Отправка зеркалируемого трафика по IP

[Картуччо]

Есть небольшая задачка, которая переиодически всплывает, тонет и снова всплывает.

В одном месте стоит циско каталист, в порт которого зеркалируется трафик с другого порта. Надо этот зеркальный трафик доставить в удалённую точку.

Если эта удалённая точка подсоединена SFP-волокно-SFP, то всё чудесно работает. Ставим медиаконверторы (ну например Raisecom RC112) и всё, уже не работает, в удалённую точку прилетает какой мизерный трафик, совсем не то, что идёт на SPAN порт. Но это ладно. Локальный случай.

Другой случай - отправить вообще далеко, по IP.

Ставим с двух сторон мелкий роутер (например C851), между роут портами делаем L2TPv3 псевдопровод. Всё работает.

Если схему чуть усложняем добавлением с обоих сторон каталистов и псевдопровод между сабинтерфейсами, уже не работает.

Берём ещё один вариант - микротики RB2011L-RM. На порт одного подаём зеркало с каталиста. Собираем этот порт в бридж с EoIP туннелем и с другой стороны аналогично. Снова не работает. На езернет порту трафик есть, а в бридже и туннеле уже какой-то мизер, на этом же микротике.

Может что-то ошибаюсь в настройках или такой вариант принципиально невозможен ?

Мне кажется, что активное оборудование просто дропает это зеркальный мусор и ничего с этим не сделаешь.

Более менее приемлемой работы добивались на транспортных железках Оркит Корриджент, но там насколько знаю, подобная МПЛС конструкция - порт-псевдопровод-порт.

[config]

У циско есть ERSPAN , как раз для того что бы доставлять зеркалируемый траф в удаленную точку, может это вам поможет? В основе лежит туннель GRE, правда не знаю на каких коробках он поддерживается . А если без этого, то надо наверное обычный псевдопровод точка-точка(l2vpn), и magic-кабель (физическая петля) . Должно работать без проблем.

[Картуччо]

Главное, что на удалённый микротик трафик приходит, я вижу по Torch всякие правильные IP адреса.

Но почему вместо 3 мегабит всего лишь 30 килобит, вот вопрос.

ERSPAN не подходит. Ну и вопрос цены под задачу. Микротик стоит 3000 руб, а мелкая циска заметно дороже.

[agr]

Если схему чуть усложняем добавлением с обоих сторон каталистов и псевдопровод между сабинтерфейсами, уже не работает.

 

а в конфиге соответствующих вланов на каталистах прописан remote-span?

[Картуччо]

А зачем здесь ремоут спан ?

 

interface FastEthernet0/1
description LAN
no switchport
ip address dhcp

interface FastEthernet0/2
description Link to Microtik
no switchport
no ip address

monitor session 1 source interface Fa0/1
monitor session 1 destination interface Fa0/2

 

На Fa0/1 льётся поток в 3 Mbps UDP от Wankiller и какой там ещё бродкаст из локалки.

На удалённом микротике вместо 3 мегабит я получаю 12 килобит и вижу всякий бродкаст мусор из локалки.

[agr]

Я применительно к этой цитате спрашивал

Ставим с двух сторон мелкий роутер (например C851), между роут портами делаем L2TPv3 псевдопровод. Всё работает.

Если схему чуть усложняем добавлением с обоих сторон каталистов и псевдопровод между сабинтерфейсами, уже не работает.

где в этой схеме роутер, где каталисты, а где получатель трафика?

 

Про ремоут спан я к тому, что между выходом тунеля и получателем и в самом тунеле не должно быть устройств с mac learning'ом. Как работает eoip у микротика я сказать не могу, но если он имеет мак таблицу и принимает решение о форвардинге пакетов исходя из ее содержимого, то он не подойдет для этой задачи.

 

Объясню более развернуто. Сетевой обмен в броадкаст сегменте представляет собой обмен пакетами вида

1. aaaa.aaaa.aaaa > bbbb.bbbb.bbbb

2. bbbb.bbbb.bbbb > aaaa.aaaa.aaaa

3. aaaa.aaaa.aaaa > bbbb.bbbb.bbbb

и т.д.

aaaa.aaaa.aaaa и bbbb.bbbb.bbbb здесь - это mac адреса обменивающихся трафиком хостов.

Если такой поток отзеркалить на устройство имеющее mac- таблицу, то после пакета №1 она припишет mac-адрес aaaa.aaaa.aaaa к порту зеркала. Когда придет пакет №2, то устройство увидит, что dst-mac aaaa.aaaa.aaaa приписан к тому же порту, с которого пришел пакет, и не будет форвардить этот пакет. Это самая распространенная проблема при пробросе отзеркалированного трафика через несколько устройств, нужно, чтобы все устройства цепочки не имели mac- таблицы. Прописывание remote-span во влане каталиста отключает mac learning в этом влане.

Edited January 24, 2013 by agr

[Картуччо]

Спасибо!

Надо будет попробовать.

А у микротика ещё на bridge всё происходит, до энкапсуляции в EoIP.

Как отключить mac learning не знаю, найти пока не получилось, если это вообще возможно.

[Картуччо]

Разобрался и с микротиками. Надо было на всех портах бриджа выставить External FDB = yes.

И трафик попёр в полном объёме.

[Картуччо]

Нет, что-то не помогает прописываение remote-span на vlan. Или может я что-то продолжаю недопонимать.

Вот схема, последовательно от источника трафика до конечной точки:

 

Каталист 3560

 

interface FastEthernet0/1
description Сюда приходит трафик
no switchport
ip address dhcp
interface FastEthernet0/2
description Сюда зеркалируется.
no switchport
no ip address
monitor session 1 source interface Fa0/1
monitor session 1 destination interface Fa0/2

 

Каталист 2960

 

vlan 444
remote-span
interface FastEthernet0/7
description Подключение к маршрутизатору C851 -------- Здесь трафика уже нет
switchport mode trunk
interface FastEthernet0/9
description Подключение к порту 2 Каталиста 3560 -------- Здесь трафик есть
switchport access vlan 444
switchport mode access

 

Маршрутизатор Cisco 851

 

pseudowire-class eth-xconnect
encapsulation l2tpv3
ip local interface BVI1
interface FastEthernet4.444
encapsulation dot1Q 444
xconnect 10.80.2.117 444 pw-class eth-xconnect

 

На удалённом конце аналогичная схема, только без Каталиста 3560, на котором зеркалируется.

[Картуччо]

Разобрался и с этим.

Вот такая команда помогла:

 

no mac address-table learning vlan 444

[perezz]

Разобрался и с этим.

Вот такая команда помогла:

это команда на 2960 ? или на маршрутизаторе

[Картуччо]

На свичах, в которые воткнуты маршрутизаторы.