Porttükrözés ellenőrzése

A következőkre vonatkozik: Advanced Threat Analytics 1.9-es verzió

Az alábbi lépések végigvezetik azon folyamaton, amellyel ellenőrizheti, hogy a porttükrözés megfelelően van-e konfigurálva. Ahhoz, hogy az ATA megfelelően működjön, az ATA-átjárónak képesnek kell lennie a tartományvezérlőre irányuló és onnan érkező forgalom megtekintésére. Az ATA által használt fő adatforrás a tartományvezérlők bejövő és kimenő hálózati forgalmának részletes csomagvizsgálata. Ahhoz, hogy az ATA láthassa a hálózati forgalmat, konfigurálni kell a porttükrözést. A porttükrözés átmásolja a forgalmat az egyik portról (a forrásportról) egy másik portra (a célportra).

Porttükrözés ellenőrzése Windows PowerShell szkripttel

1. Mentse a szkript szövegét egy ATAdiag.ps1nevű fájlba.
2. Futtassa ezt a szkriptet az ellenőrizni kívánt ATA-átjárón. A szkript ICMP-forgalmat generál az ATA-átjáróról a tartományvezérlőre, és ezt a forgalmat keresi a tartományvezérlő rögzítési hálózati adapterén. Ha az ATA-átjáró az ATA-konzolon megadott tartományvezérlő IP-címével megegyező cél IP-címmel látja az ICMP-forgalmat, a porttükrözés konfiguráltnak minősül.

Példa a szkript futtatására:

# ATAdiag.ps1 -CaptureIP n.n.n.n -DCIP n.n.n.n -TestCount n
param([parameter(Mandatory=$true)][string]$CaptureIP, [parameter(Mandatory=$true)][string]$DCIP, [int]$PingCount = 10)

# Set variables
$ErrorActionPreference = "stop"
$starttime = get-date
$byteIn = new-object byte[] 4
$byteOut = new-object byte[] 4
$byteData = new-object byte[] 4096  # size of data

$byteIn[0] = 1  # for promiscuous mode
$byteIn[1-3] = 0
$byteOut[0-3] = 0

# Convert network data to host format
function NetworkToHostUInt16 ($value)
{
    [Array]::Reverse($value)
    [BitConverter]::ToUInt16($value,0)
}
function NetworkToHostUInt32 ($value)
{
    [Array]::Reverse($value)
    [BitConverter]::ToUInt32($value,0)
}
function ByteToString ($value)
{
    $AsciiEncoding = new-object system.text.asciiencoding
    $AsciiEncoding.GetString($value)
}

Write-Host "Testing Port Mirroring..." -ForegroundColor Yellow
Write-Host ""
Write-Host "Here is a summary of the connection we will test." -ForegroundColor Yellow

# Initialize a first ping connection
Test-Connection -Count 1 -ComputerName $DCIP -ea SilentlyContinue
Write-Host ""
Write-Host "Press any key to continue..." -ForegroundColor Red
[void][System.Console]::ReadKey($true)
Write-Host ""
Write-Host "Sending ICMP and Capturing data..." -ForegroundColor Yellow

# Open a socket
$socket = new-object system.net.sockets.socket([Net.Sockets.AddressFamily]::InterNetwork,[Net.Sockets.SocketType]::Raw,[Net.Sockets.ProtocolType]::IP)

# Include the IP header
$socket.setsocketoption("IP","HeaderIncluded",$true)
$socket.ReceiveBufferSize = 10000
$ipendpoint = new-object system.net.ipendpoint([net.ipaddress]"$CaptureIP",0)
$socket.bind($ipendpoint)

# Enable promiscuous mode
[void]$socket.iocontrol([net.sockets.iocontrolcode]::ReceiveAll,$byteIn,$byteOut)

# Initialize test variables
$tests = 0
$TestResult = "Noise"
$OneSuccess = 0

while ($tests -le $PingCount)
{
    if (!$socket.Available)  # see if any packets are in the queue
    {
        start-sleep -milliseconds 500
        continue
    }

    # Capture traffic
    $rcv = $socket.receive($byteData,0,$byteData.length,[net.sockets.socketflags]::None)

    # Decode the header so we can read ICMP
    $MemoryStream = new-object System.IO.MemoryStream($byteData,0,$rcv)
    $BinaryReader = new-object System.IO.BinaryReader($MemoryStream)

