В тази статия е показано как да отстраните неизправностите във вашата точка за достъп или комутатор, ако имате някакви въпроси/проблеми с трафика. В нея е показано как да се извърши огледално отразяване на портове на комутатор Nebula, проследяване/заснемане на пакети на точка за достъп (AP) и защитна стена/брава в Nebula CC.

Моля, обърнете внимание: Не препоръчваме да изпълнявате каквито и да било конфигурационни команди чрез SSH на вашите устройства Nebula! Също така не можем да подкрепим случаи, в които това се е случило!

1) Огледален порт

Огледалният порт ви позволява да проследявате пакетите, постъпващи в порта на комутатора - той по принцип копира трафика и го изпраща както до първоначалното местоназначение, така и до "огледалния порт" - тук. можете да използвате софтуер за проследяване на пакети, като WireShark, за да проследите трафика в мрежата си. Това е мощен инструмент за анализиране и отстраняване на грешки в мрежата. Моля, следвайте стъпките по-долу, за да настроите Port Mirroring:

Забележка: Съществува ограничение в NCC (Network Control Center), при което един огледален порт-източник може да бъде конфигуриран да наблюдава максимум три порта на комутатор.

1. Влезте в профила си в Nebula чрез https://nebula.zyxel.com
2. Навигирайте до

Configure -> Switches -> Switch Settings

3. Намерете

Port mirroring 

и кликнете върху

Add

4. Изберете комутатора и кои портове искате да бъдат наблюдавани. Също така изберете целеви порт. Портът на източника показва порта, от който първоначално идва трафикът, а портът на местоназначението показва порта, на който ще се проследява.

5. Запазете настройките.

6. Отворете Wireshark

7. Изберете мрежовия адаптер, който използвате (WiFi или Ethernet), и филтрирайте пакетите.

Филтрирайте трафика, който искате да уловите, например:

multicast and broadcast

По-късно можете да филтрирате и след като сте уловили пакетите, като използвате напр:

ip.addr==192.168.1.1

8. Заснемане

9. Запазване на файла и анализ / Изпращане за анализ

2) Улавяне на пакети

2.1 За защитна стена - използване на уеб графичен интерфейс

Навигирайте до Maintenance (Поддръжка) -> Packet Capture (Улавяне на пакети) и изберете интерфейса, който искате да уловите (напр. LAN трафик/WAN трафик). Можете също така да филтрирате трафика въз основа на IP адреса на хоста или порта на хоста. След това щракнете върху улавяне, за да стартирате улавянето на пакети.

2.2 За защитна стена - използване на CLI/SSH

В Nebula серията USG FLEX / ATP използва SD-WAN структура, която е предимно базирана на VLAN. Например, ако искате да уловите пакети на интерфейса lan1, трябва да разберете коя VLAN използва защитната стена за lan1, като въведете командата:

show sdwan interface

В нашия пример по-долу Nebula използва VLAN3718 за интерфейса lan1.

За да направите проследяване на пакети на lan1 и да уловите HTTPS трафика, въведете следната команда:

Port mirroring 

За да направите пакетно проследяване на lan1 и да уловите трафика от определен хост компютър, въведете следната команда:

Port mirroring 

2.3 За точки за достъп - използване на CLI/SSH

Точките за достъп в Nebula не могат да извършват локално проследяване на пакети. Ако искате да направите пакетно улавяне на точка за достъп, трябва да получите локален достъп до устройството от компютър и да използвате раздел 3, за да влезете в устройството чрез SSH.

Port mirroring 

За точките за достъп в Nebula честотните ленти са разделени на две групи wlan-1-1 (2,4 GHz) и wlan-2-1 (5 GHz).

Ако искате да уловите HTTPS трафика на клиентите, които са свързани към 5GHz, използвайте следната команда:

Port mirroring 

Ако искате да уловите трафика от определен клиент, който е свързан към 2,4GHz, използвайте следната команда:

Port mirroring 

2.4 На NSG

1. Разрешете на устройството да отговаря на HTTPS и SSH услуги от WAN-страната (в този случай избираме "any").
2. Можете да намерите това меню чрез
   

   Port mirroring 

   5
3. След това осъществете достъп до NSG чрез неговия публичен IP адрес през WAN:
   
   
   
4. Преминете към съответното меню и активирайте "Allow WAN to Device" (Разрешаване на достъпа от WAN до устройството) и добавете изходните IP адреси, които искате да разрешите за достъп чрез SSH:

   Port mirroring 

   6

5. Сега трябва да можете да получите достъп до вашия NSG чрез SSH - Поздравления!
   
   

   интерфейс: Ethernet интерфейси (напр. wan1, lan1 и т.н.)
   порт: услугата, която искате да уловите (443 (HTTPS), 80 (HTTP) и т.н.)
   ip-proto: протоколът, който искате да филтрирате (напр. ping)
   src-host: източникът, от който идват пакетите (напр. от сървъра (192.168.1.3) към дестинацията: any)

   dst-host: местоназначението, към което се насочват пакетите (напр. към сървъра (192.168.1.3) от източника: any)