Questo articolo mostra come risolvere i problemi del punto di accesso o dello switch in caso di problemi di traffico. Mostra come eseguire il port mirror su uno switch Nebula, il tracciamento/cattura dei pacchetti su un access point (AP) e il firewall/gateway in Nebula CC.

Nota bene: si sconsiglia di eseguire comandi di configurazione via SSH sui dispositivi Nebula! Non possiamo inoltre supportare i casi in cui ciò sia accaduto!

1) Port Mirroring

Il port mirroring consente di tracciare i pacchetti che entrano in una porta dello switch: in pratica, copia il traffico e lo invia sia alla destinazione iniziale sia alla "porta di mirroring". Si tratta di uno strumento potente per l'analisi e il debug dei problemi di rete. Per configurare il Port Mirroring, seguite la seguente procedura:

Nota: esiste una limitazione nel NCC (Network Control Center) per cui una porta sorgente di mirroring può essere configurata per monitorare al massimo tre porte di switch.

1. Accedere all'account Nebula tramite https://nebula.zyxel.com.
2. Spostarsi su

Configure -> Switches -> Switch Settings

3. Trovate

Port mirroring 

e fate clic su

4. Selezionare lo switch e le porte da monitorare. Scegliere anche una porta di destinazione. La porta di origine indica la porta da cui proviene inizialmente il traffico, mentre la porta di destinazione indica la porta da monitorare.

5. Salvare le impostazioni.

6. Aprire Wireshark

7. Selezionare l'adattatore di rete utilizzato (WiFi o Ethernet) e filtrare i pacchetti.

Filtrare il traffico che si desidera catturare, ad esempio:

multicast and broadcast

host 192.168.1.33

port 443

In seguito è possibile filtrare anche dopo aver catturato i pacchetti, utilizzando ad esempio

ip.addr==192.168.1.1

ip.proto 50

icmp 

8. Cattura

9. Salvare il file e analizzarlo / Inviare per l'analisi

2) Cattura dei pacchetti

2.1 Per il Firewall - Utilizzando la GUI Web

Navigare in Manutenzione -> Cattura pacchetti e scegliere l'interfaccia che si desidera catturare (ad esempio, traffico LAN/traffico WAN). È anche possibile filtrare il traffico in base all'indirizzo IP dell'host o alla porta dell'host. Quindi fare clic su Cattura per avviare la cattura dei pacchetti.

2.2 Per il firewall - Utilizzo di CLI/SSH

In Nebula, la serie USG FLEX / ATP utilizza una struttura SD-WAN, che si basa principalmente su VLAN. Ad esempio, se si desidera catturare i pacchetti sull'interfaccia lan1, è necessario scoprire quale VLAN il firewall sta utilizzando per lan1 inserendo il comando

show sdwan interface

Nell'esempio seguente, Nebula utilizza la VLAN3718 per l'interfaccia lan1.

Per eseguire una traccia dei pacchetti su lan1 e catturare il traffico HTTPS, inserire il seguente comando:

Port mirroring 

Per eseguire un packet trace su lan1 e catturare il traffico da uno specifico PC host, immettere il seguente comando:

Port mirroring 

2.3 Per i punti di accesso - Utilizzo di CLI/SSH

Gli Access Point di Nebula non possono eseguire una traccia dei pacchetti a livello locale. Se si desidera eseguire una cattura dei pacchetti di un Access Point, è necessario accedere al dispositivo localmente da un PC e utilizzare la Sezione 3 per accedere al dispositivo tramite SSH.

Port mirroring 

Per i punti di accesso in Nebula, le bande sono divise in due gruppi wlan-1-1 (2,4 GHz) e wlan-2-1 (5 GHz).

Se si desidera acquisire il traffico HTTPS sui client connessi a 5GHz, utilizzare il seguente comando:

Port mirroring 

Se si desidera catturare il traffico da un client specifico connesso a 2,4GHz, utilizzare il seguente comando:

Port mirroring 

2.4 Su NSG

1. Consentire al dispositivo di rispondere al servizio HTTPS e SSH dal lato WAN (in questo caso, selezioniamo "any").
2. È possibile trovare questo menu tramite
   

   Port mirroring 

   5
3. Accedere quindi all'NSG tramite il suo indirizzo IP pubblico via WAN:
   
   
   
4. Navigare nel relativo menu e attivare "Allow WAN to Device" (Consenti WAN al dispositivo) e aggiungere gli indirizzi IP di origine a cui si desidera consentire l'accesso tramite SSH:

   Port mirroring 

   6

5. Ora dovreste essere in grado di accedere al vostro NSG tramite SSH - Congratulazioni!
   
   

   interfaccia: Interfacce Ethernet (ad esempio wan1, lan1 ecc.)
   porta: il servizio che si desidera catturare (443 (HTTPS), 80 (HTTP) ecc.)
   ip-proto: il protocollo che si desidera filtrare (ad es. ping)
   src-host: la sorgente da cui provengono i pacchetti (ad esempio, dal server (192.168.1.3) alla destinazione: any)

   dst-host: la destinazione da cui provengono i pacchetti (ad es. verso il server (192.168.1.3) dalla sorgente: any)