NetFlow 协议允许路由器和交换机将通过它们的流量汇聚到流中，然后将这些流导出到流收集器。

流收集器接收这些流记录并将其存储在流存储中，以供进行离线查询和分析。思科路由器和交换机支持 NetFlow。

设置通常包括以下步骤：

1. 在一台或多台网络设备上启用 NetFlow 功能，并配置设备应导出的流模板。

2. 配置远程网络设备上的 NetFlow 收集器终端信息。此 NetFlow 收集器会侦听已配置的终端，以便接收和处理 NetFlow 流记录。

NetFlow 连接器本质上是一个 NetFlow 收集器。连接器会接收来自网络设备的流记录，并将其转发到 Cisco Secure Workload 进行流分析。您可以在 Cisco Secure Workload 注入设备上启用 NetFlow 连接器，并将其作为 Docker 容器运行。

NetFlow 连接器还会作为 Cisco Secure Workload NetFlow 代理向 Cisco Secure Workload 注册。NetFlow 连接器会解封 NetFlow 协议数据包（即流记录）；然后，像常规 Cisco Secure Workload 代理一样处理和报告流。与深度可视性代理不同，它不报告任何进程或接口信息。

注	NetFlow 连接器支持 NetFlow v9 和 IPFIX 协议。

注	每个 NetFlow 连接器应仅报告一个 VRF 的流。连接器会导出流，并根据 Cisco Secure Workload 集群中的代理 VRF 配置将其放置在 VRF 中。 要为连接器配置 VRF，请依次选择管理 (Manage) > 代理 (Agents)，然后点击配置 (Configuration) 选项卡。在此页面的代理远程 VRF 配置 (Agent Remote VRF Configurations) 部分下，点击创建配置 (Create Config) 并提供有关连接器的详细信息。 此表单要求您提供：VRF 名称、连接器的 IP 子网以及可能向集群发送流记录的端口号范围。

NetFlow 连接器每秒最多可接受 15000 个流。请注意，某个 NetFlow v9 或 IPFIX 数据包可能包含一个或多个流和模板记录。NetFlow 连接器会解析数据包并识别流。如果连接器每秒解析的流超过 15000 个，则会丢弃额外的流记录。

另请注意，Cisco Secure Workload 客户仅在流速保持在此可接受限制内时才支持 NetFlow 连接器。

如果流速超过每秒 15000 个流，建议先将流速调整到限制范围内，并将此级别至少保持三天（以排除与较高传入流速相关的问题）。

如果原先的问题仍然存在，客户支持将开始调查问题并确定适当的解决方法和/或解决方案。

NetFlow 连接器仅支持 NetFlow v9 和 IPFIX 协议中的以下信息元素。有关详细信息，请参阅 IP 流信息导出 (IPFIX) 实体。

有关所需虚拟设备的信息，请参阅连接器的虚拟设备。对于 NetFlow 连接器，支持 IPv4 和 IPv6（双栈模式）地址。但请注意，双堆栈支持是一项测试功能。

连接器上允许以下配置。

• 日志：有关详细信息，请参阅日志配置。

此外，可以使用允许的命令在 Cisco Secure Workload 注入设备中的 Docker 容器上更新连接器上 IPFIX 协议的侦听端口。通过提供连接器的连接器 ID、要更新的端口类型和新端口信息，可在设备上发出此命令。连接器 ID 可在 Cisco Secure Workload UI 中的连接器页面上找到。有关详细信息，请参阅 update-listing-ports。

F5 BIG-IP IPFIX 日志记录会收集流经 F5 BIG-IP 的流量的流数据，并将 IPFIX 记录导出到流收集器。

设置通常包括以下步骤：

1. 在 F5 BIG-IP 设备上创建 IPFIX 日志发布服务器。

2. 在 F5 BIG-IP 设备上配置 IPFIX 日志目标。此日志目标会侦听已配置的终端，以接收和处理流记录。

3. 创建将 IPFIX 流记录发布到日志发布服务器的 F5 iRule。

4. 将 F5 iRule 添加到所需的虚拟服务器。

   注	F5 连接器支持 F5 BIG-IP 软件 12.1.2 及更高版本。

F5 BIG-IP 连接器本质上是一个 IPFIX 收集器。连接器会接收来自 F5 BIG-IP ADC 的流记录，拼接 NATed 流，并将其转发到 Cisco Secure Workload 以进行流分析。此外，如果向 F5 连接器提供了 LDAP 配置，它还会确定与事务相关的用户的 LDAP 属性配置值（如果 F5 在处理事务前对用户进行了身份验证）。这些属性与发生流的客户端 IP 地址相关联。

注	F5 连接器仅支持 IPFIX 协议。

注	每个 F5 连接器仅报告一个 VRF 的流。连接器会根据思科 Cisco Secure Workload 集群中的代理 VRF 配置将其导出的流放入 VRF 中。 要为连接器配置 VRF，请依次选择管理 (Manage) > 代理 (Agents)，然后点击配置 (Configuration) 选项卡。在此页面的代理远程 VRF 配置 (Agent Remote VRF Configurations) 部分下，点击创建配置 (Create Config) 并提供有关连接器的详细信息。此表单要求您提供：VRF 名称、连接器的 IP 子网以及可能向集群发送流记录的端口号范围。

以下步骤适用于 F5 BIG-IP 负载均衡器。（参考：为 IPFIX 配置 F5 BIG-IP）

上述步骤在 F5 BIG-IP 负载均衡器上配置 IPFIX，以便为通过设备的流量导出 IPFIX 协议数据包。以下是 F5 的示例配置。

在上面的示例中，流记录将发布到 ipfix-pub-1。ipfix-pub-1 配置了 log-destination ipfix-collector-1，它会将 IPFIX 消息发送到 IPFIX 池 ipfix-pool-1。ipfix-pool-1 将 10.28.118.6 作为 IPFIX 收集器之一。虚拟服务器 vip-1 使用 IPFIX iRule ipfix-rule-1 进行配置，该规则指定 IPFIX 模板以及模板的填充和发送方式。

• F5 和 Cisco Secure Workload 已批准用于 TCP 虚拟服务器的 iRule。有关详细信息，请参阅 TCP 虚拟服务器的 L4 iRule。

• F5 和 Cisco Secure Workload 已批准用于 UDP 虚拟服务器的 iRule。有关详细信息，请参阅 UDP 虚拟服务器的第 4 层 iRule。

• F5 和 Cisco Secure Workload 已批准用于 HTTPS 虚拟服务器的 iRule。有关详细信息，请参阅 HTTPS 虚拟服务器的 iRule。

