Eseguire un'acquisizione pacchetti in un nodo di Broker di telemetria

Introduzione

In questo documento viene descritto come eseguire un'acquisizione di pacchetti in un nodo di Gestore telemetria Cisco (CTB).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Amministrazione Linux di base
• Architettura di base di Cisco Telemetry Broker
• Conoscenze base SSH
• L'accesso all'interfaccia della riga di comando (CLI) è necessario per admin eseguire l'acquisizione del pacchetto nel modo root desiderato.

Componenti usati

Le informazioni fornite in questo documento si basano sul nodo Broker CTB che esegue la versione 2.3.3.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

Il nodo Broker CTB dispone di uno strumento denominato ctb-pcap utilizzato per eseguire un'acquisizione di rete dall'interfaccia di telemetria del nodo Broker. Notare che questo strumento non è disponibile nel nodo di gestione CTB.

• Prima di usare il comando ctb-pcap,, accertarsi di passare all'rootutente con il comando sudo su. Questo strumento è disponibile solo per root l'utente.
• Per visualizzare le opzioni disponibili per questo strumento, eseguire il comando ctb-pcap --help nella CLI del nodo Broker. In questa immagine viene visualizzato l'elenco completo delle opzioni:
• Se si sta tentando di eseguire un'acquisizione di rete su una coppia HA di broker, verificare che si stia tentando di eseguire l'operazione ctb-cap dal Broker CTB attivo.

Come indica l'output, sono necessari il numero di pacchetti acquisiti, la durata in secondi e il nome del file di output di acquisizione. Inoltre, il tipo di pacchetto, ricevuto, inviato o scartato, deve essere indicato nel comando.

Esiste anche un'altra dipendenza non elencata: quando si tenta di acquisire la porta di origine (-p) o la porta di destinazione (-P), è necessaria anche l'opzione Transport Protocol (-T).

È possibile utilizzare la sintassi successiva come base del comando packet capture, che specifica già il numero di pacchetti acquisiti, la durata e il nome file del pacchetto acquisito, nonché l'opzione verbose e il tipo di pacchetto:

ctb-pcap -V -n [number_pkts] -t [duration] -o [filename] [rx/tx/drop]

Esempi

1. Acquisire tutto il traffico rx senza filtro:
sudo ctb-cap -n 10000 -t 30 -o rx-no-filter.pcap -V rx

2. Acquisire rx per la subnet src ipv4 (utilizzare ip/32 per una singola src):
sudo ctb-cap -n 10000 -t 30 -o rx-ipv4-src-subnet.pcap -s 10.0.81.0/24 -V rx

3. Acquisire rx per ipv6 src ip:
sudo ctb-cap -n 10000 -t 30 -o rx-ipv6-srcip.pcap -s fc00:f53b:82e4::1000 -v ip6 -V rx

4. Acquisire rx per ipv4 udp
sudo ctb-cap -n 10000 -t 30 -o rx-ipv4-udp.pcap -T udp -V rx

5. Acquisire tcp per ipv4
sudo ctb-cap -n 10000 -t 30 -o tx-ipv4-tcp.pcap -T tcp -V tx

6. Acquisire rx per ipv6 udp
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-udp.pcap -T udp -v ip6 -V rx

7. Acquisire rx per TCP ipv6
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv6-tcp.pcap -T tcp -v ip6 -V rx

8. Acquisire rx per ipv4 udp stport
sudo ctb-cap -n 10000 -t 30 -o rx-ipv4-udp-dstport.pcap -T udp -P 2055 -V rx

9. Acquisire tx per la porta TCP ipv4
sudo ctb-cap -n 10000 -t 30 -o tx-ipv4-tcp-dstport.pcap -T tcp -P 443 -V tx

10. Acquisire rx per ipv6 udp stport
sudo ctb-cap -n 10000 -t 30 -o rx-ipv6-udp-dstport.pcap -v ip6 -T udp -P 2055 -V rx

11. Acquisire rx per dstport tcp ipv6
sudo ctb-cap -n 10000 -t 30 -o rx-ipv6-tcp-dstport.pcap -v ip6 -T tcp -P 443 -V rx

12. Acquisire rx per ipv4 srcip e udp stport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv4-srcip-udp-dstport.pcap -s 10.0.81.171/32 -T udp -P 2055 -V rx

13. Acquisire rx per ipv4 srcip e tcp stport
sudo ctb-pcap -n 10000 -t 30 -o rx-ipv4-srcip-tcp-dstport.pcap -s 10.0.81.171/32 -T tcp -P 443 -V rx

14. Acquisire rx per ipv6 srcip e udp dstport
sudo ctb-cap -n 10000 -t 30 -o rx-ipv6-srcip-udp-dstport.pcap -s fc00:f53b:82e4::1000 -v ip6 -T udp -P 2055 -V rx

15. Acquisire rx per ipv6 srcip e tcp dstport
sudo ctb-cap -n 10000 -t 30 -o rx-ipv6-srcip-tcp-dstport.pcap -s fc00:f53b:82e4::1000 -v ip6 -T tcp -P 443 -V rx

Immettere il comando nella CLI del nodo broker e avviare l'acquisizione del pacchetto. Al termine dell'acquisizione del pacchetto, il file viene automaticamente salvato nella /var/lib/titan/pcap/ directory.

Di seguito è riportato un esempio dell'output dettagliato del comando packet capture:

Output dettagliato del comando example

Notare che per la durata e il numero di opzioni del pacchetto, la prima interrompe l'acquisizione del pacchetto. Ad esempio, se sono stati acquisiti in totale 100 pacchetti anche se la trentina della durata non è stata completata, l'acquisizione viene interrotta. In questo esempio, la durata di trenta secondi è stata raggiunta per prima, quindi sono stati acquisiti solo 66 pacchetti.)

Una volta generata l'acquisizione del pacchetto, utilizzare SCP o SFTP per trasferire il file sul computer locale. Se si utilizza SFTP, immettere le credenziali dell'amministratore per connettersi all'accessorio.

Per riprodurre nuovamente il pcap sulla console, è possibile usare anche <sudo tcpdump -nnnr </lavar/lib/titan/pcap/<pcap_filename>.  Questa funzione è utile se si desidera verificare rapidamente se i pacchetti di acquisizione contengono dati

Informazioni correlate

• Documentazione e supporto tecnico – Cisco Systems