Dotaz: Ako sprevadzkovat ETH mirroring

[miro]

Kvoli snortu potrebujem mirrorovat vsetok traffic z jednej sietovky na druhu, ktora bude prepojena s PC, kde bezi snort. Ake riesenie bude najvhodnejsie? Bridge, iptables tee alebo DaemonLogger?

Odpovědi

[Ivan]

staticky arp na switchi.

[Ivan]

Teda kecam ne arp, ale MAC. Rekneme ze mas server(anebo router) v portu "1" a ten ma MAC adresu AB:CD. Tak staticky nastavis, ze i port "2" ma za sebou MAC adresu AB:CD. A do portu "2" pripojis server se SNORTem. Nema to zadny overhead a monitorovany server o tom vubec nevi.

[miro]

Pouzity switch nie je menezovatelny.

[NN]

Vyuzi funkce prepinace 'port mirroring'..

[miro]

Hladam riesenie na Linuxe (ako je v nadpise naznacene). Pouzita switchova infrastruktra neumoznuje port mirroring, span a podobne veci.

[NN]

Pokud mas novejsi jadro sel bych do tee, pokud ne sel bych do bridge.

[Mike Stuffel]

naco robit veci este zlozitejsimi ako su najjednoduhsie je pouzitie HUB-u - aj ked to nevyhovuje zadaniu - http://cs.wikipedia.org/wiki/Hub - takto robime bezne diagnostiku siete

[Jendа]

Dá se sehnat gigabitový HUB? Asi ne. I stovkové jsou vzácné.

[tomas.marny]

Receive-only UTP cables and Network Taps

[xxl]

Takhle:

tc qdisc add dev eth0 ingress
tc filter add dev eth0 parent ffff: protocol ip prio 1 u32 match u32 0 0 flowid 1:1 action mirred egress mirror dev eth1

[xxl]

To by fungovalo jenom pro příchozí traffic. Pro oba směry je to takhle:

tc qdisc add dev eth0 ingress
tc filter add dev eth0 parent ffff: protocol ip prio 1 u32 match u32 0 0 flowid 1:1 action mirred egress mirror dev eth1

tc qdisc add dev eth0 root handle 1: prio
tc filter add dev eth0 parent 1: protocol ip prio 1 u32 match u32 0 0 flowid 1:1 action mirred egress mirror dev eth1

Rozumí se, že provoz z eth0 se zrcadlí na eth1.