Durchführen einer Paketerfassung an einem Telemetrie-Broker-Knoten

Einleitung

In diesem Dokument wird beschrieben, wie eine Paketerfassung auf einem Cisco Telemetry Broker (CTB)-Broker-Knoten durchgeführt wird.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Grundlegende Linux-Administration
• Grundlegende Cisco Telemetry Broker-Architektur
• SSH-Basiswissen
• CLI-Zugriff (Command Line Interface), wie admin und root wie für die Paketerfassung erforderlich

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf dem CTB-Broker-Knoten mit Version 2.3.3.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Konfigurieren

Der CTB-Broker-Knoten verfügt über ein Tool namens ctb-pcap , mit dem eine Netzwerkerfassung über die Telemetrieschnittstelle des Broker-Knotens durchgeführt wird. Beachten Sie, dass dieses Tool im CTB-Manager-Knoten nicht verfügbar ist.

• Bevor Sie den Befehl verwenden ctb-pcap,, stellen Sie sicher, dass Sie zuerst mit dem root Befehl zum Benutzer wechseln sudo su. Dieses Tool steht nur dem root Benutzer zur Verfügung.
• Um die verfügbaren Optionen für dieses Tool anzuzeigen, führen Sie den Befehl ctb-pcap --help in der CLI des Broker-Knotens aus. Dieses Bild zeigt die vollständige Liste der Optionen:
• Wenn Sie versuchen, eine Netzwerkerfassung auf einem HA-Broker-Paar durchzuführen, stellen Sie sicher, dass Sie versuchen, den ctb-pcap aus dem aktiven CTB-Broker heraus.

Wie die Ausgabe zeigt, sind die Anzahl der erfassten Pakete, die Dauer in Sekunden und der Name der Ausgabedatei für die Paketerfassung erforderlich. Darüber hinaus muss der Pakettyp, d. h. empfangene, gesendete oder verworfene Pakete, im Befehl angegeben werden.

Es gibt eine weitere Abhängigkeit, die nicht ebenfalls aufgeführt ist: Beim Versuch, den Quellport (-p) oder Zielport (-P) zu erfassen, ist auch die Option Transportprotokoll (-T) erforderlich.

Sie können die nächste Syntax als Grundlage für den Befehl zur Paketerfassung verwenden, der bereits die Anzahl der erfassten Pakete, die Dauer und den Dateinamen der Paketerfassung sowie die ausführliche Option und den Pakettyp angibt:

ctb-pcap -V -n [number_pkts] -t [duration] -o [filename] [rx/tx/drop]

Beispiele

1. Gesamten RX-Datenverkehr ohne Filter erfassen:
sudo ctb-pcap -n 10000 -t 30 -o rx-no-filter.pcap -V rx

2. Erfassen Sie rx für das IPv4-src-Subnetz (verwenden Sie ip/32 für eine einzelne src):
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv4-src-subnet.pcap -s 10.0.81.0/24 -V rx

3. Erfassen Sie rx für IPv6 src IP:
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-srcip.pcap -s fc00:f53b:82e4::1000 -v ip6 -V rx

4. Erfassen Sie rx für ipv4 udp
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv4-udp.pcap -T udp -V rx

5. Erfassen Sie tx für ipv4 tcp
sudo ctb-pcap -n 10000 -t 30 -o tx-ipv4-tcp.pcap -T tcp -V tx

6. Erfassen Sie rx für ipv6 udp
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-udp.pcap -T udp -v ip6 -V rx

7. RX für IPv6 TCP erfassen
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-tcp.pcap -T tcp -v ip6 -V rx

8. Erfassen Sie rx für ipv4 udp dstport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv4-udp-dstport.pcap -T udp -P 2055 -V rx

9. Erfassen Sie tx für ipv4 tcp dstport
sudo ctb-pcap -n 10000 -t 30 -o tx-ipv4-tcp-dstport.pcap -T tcp -P 443 -V tx

10. Erfassen Sie rx für ipv6 udp dstport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-udp-dstport.pcap -v ip6 -T udp -P 2055 -V rx

11. Erfassen Sie rx für ipv6 tcp dstport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-tcp-dstport.pcap -v ip6 -T tcp -P 443 -V rx

12. Erfassen Sie rx für ipv4-srcip und udp dstport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv4-srcip-udp-dstport.pcap -s 10.0.81.171/32 -T udp -P 2055 -V rx

13. Erfassen Sie rx für IPv4-Skript und TCP-DSTP-Port
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv4-srcip-tcp-dstport.pcap -s 10.0.81.171/32 -T tcp -P 443 -V rx

14. Erfassen Sie rx für IPv6-Skript- und UDP-DSTP-Ports.
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-srcip-udp-dstport.pcap -s fc00:f53b:82e4::1000 -v ip6 -T udp -P 2055 -V rx

15. Erfassen Sie rx für ipv6 srcip und tcp dstport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-srcip-tcp-dstport.pcap -s fc00:f53b:82e4::1000 -v ip6 -T tcp -P 443 -V rx

Geben Sie den Befehl in der CLI des Broker-Knotens ein, und die Paketerfassung beginnt. Wenn die Paketerfassung abgeschlossen ist, wird die Datei automatisch im /var/lib/titan/pcap/ Verzeichnis gespeichert.

Hier ist ein Beispiel für die ausführliche Ausgabe des Paketerfassungsbefehls:

Ausführliche Ausgabe des Beispielbefehls

Beachten Sie, dass für die Dauer und Anzahl der Paketoptionen die erste Option die Paketerfassung stoppt. (Wenn z. B. insgesamt 100 Pakete erfasst wurden, obwohl die dreißig der Dauer nicht abgeschlossen wurden, wird die Paketerfassung gestoppt. In diesem Beispiel wurde die Dauer von dreißig Sekunden zuerst erreicht, sodass nur 66 Pakete erfasst wurden.)

Nachdem die Paketerfassung generiert wurde, übertragen Sie die Datei mithilfe von SCP oder SFTP auf den lokalen Computer. Wenn Sie SFTP verwenden, geben Sie die Admin-Anmeldeinformationen ein, um eine Verbindung mit der Appliance herzustellen.

Sie können auch> sudo tcpdump -nnnr </lavar/lib/titan/pcap/<pcap_filename> verwenden, um pcap auf der Konsole wiederzugeben.  Dies ist nützlich, wenn Sie nur schnell sehen möchten, ob die Erfassungspakete Daten enthalten

Zugehörige Informationen

• Technischer Support und Dokumentation für Cisco Systeme