Note	在使用从本指南下载的 iRule 之前，请更新日志发布服务器，以指向您在其中添加 iRule 的 F5 连接器中配置的日志发布服务器。

Note

F5 已发布 GitHub 存储库 f5-tetration 来帮助您从流拼接开始。用于将各种协议类型的 IPFIX 记录发布到 F5 连接器的 iRules 位于：f5-tetration/irules。 访问站点以获取最新的 iRule 定义。此外，F5 还会开发一个脚本来执行以下操作： 为虚拟服务器安装正确的 iRule。 添加 IPFIX 收集器终端池（F5 连接器会在其中侦听 IPFIX 记录）。 配置日志收集器和日志发布服务器。 将正确的 iRule 绑定到虚拟服务器。 此工具可尽可能减少手动配置和用户错误，同时启用流拼接使用案例。该脚本位于 f5-tetration/scripts 中。

有关所需虚拟设备的信息，请参阅连接器的虚拟设备。

连接器上允许以下配置。

• LDAP：LDAP 配置支持发现 LDAP 属性，并提供工作流程来选择与用户名对应的属性以及要为每位用户获取的最多 6 个属性的列表。有关更多信息，请参阅“发现”。

• 日志：有关详细信息，请参阅日志配置。

此外，可以使用允许在容器上运行的命令在 Cisco Secure Workload 注入设备中的 Docker 容器上更新连接器上 IPFIX 协议的侦听端口。通过提供连接器的连接器 ID、要更新的端口类型和新端口信息，可在设备上发出此命令。连接器 ID 可在 Cisco Secure Workload UI 中的连接器页面上找到。有关详细信息，请参阅 update-listing-ports。

Citrix NetScaler AppFlow 会收集流经 NetScaler 的流量的流数据，并将 IPFIX 记录导出到流收集器。Citrix AppFlow 协议会使用 IPFIX 将流导出到流收集器。Citrix NetScaler 负载均衡器支持 Citrix AppFlow。

设置通常包括以下步骤：

1. 在一个或多个 Citrix NetScaler 实例上启用 AppFlow 功能。

2. 配置远程网络设备上的 AppFlow 收集器终端信息。此 AppFlow 收集器将侦听已配置的终端，以接收和处理流记录。

3. 配置 AppFlow 操作和策略，以将流记录导出到 AppFlow 收集器。

Note	NetScaler 连接器支持 Citrix ADC 软件版本 11.1.51.26 及更高版本。

NetScaler 连接器本质上是一个 Citrix AppFlow (IPFIX) 收集器。连接器会接收来自 Citrix ADC 的流记录，拼接 NATed 流，并将其转发到 Cisco Secure Workload 以进行流分析。NetScaler 连接器可以在思科 Cisco Secure Workload 注入设备上启用，并作为 Docker 容器运行。NetScaler 连接器还会作为 Cisco Secure Workload NetScaler 代理向 Cisco Secure Workload 注册。

Note	NetScaler 连接器仅支持 IPFIX 协议。

Note	每个 NetScaler 连接器应只报告一个 VRF 的流。连接器导出的流将根据 Cisco Secure Workload 集群中的代理 VRF 配置放入 VRF 中。要为连接器配置 VRF，请转至：管理 (Manage) > 代理 (Agents)，然后点击“配置”(Configuration) 选项卡。在此页面的代理远程 VRF 配置 (Agent Remote VRF Configurations) 部分下，点击创建配置 (Create Config) 并提供有关连接器的详细信息。此表单要求用户提供以下内容：VRF 的名称、连接器的 IP 子网以及可能向集群发送流记录的端口号范围。

有关所需虚拟设备的信息，请参阅连接器的虚拟设备。连接器上允许以下配置。

• 日志：有关详细信息，请参阅日志配置。

此外，可以使用允许的命令在 Cisco Secure Workload 注入设备中的 Docker 容器上更新连接器上 IPFIX 协议的侦听端口。通过提供连接器的连接器 ID、要更新的端口类型和新端口信息，可在设备上发出此命令。连接器 ID 可在 Cisco Secure Workload UI 中的连接器页面上找到。。有关详细信息，请参阅 update-listing-ports。

Cisco Secure Firewall 连接器本质上是一个 NetFlow 收集器。连接器从 Cisco Secure Firewall ASA 和 Cisco Secure Firewall Threat Defense 接收 NSEL 记录，并将其转发到 Cisco Secure Workload 以进行流量分析。Cisco Secure Firewall 连接器可以在 Cisco Secure Workload 注入设备上启用，并作为 Docker 容器运行。

Cisco Secure Firewall 连接器还会向 Cisco Secure Workload 注册为 Cisco Secure Workload 代理。Cisco Secure Firewall 连接器解封 NSEL 协议数据包（即流记录）；然后，像常规 Cisco Secure Workload 代理一样处理和报告流。与深度可视性代理不同，它不报告任何进程或接口信息。

Note	Cisco Secure Firewall 连接器支持 NetFlow v9 协议。

Note

每个 Cisco Secure Firewall 连接器应仅报告一个 VRF 的流。连接器导出的流会根据 Cisco Secure Workload 集群中的代理 VRF 配置放入 VRF 中。要为连接器配置 VRF，请转至：管理 (Manage) > 代理 (Agents)，然后点击配置 (Configuration) 选项卡。在此页面的代理远程 VRF 配置 (Agent Remote VRF Configurations) 部分下，点击创建配置 (Create Config) 并提供有关连接器的详细信息。此表单要求用户提供以下内容：VRF 的名称、连接器的 IP 子网以及可能向集群发送流记录的端口号范围。

下表显示了 Cisco Secure Firewall 连接器如何处理各种 NSEL 事件。有关这些元素的详细信息，请参阅 IP 流信息导出 (IPFIX) 实体文档。

根据 NSEL 记录，Cisco Secure Firewall 连接器会将流观察结果发送到 Cisco Secure Workload。NSEL 流记录是双向的。因此，Cisco Secure Firewall 连接器会向 Cisco Secure Workload 发送 2 个流：正向流和反向流。

以下是 Cisco Secure Firewall 连接器向 Cisco Secure Workload 发送的流观察结果的详细信息。

NAT

如果客户端到 ASA 的流经过 NAT，则 NSEL 流记录指明服务器端经过 NAT 的 IP/端口。Cisco Secure Firewall 连接器使用此信息将服务器流拼接到 ASA 以及将 ASA 流拼接到客户端。

以下是正向 NATed 流记录。

字段	NSEL 元素 ID	NSEL 元素名称
协议	4	NF_F_PROTOCOL
源地址	225	NF_F_XLATE_SRC_ADDR_IPV4
	281	NF_F_XLATE_SRC_ADDR_IPV6
源端口 (Source Port)	227	NF_F_XLATE_SRC_PORT
目标地址	226	NF_F_XLATE_DST_ADDR_IPV4
	282	NF_F_XLATE_DST_ADDR_IPV6
目标端口 (Destination Port)	228	NF_F_XLATE_DST_PORT
流开始时间	152	NF_F_FLOW_CREATE_TIME_MSEC
字节计数	231	NF_F_FWD_FLOW_DELTA_BYTES
数据包计数 (Packet Count)	298	NF_F_FWD_FLOW_DELTA_PACKETS

正向流将被标记为与正向 NATed 流记录相关（反之亦然）

这是反向 NATed 流记录

字段	NSEL 元素 ID	NSEL 元素名称
协议	4	NF_F_PROTOCOL
源地址	226	NF_F_XLATE_DST_ADDR_IPV4
	282	NF_F_XLATE_DST_ADDR_IPV6
源端口 (Source Port)	228	NF_F_XLATE_DST_PORT
目标地址	225	NF_F_XLATE_SRC_ADDR_IPV4
	281	NF_F_XLATE_SRC_ADDR_IPV6
目标端口 (Destination Port)	227	NF_F_XLATE_SRC_PORT
流开始时间	152	NF_F_FLOW_CREATE_TIME_MSEC
字节计数	232	NF_F_REV_FLOW_DELTA_BYTES
数据包计数 (Packet Count)	299	NF_F_REV_FLOW_DELTA_PACKETS

反向流将被标记为与反向上的 NATed 流记录相关（反之亦然）。

Note	Cisco Secure Firewall 连接器仅支持本节中列出的 NSEL 元素 ID。

以下步骤是有关如何配置 NSEL 并将 NetFlow 数据包导出到收集器（即 Cisco Secure Firewall 连接器）的指南。有关详细信息，请参阅《Cisco Secure Firewall ASA NetFlow 实施指南》中的官方思科配置指南。

    flow-export destination outside 172.29.142.27 4729
    flow-export template timeout-rate 1
    !
    policy-map flow_export_policy
      class class-default
      flow-export event-type flow-create destination 172.29.142.27
      flow-export event-type flow-teardown destination 172.29.142.27
      flow-export event-type flow-denied destination 172.29.142.27
      flow-export event-type flow-update destination 172.29.142.27
      user-statistics accounting
    service-policy flow_export_policy global

在本示例中，Cisco Secure Firewall ASA 设备配置为在端口 4729 上将 NetFlow 数据包发送到 172.29.142.27。此外，还会对 flow-create、flow-teardown、flow-denied 和 flow-update 事件启用 flow-export 操作。当这些流量事件在 ASA 上发生时，就会生成 NetFlow 记录并发送到配置中指定的目标。

假设在 Cisco Secure Workload 上启用了 Cisco Secure Firewall 连接器，并在 Cisco Secure Workload 注入设备中侦听 172.29.142.27:4729，则连接器将接收来自 Cisco Secure Firewall ASA 设备的 NetFlow 数据包。连接器按处理 NSEL 事件中的说明处理 NetFlow 记录，并将流观察结果导出到 Cisco Secure Workload。此外，对于 NAT 流，连接器会拼接相关流（客户端和服务器端）。

有关所需虚拟设备的信息，请参阅连接器的虚拟设备。连接器上允许以下配置。

• 日志：有关详细信息，请参阅日志配置。

此外，可以使用允许的命令在 Cisco Secure Workload 注入设备中的 Docker 容器上更新连接器上 IPFIX 协议的侦听端口。通过提供连接器的连接器 ID、要更新的端口类型和新端口信息，可在设备上发出此命令。连接器 ID 可在 Cisco Secure Workload UI 中的连接器页面上找到。有关详细信息，请参阅 update-listing-ports。

NetFlow 协议允许网络设备（例如 Meraki 防火墙）将通过它们的流量汇聚到流中，并将这些流导出到流收集器。流收集器接收这些流记录并将其存储在流存储中，以供进行离线查询和分析。

设置通常包括以下步骤：

1. 在 Meraki 防火墙上启用 NetFlow 统计信息报告。

2. 在 Meraki 防火墙上配置 NetFlow 收集器终端信息。

Meraki 连接器本质上是一个 NetFlow 收集器。连接器从配置为导出 NetFlow 流量统计信息的 Meraki 防火墙接收流记录。它会处理 NetFlow 记录，并将 Meraki 防火墙报告的流观察结果发送到 Cisco Secure Workload 进行流分析。Meraki 连接器可以在 Cisco Secure Workload 注入设备上启用，并作为 Docker 容器运行。

Meraki 连接器还会向 Cisco Secure Workload 注册为 Cisco Secure Workload Meraki 代理。Meraki 连接器解封 NetFlow 协议数据包（即流记录）；然后，像常规 Cisco Secure Workload 代理一样处理和报告流。与深度可视性代理不同，它不报告任何进程或接口信息。

Note	Meraki 连接器支持 NetFlow v9 协议。

Note	每个 Meraki 连接器应仅报告一个 VRF 的流量。连接器导出的流会根据 Cisco Secure Workload 集群中的代理 VRF 配置放入 VRF 中。要为连接器配置 VRF，请转至：管理 (Manage) > 代理 (Agents)，然后点击配置 (Configuration) 选项卡。在此页面的代理远程 VRF 配置 (Agent Remote VRF Configurations) 部分下，点击创建配置 (Create Config) 并提供有关连接器的详细信息。此表单要求用户提供以下内容：VRF 的名称、连接器的 IP 子网以及可能向集群发送流记录的端口号范围。

根据 NetFlow 记录，Meraki 连接器会将流观察结果发送到 Cisco Secure Workload。Meraki NetFlow 流记录是双向的。因此，Meraki 连接器向 Cisco Secure Workload 发送 2 个流：正向流和反向流。

以下是 Meraki 连接器向 Cisco Secure Workload 发送的流观察结果的详细信息。

有关所需虚拟设备的信息，请参阅连接器的虚拟设备。连接器上允许以下配置。

• 日志：有关详细信息，请参阅日志配置。

此外，可以使用允许的命令在 Cisco Secure Workload 注入设备中的 Docker 容器上更新连接器上 NetFlow v9 协议的侦听端口。通过提供连接器的连接器 ID、要更新的端口类型和新端口信息，可在设备上发出此命令。连接器 ID 可在 Cisco Secure Workload UI 中的连接器页面上找到。有关详细信息，请参阅 update-listing-ports。

封装远程交换机端口分析器 (ERSPAN) 是大多数思科交换机的一项功能。它会镜像网络设备看到的帧，将其封装在 IP 数据包中，然后再发送到远程分析仪。用户可以选择要监控的交换机接口和/或 VLANS 列表。

通常，设置涉及在一个或多台网络设备上配置源 ERSPAN 监控会话，以及在直接连接到流量分析器的远程网络设备上配置目标 ERSPAN 监控会话。

Cisco Secure Workload ERSPAN 连接器提供目标 ERSPAN 会话和流量分析器功能；因此，无需使用 Cisco Secure Workload 解决方案在交换机上配置任何目标会话。

每个 ERSPAN 连接器都会向集群注册一个 SPAN 代理。Cisco Secure Workload SPAN 代理是配置为仅处理 ERSPAN 数据包的常规 Cisco Secure Workload 代理：与思科目标 ERSPAN 会话一样，它们解封镜像帧；然后，它们会像常规 Cisco Secure Workload 代理一样处理和报告流量。与深度可视性代理不同，它们不会报告任何进程或接口信息。

ERSPAN 的 Cisco Secure Workload 注入设备是在内部运行三个 ERSPAN Cisco Secure Workload 连接器的 VM。它使用与正常注入设备相同的 OVA 或 QCOW2。

每个连接器都在专用的 Docker 容器中运行，其中专门分配了一个 vNIC 和两个 vCPU 内核，没有配额限制。

ERSPAN 连接器使用容器主机名向集群注册 SPAN 代理： <VM hostname>-<interface IP address>。

在 VM、Docker 后台守护程序或 Docker 容器崩溃/重启时，连接器和代理将被保留/恢复。

注	ERSPAN 连接器的状态将报告回“连接器”(Connector) 页面。请参阅“代理列表”页面并检查相应的 SPAN 代理状态。

有关所需虚拟设备的详细信息，请参阅连接器的虚拟设备。ERSPAN 连接器支持 IPv4 和 IPv6（双栈模式）地址。但请注意，双堆栈支持是一项测试功能。

以下步骤适用于 Nexus 9000 交换机。对于其他思科平台，配置可能略有不同。有关配置思科平台的信息，请参阅《Cisco Secure Workload 用户指南》。

上述步骤创建了 ID 为 10 的源 ERSPAN 会话。交换机将镜像进出接口 eth1/23 的帧以及 VLANS 315 和 512 上的帧。承载镜像帧的外部 GRE 数据包的源 IP 地址为 172.28.126.1（必须是此交换机 L3 接口的地址），目标 IP 地址为 172.28.126.194。这是 ERSPAN VM 上配置的 IP 地址之一。

Cisco Secure Workload SPAN 代理可以处理提议的 ERSPAN RFC 中所述的 ERSPAN I、II 和 III 类数据包。因此，它们可以处理思科设备所生成的 ERSPAN 数据包。在不符合 RFC 标准的格式中，它们可以处理 VMware vSphere 分布式交换机 (VDS) 生成的 ERSPAN 数据包。

仔细选择 ERSPAN 源的端口/VLAN 列表。虽然 SPAN 代理有两个专用 vCPU，但会话可能会产生大量数据包，从而使代理的处理能力达到饱和。如果代理接收的数据包超过其处理能力，则会显示在集群“深度可视性代理”(Deep Visibility Agent) 页面的“代理数据包丢失”(Agent Packet Misses) 图中。

对于 ERSPAN 源将镜像哪些帧，可以通过 ACL 策略（通常通过 filter 配置关键字）进行更精细的调整。

如果交换机支持，则可以配置 ERSPAN 源会话，以修改 ERSPAN 数据包的最大传输单元 (MTU)（默认值通常为 1500 字节），通常是通过 mtu 关键字。减少该值将限制网络基础设施中 ERSPAN 带宽的使用，但不会影响 SPAN 代理的负载，因为代理的工作负载是按数据包计算的。减少该值时，应为镜像帧预留 160 字节的空间。有关 ERSPAN 标头开销详细信息，请参阅提议的 ERSPAN RFC。

ERSPAN 有三个版本。版本越低，ERSPAN 标头开销越低。版本 II 和 III 允许对 ERSPAN 数据包应用 QOS 策略，并提供一些 VLAN 信息。第 3 版包含更多设置。版本 II 通常是思科交换机的默认版本。虽然 Cisco Secure Workload SPAN 代理支持所有三个版本，但目前它们不会使用 ERSPAN 版本 II 和III 数据包携带的任何额外信息。

ERSPAN 访客操作系统的注入虚拟机是 CentOS 7.9，其中的 OpenSSL 服务器/客户端软件包已被删除。

注	CentOS 7.9 是 Cisco Secure Workload 3.8.1.19 及更早版本中注入和边缘虚拟设备的访客操作系统。从 Cisco Secure Workload 3.8.1.36 开始，操作系统为 AlmaLinux 9.2。

启动 VM 并部署 SPAN 代理容器后（仅首次启动时需要几分钟时间），虚拟机中除了环回接口外将不存在任何网络接口。因此，访问设备的唯一途径是通过其控制台。

VM 网络接口现在被移到了 Docker 容器内。容器运行基于 centos:7.9.2009 的 Docker 映像，未打开 TCP/UDP 端口。

注	从 Cisco Secure Workload 3.8.1.36 开始，容器运行 almalinux/9-base:9.2。

此外，容器使用基本权限（无 –privileged 选项）加上 NET_ADMIN 功能运行。

万一容器被入侵，虚拟机客户操作系统也无法从容器内部入侵。

适用于在主机内运行的 Cisco Secure Workload 代理的所有其他安全注意事项也适用于在 Docker 容器内运行的 Cisco Secure Workload SPAN 代理。

SPAN 代理在“集群监控/代理概述”(Monitoring/Agent Overview) 页面中显示为活动状态后，无需对 ERSPAN 虚拟机执行任何操作，用户也无需登录该虚拟机。如果这没有发生，或者流未报告给集群，以下信息将有助于查明部署问题。

正常情况下，在 VM 上：

• systemctl status tet_vm_setup 报告具有 SUCCESS 退出状态的非活动服务；

• systemctl status tet-nic-driver 报告活动服务；

• docker network ls 报告五个网络：host、none 和三个 erspan-<iface name>;

• ip link 仅报告环回接口；

• docker ps 报告三个正在运行的容器；

• docker logs <cid> 包含以下消息：INFO success: tet-sensor entered RUNNING state, process has stayed up for > than 1 seconds (startsecs)

• docker exec <cid> ifconfig 只报告一个接口（环回接口除外）；

• docker exec <cid> route -n 报告默认网关；

• docker exec <cid> iptables -t raw -S PREROUTING 报告规则 -A PREROUTING -p gre -j DROP;

如果上述任一项不成立，请检查 /local/tetration/logs/ tet_vm_setup.log 中的部署脚本日志，了解 SPAN 代理容器部署失败的原因。

任何其他代理注册/连接问题都可以通过 docker exec 命令来对主机上运行的代理进行故障排除：

• docker exec <cid> ps -ef 报告两个 tet-engine, tet-engine check_conf 实例和两个 /usr/local/tet/tet-sensor -f /usr/local/tet/conf/.sensor_config 实例（一个是 root user，另一个是 tet-sensor 用户），以及进程管理器 /usr/bin/ python /usr/bin/supervisord -c /etc/supervisord.conf -n 实例。

• docker exec <cid> cat /usr/local/tet/log/tet-sensor.log 显示代理的日志；

• docker exec <cid> cat /usr/local/tet/log/fetch_sensor_id.log 显示代理的注册日志；

• docker exec <cid> cat /usr/local/tet/log/check_conf_update.log 显示配置更新轮询日志；

  如有必要，在设置容器的网络命名空间后，可以使用 tcpdump 监控进出容器的流量：

  1. 通过 docker inspect <cid> | grep SandboxKey 检索容器的网络命名空间 (SandboxKey)；

  2. 设置到容器的网络命名空间中 nsenter --net=/var/run/docker/netns/...；

  3. 监控 eth0 流量 tcpdump -i eth0 -n。

AnyConnect NVM 提供对内部和外部终端和用户行为的可视性和监控。它从终端收集包括以下情景的信息。

1. 设备/终端情景：设备/终端特定信息。

2. 用户情景：与流关联的用户。

3. 应用情景：与流关联的进程。

4. 位置情景：位置特定属性（如果可用）。

5. 目标情景：目标的 FQDN。AnyConnect NVM 会生成 3 种类型的记录。

   NVM 记录	说明
   终端记录	设备/终端信息，包括唯一设备标识符 (UDID)、主机名、操作系统名称、操作系统版本和制造商。
   接口记录	终端中每个接口的相关信息，包括终端 UDID、接口唯一标识符 (UID)、接口索引、接口类型、接口名称和 MAC 地址。
   流记录器	在终端上看到的流的相关信息，包括终端 UDID、接口 UID、五元组（源/目标 IP/端口和协议）、入/出字节计数、进程信息、用户信息和目标的 FQDN。

每条记录都以 IPFIX 协议格式生成和导出。当设备处于受信任网络（内部/VPN）中时，AnyConnect NVM 会将记录导出到配置的收集器中。AnyConnect 连接器是一个 IPFIX 收集器示例，可接收和处理来自 AnyConnect NVM 的 IPFIX 数据流。

Note	AnyConnect 连接器支持 4.2 及以上版本的思科 AnyConnect 安全移动客户端的 AnyConnect NVM。

有关如何使用 Cisco Secure Firewall ASA 或 Cisco Identity Services engine (ISE) 来实施 AnyConnect NVM 的分步说明，请参阅如何实施 AnyConnect NVM 文档。部署 NVM 模块后，应指定 NVM 配置文件并将其推送到运行思科 AnyConnect 安全移动客户端的终端上，并将其安装在终端上。在指定 NVM 配置文件时，应将 IPFIX 收集器配置为指向端口 4739 上的 AnyConnect 连接器。

AnyConnect 连接器还会作为 Cisco Secure Workload AnyConnect 代理向 Cisco Secure Workload 注册。

AnyConnect 连接器会处理 AnyConnect NVM 记录，如下所示。

终端记录

收到终端记录后，AnyConnect 连接器会将该终端注册为 Cisco Secure Workload 上的 AnyConnect 代理。AnyConnect 连接器使用 NVM 记录中存在的终端特定信息以及 AnyConnect 连接器的证书来注册终端。注册终端后，通过在 Cisco Secure Workload 中创建与其中一个收集器的新连接，即可启用该终端的数据平面。AnyConnect 连接器会根据该终端的活动（流记录），定期（20-30 分钟）将该终端对应的 AnyConnect 代理与集群进行签入。

AnyConnect NVM 从 4.9 开始发送代理版本。默认情况下，AnyConnect 终端将在 Cisco Secure Workload 上注册为版本 4.2.x。此版本表示支持的最低 AnyConnect NVM 版本。对于版本为 4.9 或更高版本的 AnyConnect 终端，Cisco Secure Workload 上相应的 AnyConnect 代理将显示实际安装的版本。

Note	AnyConnect 代理安装的版本不受 Cisco Secure Workload 控制。在 Cisco Secure Workload UI 上升级 AnyConnect 终端代理的尝试不会奏效。

流记录器

收到流记录后，AnyConnect 连接器将记录转换为 Cisco Secure Workload 能够理解的格式，并通过与该终端对应的数据平面发送 FlowInfo。此外，它还会在本地存储流记录中包含的进程信息。此外，如果 LDAP 配置提供给 AnyConnect 连接器，它将确定终端登录用户的已配置 LDAP 属性的值。这些属性与发生流的终端 IP 地址相关联。进程信息和用户标签会被定期推送到 Cisco Secure Workload。

Note

每个 AnyConnect 连接器将只报告一个 VRF 的终端/接口/流量。AnyConnect 连接器报告的终端和接口根据 Cisco Secure Workload 中的代理 VRF 配置与 VRF 关联。AnyConnect 连接器代理代表 AnyConnect 终端导出的流属于同一 VRF。要为代理配置 VRF，请转至：管理 (Manage) > 代理 (Agents)，然后点击配置 (Configuration) 选项卡。在此页面的“代理远程 VRF 配置”(Agent Remote VRF Configurations) 部分下，点击“创建配置”(Create Config) 并提供有关 AnyConnect 连接器的详细信息。该表单要求用户提供：VRF 名称、安装代理的主机 IP 子网，以及可能向集群发送流记录的端口号范围。

如果端点计算机是从同一个黄金镜像克隆的，那么所有克隆终端的 UDID 都有可能是相同的。在这种情况下，AnyConnect 连接器使用相同的 UDID 从这些终端接收终端记录，并使用相同的 UDID 在 Cisco Secure Workload 上注册这些记录。当连接器从这些终端接收接口/流记录时，连接器无法确定 Cisco Secure Workload 上的正确 AnyConnect 代理来关联数据。连接器将所有数据关联到一个终端（且不确定）。

为了解决此问题，AnyConnect NVM 4.8 版本提供了一个名为 dartcli.exe 的工具，用于在终端上查找和重新生成 UDID。

• dartcli.exe -u 检索终端的 UDID。

• dartcli.exe -nu 重新生成终端的 UDID。要运行此工具，请执行以下步骤。

    C:\Program Files (x86)\Cisco\Cisco AnyConnect Secure Mobility Client\DART>dartcli.exe -u
    UDID : 8D0D1E8FA0AB09BE82599F10068593E41EF1BFFF

    C:\Program Files (x86)\Cisco\Cisco AnyConnect Secure Mobility Client\DART>dartcli.exe -nu
    Are you sure you want to re-generate UDID [y/n]: y
    Adding nonce success
    UDID : 29F596758941E606BD0AFF49049216ED5BB9F7A5

    C:\Program Files (x86)\Cisco\Cisco AnyConnect Secure Mobility Client\DART>dartcli.exe -u
    UDID : 29F596758941E606BD0AFF49049216ED5BB9F7A5

AnyConnect 连接器会定期发送 AnyConnect 终端资产上的进程快照和用户标签。

1. 进程快照：每隔 5 分钟，AnyConnect 连接器会检查其在本地维护的该间隔的进程，并发送在该间隔内具有流的所有终端的进程快照。

2. 用户标签：每隔 2 分钟，AnyConnect 连接器会检查其在本地维护的 LDAP 用户标签，并更新这些 IP 地址上的用户标签。

对于用户标签，AnyConnect 连接器会创建组织内所有用户的 LDAP 属性本地快照。启用 AnyConnect 连接器后，可提供 LDAP 配置（服务器/端口信息、为用户获取的属性、包含用户名的属性）。此外，还可以提供用于访问 LDAP 服务器的 LDAP 用户凭证。在 AnyConnect 连接器中，LDAP 用户凭证经过了加密，因此绝不会显示。或者，可以提供 LDAP 证书以安全地访问 LDAP 服务器。

Note	AnyConnect 连接器会每 24 小时创建一个新的本地 LDAP 快照。此间隔可在连接器的 LDAP 配置中配置。

有关所需虚拟设备的信息，请参阅连接器的虚拟设备。连接器上允许以下配置。

• LDAP：LDAP 配置支持发现 LDAP 属性，并提供工作流程来选择与用户名对应的属性以及要为每位用户获取的最多 6 个属性的列表。有关更多信息，请参阅发现。

• 终端：有关详细信息，请参阅终端配置。

• 日志：有关详细信息，请参阅日志配置。

此外，可以使用允许的命令在 Cisco Secure Workload 注入设备中的 Docker 容器上更新连接器上 IPFIX 协议的侦听端口。通过提供连接器的连接器 ID、要更新的端口类型和新端口信息，可在设备上发出此命令。连接器 ID 可在 Cisco Secure Workload UI 中的连接器页面上找到。有关详细信息，请参阅 update-listing-ports。

Note	此集成需要使用 ISE 版本 2.4+ 和 ISE PIC 版本 3.1+。

有关所需虚拟设备的信息，请参阅连接器的虚拟设备。对于 ISE 连接器，支持 IPv4 和 IPv6（双栈模式）地址。但请注意，双堆栈支持是一项测试功能。

连接器上允许以下配置。

• ISE 实例 (ISE Instance)：ISE 连接器可以使用提供的配置连接到 ISE 的多个实例。每个实例都需要 ISE 证书凭证以及主机名和节点名才能连接到 ISE。有关详细信息，请参阅 ISE 实例配置。

• LDAP：LDAP 配置支持发现 LDAP 属性，并提供用于选择与用户名对应的属性的工作流程以及要为每位用户获取的最多六个属性的列表。有关更多信息，请参阅发现。

• 日志：有关详细信息，请参阅日志配置。

  Note	ISE 连接器会通过 getSessions API 调用连接，以获取该时间段内的所有活动终端。ISE 连接器还有一个侦听程序，用于订用 PxGrid 中提供所有新终端更新的会话主题。

ISE 连接器将按如下所述处理记录。

ISE 连接器会定期共享 ISE 终端资产中的用户标签。

1. 终端快照：每 20 小时，ISE 连接器会从 ISE 实例获取终端和安全组标签的快照，并在检测到任何更改时更新集群。如果我们在 Cisco Secure Workload 上看不到来自 ISE 的终端，则不会为断开连接的终端计算此呼叫。

2. 用户标签：ISE 连接器会每 2 分钟扫描一次本地维护的 LDAP 用户和 ISE 终端标签，并更新这些 IP 地址上的用户标签。

对于用户标签，ISE 连接器会创建组织中所有用户的 LDAP 属性的本地快照。启用 ISE 连接器后，可提供 LDAP 配置（服务器/端口信息、为用户获取的属性、包含用户名的属性）。此外，还可以提供用于访问 LDAP 服务器的 LDAP 用户凭证。LDAP 用户凭证已加密，绝不会在 ISE 连接器中显示。或者，可以提供 LDAP 证书以安全地访问 LDAP 服务器。

Note	ISE 连接器会每 24 小时创建一次新的本地 LDAP 快照。此间隔可在连接器的 LDAP 配置中配置。

Note	在升级思科 ISE 设备时，ISE 连接器需要在升级后使用 ISE 生成的新证书重新配置。

如果设备（或连接器）由于缺少来自设备/连接器的心跳而可能关闭，则会生成警报。

警报文本：缺失 <Appliance/Connector> 心跳，它可能已关闭。

严重性：高

允许的 Cisco Secure Workload 虚拟设备：Cisco Secure Workload 注入和 Cisco Secure Workload 边缘设备

允许的连接器：全部

当设备（和连接器）上的系统使用率（CPU、内存和磁盘）超过 90% 时。设备（和/或连接器）会生成一个信息警报，提示当前正在处理增加的系统负载。

在繁重的处理活动中，设备和连接器消耗 90% 以上的系统资源是正常的。

警报文本：<Appliance/Connector> 上的 <Number> 个 CPU/内存磁盘使用率太高。

严重性：高

允许的 Cisco Secure Workload 虚拟设备：Cisco Secure Workload 注入和 Cisco Secure Workload 边缘设备

允许的连接器：全部

当您尝试将已配置的连接器连接到已配置的服务器并且配置失败时，系统会生成警报，以指明在接受并部署配置后可能存在问题。

例如，AnyConnect 连接器可以采用 LDAP 配置，验证和接受配置。但在正常操作期间，配置可能不再有效。

警报会捕捉到这种情况，并指出您必须采取纠正措施来更新配置。

警报文本：无法连接到 <Appliance/Connector> 服务器，检查 <Appliance/Connector> 配置。

严重性：高、低

允许的 Cisco Secure Workload 虚拟设备：Cisco Secure Workload 注入和 Cisco Secure Workload 边缘设备。

允许的连接器：AnyConnect、F5、ISE、WDC 和 ServiceNow。

Cisco Secure Workload 注入设备是一种软件设备，可将流观察结果从各种连接器导出到 Cisco Secure Workload。

规格

• CPU 核心数量：8

• 内存：8 GB

• 存储：250 GB

• 网络接口数：3

• 一台设备上的连接器数量：3

• 操作系统：CentOS 7.9（Cisco Secure Workload 3.8.1.19 及更低版本）、AlmaLinux 9.2（Cisco Secure Workload 3.8.1.36 及更高版本）

请参阅适用于连接器的 Cisco Secure Workload 虚拟设备中的重要限制。

Note	Cisco Secure Workload 上的每个根范围最多可以部署 100 台 Cisco Secure Workload 注入设备。

Cisco Secure Workload 注入设备最多允许在一台设备上启用 3 个连接器。在同一设备上可以启用多个相同连接器的实例。对于 ERSPAN 注入设备，总是会自动配置三个 ERSPAN 连接器。注入设备上部署的许多连接器都从网络中的不同点收集遥测数据，这些连接器需要侦听设备上的特定端口。因此，每个连接器都与其中一个 IP 地址和默认端口绑定，连接器应在这些地址和端口上侦听，以收集遥测数据。因此，每个 IP 地址实质上就是设备上连接器占用的一个插槽。启用一个连接器后，就会占用一个插槽（从而占用该插槽对应的 IP）。而且，当某个连接器被禁用时，该连接器所占用的插槽也会被释放（从而释放与该插槽相对应的 IP）。有关如何在设备注入 维护插槽状态的信息，请参阅 Cisco Secure Workload 注入设备插槽。

Cisco Secure Workload 边缘是一种控制设备，可将警报流传输到各种通知程序，并从网络访问控制器（例如 Cisco ISE）收集资产元数据。在 Cisco Secure Workload 边缘设备中，可以部署所有警报通知程序连接器（例如 Syslog、Email、Slack、PagerDuty 和 Kinesis）、ServiceNow 连接器、Workload AD 连接器和 ISE 连接器。

规格

• CPU 核心数量：8

• 内存：8 GB

• 存储：250 GB

• 网络接口数：1

• 一台设备上的连接器数量：8

• 操作系统：CentOS 7.9（Cisco Secure Workload 3.8.1.19 及更低版本）、AlmaLinux 9.2（Cisco Secure Workload 3.8.1.36 及更高版本）

请参阅适用于连接器的 Cisco Secure Workload 虚拟设备中的重要限制。

Note	Cisco Secure Workload 上的每个根范围最多可以部署一个 Cisco Secure Workload 边缘设备。

Cisco Secure Workload 边缘设备上部署的连接器不会在端口上侦听。因此，为 Cisco Secure Workload 边缘设备上的连接器实例化的 Docker 容器不会向主机公开任何端口。

NTP 配置允许设备与指定的 NTP 服务器同步时钟。

测试：测试是否可以在端口 123 上与给定 NTP 服务器建立 UDP 连接。如果任何 NTP 服务器发生错误，请不要接受配置。

# --- GENERAL CONFIGURATION ---
server <ntp-server>
...
server 127.127.1.0
fudge 127.127.1.0 stratum 10
# Drift file
driftfile /etc/ntp/drift

Note	适用于 Cisco Secure Workload 3.8.1.19 及更低版本。

# Secure Workload appliance chrony.conf.
server <ntp-server> iburst
...
driftfile /var/lin/chrony/drift
makestep 1.0 3
rtcsync

允许的思科 Cisco Secure Workload 虚拟设备：全部

允许的连接器：无

日志配置可更新设备和/或连接器上的日志级别、日志文件最大大小和日志轮换参数。如果在设备上触发了配置更新，则会更新设备控制器日志设置。另一方面，如果在连接器上触发配置更新，则服务控制器和服务日志设置也会更新。

测试：无操作

应用：如果在设备上触发配置，请更新设备上 tet-controller 的配置文件。如果在连接器上触发了配置，请更新由负责连接器的 Docker 容器上的控制器管理的 tet-controller 和服务的配置文件。

允许的 Cisco Secure Workload 虚拟设备：全部

允许的连接器：NetFlow、NetScaler、F5、AnyConnect、ISE、ASA 和 Meraki。

Note	由于所有警报通知程序连接器（Syslog、Email、Slack、PagerDuty 和 Kinesis）在 Cisco Secure Workload 边缘上的单个 Docker 服务（Cisco Secure Workload 警报通知程序）上运行，因此无法在不影响配置的情况下更新连接器的日志配置。可以使用允许的命令更新 Cisco Secure Workload 边缘设备上的 Cisco Secure Workload 警报通知程序 (TAN) Docker 服务的日志配置。

有关详细信息，请参阅更新警报通知程序连接器日志配置。

终端配置指定 AnyConnect 和 ISE 连接器上终端的非活动超时。当终端超时时，连接器会停止签入 Cisco Secure Workload，并清除连接器上终端的本地状态。

测试：无操作

应用：使用新值更新连接器的配置文件

允许的 Cisco Secure Workload 虚拟设备：无

允许的连接器：AnyConnect 和 ISE

用于在 Slack 上发布 Cisco Secure Workload 警报的默认配置。

测试：使用 Webhook 将测试警报发送到 Slack。如果警报发布成功，则测试通过。

应用：使用指定参数更新连接器的配置文件。

允许的 Cisco Secure Workload 虚拟设备：无

允许的连接器： Slack

用于在 PagerDuty 上发布 Cisco Secure Workload 警报的默认配置。

测试：使用服务密钥向 PagerDuty 发送测试警报。如果警报发布成功，则测试通过。

应用：使用指定参数更新连接器的配置文件。

允许的 Cisco Secure Workload 虚拟设备：无

允许的连接器：PagerDuty

用于在 Amazon Kinesis 上发布 Cisco Secure Workload 警报的默认配置。

测试：使用给定配置将测试警报发送到 Kinesis 流。如果警报发布成功，则测试通过。

应用：使用指定参数更新连接器的配置文件。

允许的 Cisco Secure Workload 虚拟设备：无

允许的连接器：Kinesis

在邮件上发布 Cisco Secure Workload 警报的默认配置。

测试：使用给定配置发送测试邮件。如果警报发布成功，则测试通过。

应用：使用指定参数更新连接器的配置文件。

允许的 Cisco Secure Workload 虚拟设备：无

允许的连接器：邮件

用于在系统日志上发布 Cisco Secure Workload 警报的默认配置。

测试：使用给定配置将测试警报发送到系统日志服务器。如果警报发布成功，则测试通过。

应用：使用指定参数更新连接器的配置文件。

允许的 Cisco Secure Workload 虚拟设备：无

允许的连接器：系统日志

下表显示系统日志中 Cisco Secure Workload 警报的默认严重性映射

您可以使用此配置来修改此设置。

测试：无操作

应用：使用指定参数更新连接器的配置文件。

允许的 Cisco Secure Workload 虚拟设备：无

允许的连接器：系统日志

此配置提供连接到 Cisco Identity Services Engine (ISE) 所需的参数。通过提供该配置的多个实例，ISE 连接器可从多个 ISE 设备连接并提取有关终端的元数据。最多可以提供 20 个 ISE 配置实例。

测试：使用给定参数连接到 ISE。连接成功后，接受配置。

应用：使用指定参数更新连接器的配置文件。

允许的 Cisco Secure Workload 虚拟设备：无

允许的连接器：ISE

• 验证您的 Kubernetes 版本是否支持。请参阅https://www.cisco.com/go/secure-workload/requirements/integrations。

• 在 EKS 中配置所需的访问权限，如下所述。

创建集群角色与用户/服务帐户的集群角色绑定。

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: csw-clusterrolebinging 
subjects:
- kind: User
  name: csw.read.only
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: csw.read.only
  apiGroup: rbac.authorization.k8s.io
  kubectl create -f clusterrolebinding.yaml 
clusterrolebinding.rbac.authorization.k8s.io/csw-clusterrolebinging created

有关 EKS 角色和访问权限的信息，请参阅“EKS 角色和访问权限”部分。

配置 AWS 连接器时，启用托管 Kubernetes 服务功能。请参阅配置新的 AWS 连接器。

每个 EKS 集群都需要“假设角色 ARN”。有关详细信息，请参阅：https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html

如果您使用 AWS 用户访问 EKS 集群，请允许该用户访问“假设角色”。

如果您使用的是跨帐户 IAM 角色，请允许 IAM 角色访问“假设角色”。

我们在 EKS 中添加了对负载均衡器服务的支持。CSW 代理在使用者主机和提供者主机/Pod 上执行规则。

EKS 负载均衡器有两个选项：

1. 保留客户端 IP。

2. 在提供者 Pod 上，生成

3. 目标类型。

在开始处理案例之前，对于以下策略意图：

对于各种情况，使用“允许”操作规则的使用者到提供者服务、服务协议和端口按如下方式生成：

案例 1：

在使用者节点上，我们使用使用者到负载均衡器服务 (lb ingress ip) 服务协议和端口允许来生成出口规则。

提供者节点上没有主机规则，但我们在提供者 Pod 上生成了一条输入规则，其中源为使用者，目标为提供者 Pod（任意），协议为目标协议，端口为目标端口，操作为允许。

案例 2：

在使用者节点上，我们使用使用者到负载均衡器服务 (lb ingress ip) 服务协议和端口允许来生成出口规则。

在提供者节点上，生成了一条预路由规则，其中源为使用者，目标为所有提供者节点，协议为服务协议，端口为服务的节点端口，操作为允许。

在提供者 Pod 上，我们生成一个入口规则，其中源为提供者节点，目标为提供者 Pod（任意），协议为目标协议，端口为目标端口，操作为允许。

案例 3：

在使用者节点上，我们使用使用者到负载均衡器服务 (lb ingress ip) 服务协议和端口允许来生成出口规则。

提供者节点上没有主机规则。在提供者 Pod 上，我们生成一个入口规则，其中源为 lb 入口 IP 的目标为提供者 Pod (any)，协议为目标协议，端口为目标端口，操作为允许。

案例 4：

在使用者节点上，我们使用使用者到负载均衡器服务 (lb ingress ip) 服务协议和端口允许来生成出口规则。

提供者节点生成预路由规则，将 lb 入口 IP 设置为源，并将所有提供者节点设置为目标。该规则将服务协议指定为协议，将服务的节点端口指定为端口，并将操作设置为允许。

在提供者 Pod 上，我们生成一个入口规则，其中源为提供者节点，目标为提供者 Pod（任意），协议为目标协议，端口为目标端口，操作为允许。

• 验证您的 Kubernetes 版本是否支持。请参阅适用于 Cisco Secure Workload 代理的操作系统、外部系统和连接器的兼容性矩阵。

• 配置 Azure 连接器时，启用并配置托管 Kubernetes 服务 (AKS) 功能。有关详细信息，请参阅“配置 Azure 连接器”部分。

AKS 支持保留客户端 IP。

对于以下策略意图：

对于各种情况，使用“允许”操作规则生成的使用者到提供者服务、服务协议和端口如下：

案例 1：保留客户端 IP 为开。

在使用者节点上，我们使用使用者到负载均衡器服务 (lb 入口 IP) 服务协议和端口允许生成出口规则。

为提供者节点生成的预路由规则，将使用者指定为源节点，将所有提供者节点指定为目标节点。该规则包括作为协议的服务协议和作为端口的服务节点端口，并将操作设置为允许。

在提供者 Pod 上，我们生成一个入口规则，其中 src 为提供者节点，dest 为提供者 Pod（任意），协议为目标协议，端口为目标端口，操作为允许。

案例 2：保留客户端 IP 关。

在使用者节点上，我们使用使用者到负载均衡器服务 (lb 入口 IP) 服务协议和端口允许生成出口规则。

提供者节点生成预路由规则，将 lb 入口 IP 设置为源，并将所有提供者节点设置为目标。该规则将服务协议指定为协议，将服务的节点端口指定为端口，并将操作设置为允许。

在提供者 Pod 上，我们生成一个入口规则，其中源为提供者节点，目标为提供者 Pod（任意），协议为目标协议，端口为目标端口，操作为允许。