Настройка зеркало трафика с помощью ESXi vSwitch
Эта статья содержит одну из нескольких статей, описывающих путь развертывания для мониторинга OT с помощью Microsoft Defender для Интернета вещей.
В этой статье описывается, как использовать простой режим в среде ESXi vSwitch в качестве обходного решения для настройки трафика зеркало, аналогично порту SPAN. Порт SPAN на коммутаторе зеркало локальный трафик из интерфейсов на коммутаторе к другому интерфейсу в том же коммутаторе.
Дополнительные сведения см. в разделе зеркало трафика с виртуальными коммутаторами.
Необходимые компоненты
Перед началом работы убедитесь, что вы понимаете план мониторинга сети с помощью Defender для Интернета вещей и порты SPAN, которые необходимо настроить.
Дополнительные сведения см. в разделе "Методы зеркало трафика" для мониторинга OT.
Настройка интерфейса мониторинга с помощью простого режима
Чтобы настроить интерфейс мониторинга с неоднозначным режимом на коммутаторе ESXi v-Switch:
Откройте страницу свойств vSwitch и выберите " Добавить стандартный виртуальный коммутатор".
Введите сеть SPAN в качестве метки сети.
В поле MTU введите 4096.
Выберите Безопасность и убедитесь в том, что для политики неизбирательного режима установлено значение Принять режим.
Нажмите кнопку "Добавить ", чтобы закрыть свойства vSwitch.
Выделите только что созданный vSwitch и нажмите кнопку "Добавить ссылку вверх".
Выберите физический сетевой адаптер, который будет использоваться для трафика SPAN, измените MTU на 4096, а затем нажмите кнопку "Сохранить".
Откройте страницу свойств группы портов и выберите "Добавить группу портов".
Введите группу портов SPAN в качестве имени, введите 4095 в качестве идентификатора виртуальной локальной сети и выберите команду SPAN Network в раскрывающемся списке vSwitch, а затем нажмите кнопку "Добавить".
Откройте свойства виртуальной машины датчика OT.
Для сетевого адаптера 2 выберите сеть SPAN.
Нажмите ОК.
Подключитесь к датчику и проверьте, работает ли зеркальное отображение.
Проверка зеркало трафика
После настройки трафика зеркало выполните попытку получить образец записанного трафика (PCAP-файл) из коммутатора или порта зеркало.
Пример PCAP-файла поможет вам:
- Проверка конфигурации коммутатора
- Убедитесь, что трафик, проходящий через коммутатор, относится к мониторингу
- Определение пропускной способности и предполагаемое количество устройств, обнаруженных коммутатором
Используйте приложение анализатора сетевого протокола, например Wireshark, для записи примера PCAP-файла в течение нескольких минут. Например, подключите ноутбук к порту, где вы настроили мониторинг трафика.
Проверьте, имеются ли в записи трафика одноадресные пакеты. Одноадресный трафик — это трафик, отправляемый из адреса в другой.
Если большая часть трафика — это сообщения ARP, то конфигурация зеркало трафика не является правильной.
Убедитесь, что протоколы OT присутствуют в проанализированном трафике.
Например:
