Una descripción rápida del problema.
Hemos estado experimentando algunos problemas con nuestro uso de ancho de banda últimamente, lo que me temo que puede deberse al mal uso (ya sea intencional o no) de nuestro Internet en la oficina. Quiero poder monitorear el tráfico de la red para ver si una determinada dirección IP interna tiene la culpa. Nuestro ancho de banda debería ser más que suficiente.
Nuestra configuración
Tenemos un conmutador 3Com Superstack 3 conectado a un firewall Cisco PIX 501, que luego se conecta a nuestro enrutador provisto por el ISP.
Lo que he intentado
Parece que ni el conmutador ni el firewall tienen una función de duplicación de puertos disponible, por lo que no puedo mantener un seguimiento permanente. El PIX ofrece una traza temporal en su propio búfer de memoria, sin embargo, no estoy muy seguro de usar esto.
También intenté instalar Wireshark en nuestro servidor DNS (Windows 2000), pero los datos del paquete aquí no ayudaron.
Próximos pasos
Cualquier sugerencia de ustedes acerca de cómo monitorear el tráfico sería genial. Sin embargo, todavía no estamos en condiciones de reemplazar el hardware existente. He examinado el costo de un Network Tap, que podría colocar entre el conmutador y el firewall (o firewall y enrutador) y configurar una máquina para monitorear los paquetes allí. Nunca antes había tomado este enfoque, por lo que me preguntaba si realmente es viable.
fuente
(your_lan)---[your_switch]--[internet_router]cambiado(your_lan)---[your_switch]--[a_hub]--[internet_router]y conecte la PC de monitoreo (o un enlace secundario de un servidor de monitoreo)[a_hub]! Luego puede ver todo el tráfico hacia / desde el enrutador. Por supuesto, es importante que este sea un concentrador , y no un conmutador o un enrutador ^^ De lo contrario, tendrá mucho tráfico oculto ya que no es el origen / destino directo.Respuestas:
Dos opciones posibles ... un toque de captura de paquetes (que es bastante viable) o captura de paquetes en el ASA.
Si no está interesado en comprar un grifo e insertarlo en línea, no debe temer capturarlo en su Cisco PIX. Para capturar el tráfico en el PIX, primero defina una ACL ... suponga que está tratando de capturar el tráfico de un host dentro del firewall en 10.10.10.1.
Ahora comience a capturar el tráfico que coincide con la ACL utilizando un búfer lo suficientemente grande como para determinar si este host es un problema legítimo ...
Opcionalmente, puede descargar la captura usando tftp ...
Este documento de Cisco tiene mucha buena información sobre la captura de tráfico en un PIX / Cisco ASA ... DOC 17345 Captura de tráfico PIX
fuente
Puedes hacer tu propio toque de ethernet con bastante facilidad. Probablemente no funcionará en una interfaz gigabit, pero funcionará en 10 o 100mbit. He hecho uno antes cuando no quería esperar a que se enviara uno prefabricado.
http://hackaday.com/2008/09/14/passive-networking-tap/ tiene un pequeño artículo sobre ellos. Básicamente, todo lo que necesita es un conector 4 cat5 y un poco de cable.
Dos de los conectores se encuentran entre la conexión existente entre el conmutador y el firewall, o el firewall y el enrutador ISP.
Las dos tomas de derivación tienen una dirección de señal conectada. Conecte uno a su computadora portátil (o ambos, si tiene un sistema con 2 NIC). Los pines de transmisión de su tarjeta de red no están conectados en absoluto, por lo que la computadora portátil no puede transmitir ningún dato accidentalmente.
Capturar solo una dirección es probablemente suficiente para saber de dónde proviene el uso excesivo.
Probaría el tap en alguna conexión menos importante antes de desconectar la conexión a Internet de la oficina. Una vez que sepa que funciona, puede conectarlo y dejar que Wirehark se ejecute en una computadora portátil durante el tiempo que necesite para resolver el problema.
fuente