    # Set IP version & header length
    $VersionAndHeaderLength = $BinaryReader.ReadByte()

    # TOS
    $TypeOfService= $BinaryReader.ReadByte()

    # More values, and the Protocol Number for ICMP traffic
    # Convert network format of big-endian to host format of little-endian
    $TotalLength = NetworkToHostUInt16 $BinaryReader.ReadBytes(2)
    $Identification = NetworkToHostUInt16 $BinaryReader.ReadBytes(2)
    $FlagsAndOffset = NetworkToHostUInt16 $BinaryReader.ReadBytes(2)
    $TTL = $BinaryReader.ReadByte()
    $ProtocolNumber = $BinaryReader.ReadByte()
    $Checksum = [Net.IPAddress]::NetworkToHostOrder($BinaryReader.ReadInt16())

    # The source and destination IP addresses
    $SourceIPAddress = $BinaryReader.ReadUInt32()
    $DestinationIPAddress = $BinaryReader.ReadUInt32()

    # The source and destimation ports
    $sourcePort = [uint16]0
    $destPort = [uint16]0

    # Close the stream reader
    $BinaryReader.Close()
    $memorystream.Close()

    # Cast DCIP into an IPaddress type
    $DCIPP = [ipaddress] $DCIP
    $DestinationIPAddressP = [ipaddress] $DestinationIPAddress

    #Ping the DC at the end after starting the capture
    Test-Connection -Count 1 -ComputerName $DCIP -ea SilentlyContinue | Out-Null

    # This is the match logic - check to see if Destination IP from the Ping sent matches the DCIP entered by in the ATA Console
    # The only way the ATA Gateway should see a destination of the DC is if Port Spanning is configured

    if ($DestinationIPAddressP -eq $DCIPP)  # is the destination IP eq to the DC IP?
    {
        $TestResult = "Port Spanning success!"
        $OneSuccess = 1
    } else {
        $TestResult = "Noise"
    }

    # Put source, destination, test result in Powershell object
    new-object psobject | add-member -pass noteproperty CaptureSource $([system.net.ipaddress]$SourceIPAddress) | add-member -pass noteproperty CaptureDestination $([system.net.ipaddress]$DestinationIPAddress) | Add-Member -pass NoteProperty Result $TestResult | Format-List | Out-Host
    #Count tests
    $tests ++
}

if ($OneSuccess -eq 1)
{
    Write-Host "Port Spanning Success!" -ForegroundColor Green
    Write-Host ""
    Write-Host "At least one packet which was addressed to the DC, was picked up by the Gateway." -ForegroundColor Yellow
    Write-Host "A little noise is OK, but if you don't see a majority of successes, you might want to re-run." -ForegroundColor Yellow
} else {
    Write-Host "No joy, all noise.  You may want to re-run, increase the number of Ping Counts, or check your config." -ForegroundColor Red
}

Write-Host ""
Write-Host "Press any key to continue..." -ForegroundColor Red
[void][System.Console]::ReadKey($true)

Porttükrözés ellenőrzése a Net Mon használatával

1. Telepítse a Microsoft Network Monitor 3.4-et az ellenőrizni kívánt ATA-átjáróra.

   Fontos

   Ne telepítse a Microsoft Message Analyzert vagy más forgalomrögzítő szoftvert az ATA-átjárón.

2. Nyissa meg a Hálózatfigyelőt, és hozzon létre egy új rögzítési lapot.

   1. Csak a Rögzítés hálózati adaptert vagy a porttükrözési célként konfigurált kapcsolóporthoz csatlakoztatott hálózati adaptert válassza.

   2. Győződjön meg arról, hogy a P mód engedélyezve van.

   3. Kattintson az Új rögzítés elemre.

      

3. A Szűrő megjelenítése ablakban adja meg a következő szűrőt: KerberosV5 VAGY LDAP , majd kattintson az Alkalmaz gombra.

   

4. Kattintson a Start gombra a rögzítési munkamenet elindításához. Ha nem látja a tartományvezérlő bejövő és kimenő forgalmát, tekintse át a porttükrözés konfigurációját.

   

   Megjegyzés:

   Fontos, hogy megtekintse a tartományvezérlők bejövő és kimenő forgalmát.

5. Ha csak egy irányban látja a forgalmat, a hálózatkezelési vagy virtualizálási csapatokkal együttműködve háríthatja el a porttükrözési konfiguráció hibaelhárítását.

Lásd még

• Porttükrözés konfigurálása
• Tekintse meg az ATA fórumát!