Introduzione
In questo documento viene descritto come configurare e raccogliere le acquisizioni dei pacchetti su Cisco Email Security Appliance (ESA) per la risoluzione dei problemi di rete.
Componenti usati
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Rischi e prerequisiti importanti
- I comandi di acquisizione dei pacchetti possono riempire lo spazio su disco dell'ESA e causare una riduzione delle prestazioni.
- Cisco consiglia di utilizzare questi comandi solo con l'assistenza di un tecnico TAC Cisco.
- accertarsi di disporre dell'accesso amministrativo alla CLI o alla GUI dell'ESA.
Premesse
Il supporto tecnico Cisco può chiedere di fornire informazioni sull'attività di rete in entrata e in uscita dell'ESA. L'accessorio consente di intercettare e visualizzare i pacchetti TCP, IP e altri pacchetti trasmessi o ricevuti tramite la rete a cui è collegato. Eseguire l'acquisizione dei pacchetti per eseguire il debug dell'installazione di rete o per verificare il traffico di rete che raggiunge o esce dall'accessorio.
Configura acquisizioni pacchetti in AsyncOS
Questa sezione descrive il processo di acquisizione dei pacchetti.
Avviare o interrompere un'acquisizione pacchetto
- Per avviare l'acquisizione di un pacchetto dalla GUI, accedere al menu Guida e supporto tecnico in alto a destra, scegliere Packet Capture, quindi fare clic su Start Capture.
- In alternativa, fare clic su Modifica impostazioni per specificare gli indirizzi IP e le porte che si desidera acquisire e quindi fare clic su Invia.
- I numeri di porta e gli indirizzi IP possono essere immessi utilizzando un formato CSV (ad esempio: 80, 443) Per acquisire una porta ANY o un indirizzo IP, lasciare vuoti i campi.
- Per interrompere il processo di acquisizione dei pacchetti, fare clic su Interrompi acquisizione.
- Un'acquisizione che inizia nella GUI viene mantenuta tra una sessione e l'altra.
- Per avviare un'acquisizione pacchetto dalla CLI, immettere il comando packetcapture > start.
- In alternativa, usare il comando setup per specificare gli indirizzi IP e le porte da acquisire.
- Per interrompere il processo di acquisizione dei pacchetti, immettere il comando packetcapture > stop.
- L'ESA interrompe l'acquisizione del pacchetto al termine della sessione.
Gestione delle acquisizioni di pacchetti
Per gestire i file, selezionare Guida e supporto tecnico > Packet Capture nella GUI. Da questa pagina è possibile effettuare le operazioni riportate di seguito.
- Stato monitoraggio:visualizza le statistiche in tempo reale per le acquisizioni attive, incluse le dimensioni del file corrente e il tempo trascorso.
- Scarica file: selezionare un'acquisizione completata e fare clic su Scarica file per salvarla nel computer locale.
- Elimina file:per liberare spazio, selezionare uno o più file e fare clic su Elimina file selezionati.
Vincoli di acquisizione pacchetti
- Istanza singola: è possibile eseguire un solo acquisizione pacchetto alla volta.
- Indipendenza dall'interfaccia: la GUI e la CLI operano in modo indipendente per quanto riguarda l'acquisizione dei pacchetti. La GUI visualizza e gestisce solo le acquisizioni avviate tramite l'interfaccia Web, mentre la CLI visualizza solo lo stato delle acquisizioni avviate tramite la riga di comando.
Supporto aggiuntivo per l'acquisizione di pacchetti
Per istruzioni più dettagliate, vedere la Guida in linea di AsyncOS:
- Passare a Guida in linea e supporto tecnico > Guida in linea.
- Cerca Packet Capture.
- Selezionare Esecuzione di un'acquisizione pacchetto.
Usa filtri di acquisizione pacchetti personalizzati
In questa sezione vengono fornite informazioni sui filtri di acquisizione personalizzati ed esempi.
Di seguito sono riportati i filtri standard utilizzati:
- ip - Filtri per tutto il traffico del protocollo IP
- tcp - Filtri per tutto il traffico del protocollo TCP
- ip host - Filtri per un'origine o una destinazione specifica dell'indirizzo IP
Questi sono esempi dei filtri in uso:
- ip host 10.1.1.1 - Questo filtro acquisisce qualsiasi traffico che include 10.1.1.1 come origine o destinazione.
- ip host 10.1.1.1 o ip host 10.1.1.2 - Questo filtro acquisisce il traffico che contiene 10.1.1.1 o 10.1.1.2 come origine o destinazione.
