste z přepínače SPAN nebo zrcadlového portu přijmout vzorek zaznamenaného provozu (soubor PCAP).
Ukázkový soubor PCAP vám pomůže:
- Ověření konfigurace přepínače
- Ověřte, že provoz procházející vaším přepínačem je relevantní pro monitorování.
- Určení šířky pásma a odhadovaného počtu zařízení zjištěných přepínačem
K zaznamenání ukázkového souboru PCAP několik minut použijte aplikaci analyzátoru síťového protokolu, například Wireshark. Připojte například přenosný počítač k portu, na kterém jste nakonfigurovali monitorování provozu.
Zkontrolujte, jestli jsou pakety jednosměrového vysílání přítomné v záznamovém provozu. Přenosy jednosměrového vysílání se odesílají z adresy do jiné.
Pokud je většina přenosů zpráv protokolu ARP, konfigurace zrcadlení provozu není správná.
Ověřte, že v analyzovaném provozu existují protokoly OT.
Příklad:
