Dieser Artikel zeigt, wie Sie Ihren Access Point oder Switch bei Problemen mit dem Datenverkehr überprüfen können. Er zeigt, wie man einen Port Mirror auf einem Nebula Switch, eine Paketverfolgung/-erfassung auf einem Access Point (AP) und eine Firewall/Gateway in Nebula CC durchführt.

Bitte beachten Sie: Wir raten davon ab, Konfigurationsbefehle über SSH auf Ihren Nebula-Geräten auszuführen! Wir können auch keine Fälle unterstützen, in denen dies passiert ist!

1) Port-Spiegelung

Mit Port Mirroring können Sie Pakete verfolgen, die an einem Switch-Port ankommen - im Grunde wird der Datenverkehr kopiert und sowohl an das ursprüngliche Ziel als auch an den "Mirror Port" gesendet - hier. können Sie eine Paketverfolgungssoftware wie WireShark verwenden, um den Datenverkehr in Ihrem Netzwerk zu verfolgen. Dies ist ein leistungsfähiges Werkzeug, wenn es um die Analyse und Fehlersuche bei Netzwerkproblemen geht. Bitte folgen Sie den folgenden Schritten, um Port Mirroring einzurichten:

Hinweis: Es gibt eine Einschränkung im NCC (Network Control Center), bei der ein Mirror-Quellport nur so konfiguriert werden kann, dass er maximal drei Switch-Ports überwachen kann.

1. Melden Sie sich über https://nebula.zyxel.com bei Ihrem Nebula-Konto an.
2. Navigieren Sie zu

Configure -> Switches -> Switch Settings

3. Suchen Sie .

Port mirroring 

und klicken Sie auf

Add

4. Wählen Sie den Switch und den/die zu überwachenden Anschluss/Anschlüsse aus. Wählen Sie außerdem einen Zielport. Der Quellport gibt den Port an, von dem der Datenverkehr ursprünglich kommt, während der Zielport den Port angibt, den Sie überwachen wollen.

5. Speichern Sie die Einstellungen.

6. Öffnen Sie Wireshark

7. Wählen Sie den von Ihnen verwendeten Netzwerkadapter (WiFi oder Ethernet) und filtern Sie die Pakete

Filtern Sie den Datenverkehr, den Sie aufzeichnen möchten, zum Beispiel:

multicast and broadcast

host 192.168.1.33

port 443

Später können Sie auch filtern, nachdem Sie die Pakete aufgezeichnet haben, indem Sie z.B:

ip.addr==192.168.1.1

ip.proto 50

icmp 

8. Erfassen

9. Speichern Sie die Datei und analysieren Sie sie / Senden Sie sie zur Analyse

2) Packet Capture

2.1 Für Firewall - mit Web-GUI

Navigieren Sie zu Wartung -> Paketerfassung und wählen Sie die Schnittstelle aus, die Sie erfassen möchten (z. B. LAN-Datenverkehr/WAN-Datenverkehr). Sie können den Datenverkehr auch nach der Host-IP-Adresse oder dem Host-Port filtern. Klicken Sie dann auf Capture, um die Paketerfassung zu starten.

2.2 Für die Firewall - Verwendung von CLI/SSH

In Nebula verwenden die USG FLEX / ATP-Serien eine SD-WAN-Struktur, die meist VLAN-basiert ist. Wenn Sie z. B. Pakete auf der Schnittstelle lan1 erfassen möchten, müssen Sie herausfinden, welches VLAN die Firewall für lan1 verwendet, indem Sie den folgenden Befehl eingeben:

show sdwan interface

In unserem Beispiel unten verwendet Nebula VLAN3718 für die Schnittstelle lan1.

Um eine Paketverfolgung auf lan1 durchzuführen und den HTTPS-Verkehr zu erfassen, geben Sie den folgenden Befehl ein:

Port mirroring 

Um eine Paketverfolgung auf lan1 durchzuführen und den Verkehr von einem bestimmten Host-PC aufzuzeichnen, geben Sie folgenden Befehl ein:

Port mirroring 

2.3 Für Access Points - Verwendung von CLI/SSH

Die Access Points in Nebula können nicht lokal eine Paketverfolgung durchführen. Wenn Sie eine Paketaufzeichnung eines Access Points durchführen möchten, müssen Sie lokal von einem PC aus auf das Gerät zugreifen und Abschnitt 3 verwenden, um sich über SSH am Gerät anzumelden.

Port mirroring 

Für die Zugangspunkte in Nebula sind die Bänder in zwei Gruppen unterteilt: wlan-1-1 (2,4 GHz) und wlan-2-1 (5 GHz).

Wenn Sie den HTTPS-Verkehr auf Clients, die mit 5 GHz verbunden sind, erfassen möchten, verwenden Sie bitte den folgenden Befehl:

Port mirroring 

Wenn Sie den Datenverkehr von einem bestimmten Client erfassen möchten, der mit 2,4 GHz verbunden ist, verwenden Sie bitte den folgenden Befehl:

Port mirroring 

2.4 Am NSG

1. Erlauben Sie dem Gerät, auf HTTPS- und SSH-Dienste von der WAN-Seite zu reagieren (in diesem Fall wählen wir "any").
2. Sie finden dieses Menü unter
   

   Port mirroring 

   5
3. Greifen Sie dann über die öffentliche IP-Adresse über das WAN auf den NSG zu:
   
   
   
4. Navigieren Sie zu dem entsprechenden Menü und aktivieren Sie "Allow WAN to Device" und fügen Sie die Quell-IP-Adressen hinzu, die Sie für den Zugriff über SSH zulassen möchten:

   Port mirroring 

   6

5. Sie sollten nun in der Lage sein, über SSH auf Ihren NSG zuzugreifen - Glückwunsch!
   
   

   Schnittstelle: Ethernet-Schnittstellen (z. B. wan1, lan1 usw.)
   port: der Dienst, den Sie erfassen möchten (443 (HTTPS), 80 (HTTP) usw.)
   ip-proto: das Protokoll, das Sie filtern möchten (z. B. ping)
   src-host: die Quelle, von der die Pakete kommen (z. B. vom Server (192.168.1.3) zum Ziel: any)

   dst-host: das Ziel, an das die Pakete gehen (z. B. von der Quelle: any zum Server (192.168.1.3))