Ein kurzer Überblick über das Problem
Wir haben in letzter Zeit einige Probleme mit unserer Bandbreitennutzung festgestellt, von denen ich befürchte, dass sie auf einen absichtlichen oder nicht beabsichtigten Missbrauch unseres Internets im Büro zurückzuführen sind. Ich möchte in der Lage sein, den Netzwerkverkehr zu überwachen, um festzustellen, ob eine bestimmte interne IP-Adresse fehlerhaft ist. Unsere Bandbreite sollte mehr als ausreichend sein.
Unser Setup
Wir haben einen 3Com Superstack 3-Switch, der mit einer Cisco PIX 501-Firewall verbunden ist und dann eine Verbindung zu unserem vom ISP bereitgestellten Router herstellt.
Was ich versucht habe
Es scheint, dass weder der Switch noch die Firewall über eine Port Mirroring-Funktion verfügen, sodass ich keine permanente Ablaufverfolgung durchführen kann. Die PIX bietet eine temporäre Ablaufverfolgung in ihren eigenen Speicherpuffer, ich bin jedoch nicht sicher, ob ich diese verwenden kann.
Ich habe auch versucht, Wireshark auf unserem (Windows 2000) DNS-Server zu installieren, aber die Paketdaten hier haben nicht geholfen.
Nächste Schritte
Irgendwelche Vorschläge von euch, wie man den Verkehr überwacht, wären großartig. Wir sind jedoch noch nicht in der Lage, die vorhandene Hardware zu ersetzen. Ich habe mir die Kosten für einen Network Tap angesehen, den ich zwischen Switch und Firewall (oder Firewall und Router) platzieren und einen Computer zur Überwachung der Pakete dort einrichten könnte. Ich habe diesen Ansatz noch nie zuvor gewählt und mich gefragt, ob er wirklich realisierbar ist.
quelle
(your_lan)---[your_switch]--[internet_router]geändert haben, schließen Sie(your_lan)---[your_switch]--[a_hub]--[internet_router]den Überwachungs-PC (oder eine sekundäre Verbindung eines Überwachungsservers) an[a_hub]! Dann können Sie jeden Verkehr zum / vom Router sehen. Natürlich ist es wichtig, dass dies ein Hub ist und kein Switch oder Router ^^ Andernfalls ist viel Verkehr verborgen, da Sie nicht die direkte Quelle / das direkte Ziel sind.Antworten:
Zwei mögliche Optionen ... ein Paketerfassungs-Tap (was durchaus praktikabel ist) oder eine Paketerfassung auf dem ASA.
Wenn Sie nicht daran interessiert sind, einen Wasserhahn zu kaufen und inline einzufügen, sollten Sie keine Angst haben, auf Ihrem Cisco PIX zu erfassen. Um den Datenverkehr auf dem PIX zu erfassen, definieren Sie zunächst eine ACL. Angenommen, Sie versuchen, den Datenverkehr von einem Host innerhalb der Firewall am 10.10.10.1 zu erfassen.
Beginnen Sie nun mit der Erfassung des mit der ACL übereinstimmenden Datenverkehrs mithilfe eines Puffers, der groß genug ist, um festzustellen, ob dieser Host zu Recht ein Problem darstellt ...
Sie können das Capture optional mit tftp ...
Dieses Cisco-Dokument enthält viele gute Informationen zum Erfassen des Datenverkehrs auf einem PIX / Cisco ASA ... DOC 17345 Erfassen des PIX-Datenverkehrs
quelle
Sie können ganz einfach Ihr eigenes Ethernet-Tap erstellen. Es funktioniert wahrscheinlich nicht auf einer Gigabit-Schnittstelle, aber auf 10 oder 100 MBit. Ich habe schon einmal einen gemacht, als ich nicht auf den Versand eines vorgefertigten warten wollte.
http://hackaday.com/2008/09/14/passive-networking-tap/ hat ein wenig darüber geschrieben. Grundsätzlich benötigen Sie nur 4 Cat5-Buchsen und ein Stück Kabel.
Zwei der Buchsen befinden sich zwischen der vorhandenen Verbindung zwischen Switch und Firewall oder zwischen Firewall und ISP-Router.
An die beiden Abzweigbuchsen ist jeweils eine Signalrichtung angeschlossen. Sie schließen einen an Ihren Laptop an (oder beides, wenn Sie ein System mit 2 Netzwerkkarten haben). Die Übertragungsstifte Ihrer Netzwerkkarte sind überhaupt nicht verbunden, sodass der Laptop keine Daten versehentlich übertragen kann.
Es reicht wahrscheinlich aus, nur eine Richtung zu erfassen, um festzustellen, woher die übermäßige Nutzung stammt.
Ich würde den Wasserhahn auf eine weniger wichtige Verbindung testen, bevor ich die Internetverbindung des Büros trenne. Sobald Sie wissen, dass es funktioniert, können Sie es anschließen und Wireshark auf einem Laptop laufen lassen, solange Sie das Problem herausfinden müssen.
quelle