Esegui ulteriore analisi della rete
i metodi descritti di seguito possono essere utilizzati solo dalla CLI.
SERVIZI TCP
Il comando tcpservices visualizza le informazioni TCP/IP per le funzionalità e i processi di sistema correnti.
example.com> tcpservices
System Processes (Note: All processes can not always be present)
ftpd.main - The FTP daemon
ginetd - The INET daemon
interface - The interface controller for inter-process communication
ipfw - The IP firewall
slapd - The Standalone LDAP daemon
sntpd - The SNTP daemon
sshd - The SSH daemon
syslogd - The system logging daemon
winbindd - The Samba Name Service Switch daemon
Feature Processes
euq_webui - GUI for ISQ
gui - GUI process
hermes - MGA mail server
postgres - Process for storing and querying quarantine data
splunkd - Processes for storing and querying Email Tracking data
COMMAND USER TYPE NODE NAME
postgres pgsql IPv4 TCP 127.0.0.1:5432
interface root IPv4 TCP 127.0.0.1:53
ftpd.main root IPv4 TCP 10.0.202.7:21
gui root IPv4 TCP 10.0.202.7:80
gui root IPv4 TCP 10.0.202.7:443
ginetd root IPv4 TCP 10.0.202.7:22
java root IPv6 TCP [::127.0.0.1]:18081
hermes root IPv4 TCP 10.0.202.7:25
hermes root IPv4 TCP 10.0.202.7:7025
api_serve root IPv4 TCP 10.0.202.7:6080
api_serve root IPv4 TCP 127.0.0.1:60001
api_serve root IPv4 TCP 10.0.202.7:6443
nginx root IPv4 TCP *:4431
nginx nobody IPv4 TCP *:4431
nginx nobody IPv4 TCP *:4431
java root IPv4 TCP 127.0.0.1:9999
NETSTAT
Questa utilità visualizza le connessioni di rete per TCP (in entrata e in uscita), le tabelle di routing e una serie di statistiche relative all'interfaccia di rete e al protocollo di rete.
example.com> netstat
Choose the information you want to display:
1. List of active sockets.
2. State of network interfaces.
3. Contents of routing tables.
4. Size of the listen queues.
5. Packet traffic information.
Example of Option 1 (List of active sockets)
Active Internet connections (including servers)
Proto Recv-Q Send-Q Local Address Foreign Address (state)
tcp4 0 0 10.0.202.7.10275 10.0.201.4.6025 ESTABLISHED
tcp4 0 0 10.0.202.7.22 10.0.201.4.57759 ESTABLISHED
tcp4 0 0 10.0.202.7.10273 a96-17-177-18.deploy.static.akamaitechnologies.com.80 TIME_WAIT
tcp4 0 0 10.0.202.7.10260 10.0.201.5.443 ESTABLISHED
tcp4 0 0 10.0.202.7.10256 10.0.201.5.443 ESTABLISHED
Example of Option 2 (State of network interfaces)
Show the number of dropped packets? [N]> y
Name Mtu Network Address Ipkts Ierrs Idrop Ibytes Opkts Oerrs Obytes Coll Drop
Data 1 - 10.0.202.0 10.0.202.7 110624529 - - 117062552515 122028093 - 30126949890 - -
Example of Option 3 (Contents of routing tables)
Routing tables
Internet:
Destination Gateway Flags Netif Expire
default 10.0.202.1 UGS Data 1
10.0.202.0 link#2 U Data 1
10.0.202.7 link#2 UHS lo0
localhost.example. link#4 UH lo0
Example of Option 4 (Size of the listen queues)
Current listen queue sizes (qlen/incqlen/maxqlen)
Proto Listen Local Address
tcp4 0/0/50 localhost.exampl.9999
tcp4 0/0/50 10.0.202.7.7025
tcp4 0/0/50 10.0.202.7.25
tcp4 0/0/15 10.0.202.7.6443
tcp4 0/0/15 localhost.exampl.60001
tcp4 0/0/15 10.0.202.7.6080
tcp4 0/0/20 localhost.exampl.18081
tcp4 0/0/20 10.0.202.7.443
tcp4 0/0/20 10.0.202.7.80
tcp4 0/0/10 10.0.202.7.21
tcp4 0/0/10 10.0.202.7.22
tcp4 0/0/10 localhost.exampl.53
tcp4 0/0/208 localhost.exampl.5432
Example of Option 5 (Packet traffic information)
input nic1 output
packets errs idrops bytes packets errs bytes colls drops
49 0 0 8116 55 0 7496 0 0
RETE
Il sottocomando network in diagnostic consente di accedere a opzioni aggiuntive.
Utilizzare questo comando per scaricare tutte le cache di rete, visualizzare il contenuto della cache ARP, visualizzare il contenuto della cache NDP (se applicabile) e verificare la connettività SMTP remota utilizzando SMTPING.
example.com> diagnostic
Choose the operation you want to perform:
- RAID - Disk Verify Utility.
- DISK_USAGE - Check Disk Usage.
- NETWORK - Network Utilities.
- REPORTING - Reporting Utilities.
- TRACKING - Tracking Utilities.
- RELOAD - Reset configuration to the initial manufacturer values.
- SERVICES - Service Utilities.
[]> network
Choose the operation you want to perform:
- FLUSH - Flush all network related caches.
- ARPSHOW - Show system ARP cache.
- NDPSHOW - Show system NDP cache.
- SMTPPING - Test a remote SMTP server.
- TCPDUMP - Dump ethernet packets.
[]>
ETHERCONFIG
Il comando etherconfig permette di visualizzare e configurare le impostazioni relative alle informazioni duplex e MAC per interfacce, VLAN, interfacce di loopback, dimensioni MTU e accettazione o rifiuto di risposte ARP con un indirizzo multicast.
example.com> etherconfig
Choose the operation you want to perform:
- MEDIA - View and edit ethernet media settings.
- VLAN - View and configure VLANs.
- LOOPBACK - View and configure Loopback.
- MTU - View and configure MTU.
- MULTICAST - Accept or reject ARP replies with a multicast address.
[]>
TRACEROUTE
Con questo comando viene visualizzato il percorso di rete verso un host remoto.
Utilizzare il comando traceroute6 se si dispone di un indirizzo IPv6 configurato su almeno un'interfaccia.
example.com> traceroute google.com
Press Ctrl-C to stop.
traceroute to google.com (216.58.194.206), 64 hops max, 40 byte packets
1 68.232.129.2 (68.232.129.2) 0.902 ms
68.232.129.3 (68.232.129.3) 0.786 ms 0.605 ms
2 139.138.24.10 (139.138.24.10) 0.888 ms 0.926 ms 1.092 ms
3 68.232.128.2 (68.232.128.2) 1.116 ms 0.780 ms 0.737 ms
4 139.138.24.42 (139.138.24.42) 0.703 ms
208.90.63.209 (208.90.63.209) 1.413 ms
139.138.24.42 (139.138.24.42) 1.219 ms
5 svl-edge-25.inet.qwest.net (63.150.59.25) 1.436 ms 1.223 ms 1.177 ms
6 snj-edge-04.inet.qwest.net (67.14.34.82) 1.838 ms 2.086 ms 1.740 ms
7 108.170.242.225 (108.170.242.225) 1.986 ms 1.992 ms
108.170.243.1 (108.170.243.1) 2.852 ms
8 108.170.242.225 (108.170.242.225) 2.097 ms
108.170.243.1 (108.170.243.1) 2.967 ms 2.812 ms
9 108.170.237.105 (108.170.237.105) 1.974 ms
sfo03s01-in-f14.1e100.net (216.58.194.206) 2.042 ms 1.882 ms
PING
Il ping consente di verificare la raggiungibilità di un host utilizzando l'indirizzo IP o il nome host e fornisce le statistiche relative a possibili latenze e interruzioni nella comunicazione.
example.com> ping google.com
Press Ctrl-C to stop.
PING google.com (216.58.194.206): 56 data bytes
64 bytes from 216.58.194.206: icmp_seq=0 ttl=56 time=2.095 ms
64 bytes from 216.58.194.206: icmp_seq=1 ttl=56 time=1.824 ms
64 bytes from 216.58.194.206: icmp_seq=2 ttl=56 time=2.005 ms
64 bytes from 216.58.194.206: icmp_seq=3 ttl=56 time=1.939 ms
64 bytes from 216.58.194.206: icmp_seq=4 ttl=56 time=1.868 ms
64 bytes from 216.58.194.206: icmp_seq=5 ttl=56 time=1.963 ms
--- google.com ping statistics ---
6 packets transmitted, 6 packets received, 0.0% packet loss
round-trip min/avg/max/stddev = 1.824/1.949/2.095/0.088 ms
Feedback