Realizar una captura de paquetes en un nodo de Telemetry Broker

Introducción

Este documento describe cómo realizar una captura de paquetes en un nodo de Cisco Telemetry Broker (CTB) Broker.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Administración básica de Linux
• Arquitectura básica de Cisco Telemetry Broker
• Conocimientos básicos de SSH
• El acceso a la interfaz de línea de comandos (CLI) como admin y root es necesario para realizar la captura de paquetes.

Componentes Utilizados

La información de este documento se basa en el nodo CTB Broker que ejecuta la versión 2.3.3.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Configurar

El nodo de broker de CTB tiene una herramienta llamada ctb-pcap que se utiliza para realizar una captura de red desde la interfaz de telemetría del nodo de broker. Tenga en cuenta que esta herramienta no está disponible en el nodo del administrador de CTB.

• Antes de utilizar el comando, ctb-pcap, asegúrese de cambiar primero al root usuario con el comando sudo su. Esta herramienta sólo está disponible para el root usuario.
• Para ver las opciones disponibles para esta herramienta, ejecute el comando ctb-pcap --help en la CLI del nodo Broker. Esta imagen muestra la lista completa de las opciones:
• Si está intentando realizar una captura de red en un par de Brokers HA, asegúrese de que está intentando el ctb-pcap desde el Broker CTB activo.

Como indica la salida, se requieren el número de paquetes capturados, la duración en segundos y el nombre del archivo de salida de la captura de paquetes. Además, el tipo de paquete, ya sea de paquetes recibidos, enviados o descartados, debe ser indicado en el comando.

Hay otra dependencia que no aparece también en la lista: al intentar capturar el puerto de origen (-p) o el puerto de destino (-P), también se requiere la opción Transport Protocol (-T).

Puede utilizar la siguiente sintaxis como base del comando packet capture, que ya especifica el número de paquetes capturados, la duración y el nombre de archivo de la captura de paquetes, así como la opción detallada y el tipo de paquete:

ctb-pcap -V -n [number_pkts] -t [duration] -o [filename] [rx/tx/drop]

Examples

1. Capturar todo el tráfico rx sin filtro:
sudo ctb-pcap -n 10000 -t 30 -o rx-no-filter.pcap -V rx

2. Capturar rx para subred ipv4 src (utilizar ip/32 para src único):
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv4-src-subnet.pcap -s 10.0.81.0/24 -V rx

3. Capturar rx para ipv6 src ip:
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-srcip.pcap -s fc00:f53b:82e4::1000 -v ip6 -V rx

4. Capturar rx para udp ipv4
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv4-udp.pcap -T udp -V rx

5. Capturar tx para tcp ipv4
sudo ctb-pcap -n 10000 -t 30 -o tx-ipv4-tcp.pcap -T tcp -V tx

6. Capturar rx para ipv6 udp
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-udp.pcap -T udp -v ip6 -V rx

7. Capturar rx para ipv6 tcp
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-tcp.pcap -T tcp -v ip6 -V rx

8. Capturar rx para ipv4 udp dstport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv4-udp-dstport.pcap -T udp -P 2055 -V rx

9. Capture tx para ipv4 tcp dstport
sudo ctb-pcap -n 10000 -t 30 -o tx-ipv4-tcp-dstport.pcap -T tcp -P 443 -V tx

10. Capturar rx para ipv6 udp dstport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-udp-dstport.pcap -v ip6 -T udp -P 2055 -V rx

11. Capture rx para ipv6 tcp dstport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-tcp-dstport.pcap -v ip6 -T tcp -P 443 -V rx

12. Capturar rx para ipv4 srcip y udp dstport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv4-srcip-udp-dstport.pcap -s 10.0.81.171/32 -T udp -P 2055 -V rx

13. Capturar rx para ipv4 srcip y tcp dstport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv4-srcip-tcp-dstport.pcap -s 10.0.81.171/32 -T tcp -P 443 -V rx

14. Capturar rx para ipv6 srcip y udp dstport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-srcip-udp-dstport.pcap -s fc00:f53b:82e4::1000 -v ip6 -T udp -P 2055 -V rx

15. Capturar rx para ipv6 srcip y tcp dstport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-srcip-tcp-dstport.pcap -s fc00:f53b:82e4::1000 -v ip6 -T tcp -P 443 -V rx

Ingrese el comando en la CLI del nodo de Broker y comenzará la captura de paquetes. Cuando finaliza la captura de paquetes, el archivo se guarda automáticamente en el /var/lib/titan/pcap/ directorio.

A continuación se muestra un ejemplo de la salida detallada del comando packet capture:

Resultado detallado del comando de ejemplo

Tenga en cuenta que para la duración y el número de opciones de paquetes, la primera detiene la captura de paquetes. (Por ejemplo, si se ha capturado un total de 100 paquetes aunque no se hayan completado los treinta de la duración, la captura de paquetes se detiene. En este ejemplo, la duración de treinta segundos se alcanzó en primer lugar, por lo que solo se capturaron 66 paquetes.)

Una vez generada la captura de paquetes, utilice SCP o SFTP para transferir el archivo a su equipo local. Si utiliza SFTP, introduzca las credenciales de administrador para conectarse al dispositivo.

También puede utilizar> sudo tcpdump -nnr </lavar/lib/titan/pcap/<pcap_filename> para reproducir el pcap en la consola.  Esto es útil si sólo desea ver rápidamente si los paquetes de captura contienen datos

Información Relacionada

• Soporte Técnico y Documentación - Cisco Systems