Saya ingin mencerminkan semua lalu lintas (juga VPN, WLAN, WAN) dari router konsumen (TPLink WR1043ND v.1.x) ke sensor mendengus yang terletak di jaringan yang sama, tetapi tanpa perangkat keras tambahan! Mirroring harus dilakukan oleh router (menjalankan OpenWrt Barrier Breaker).
Mencerminkan port WAN dari router bahkan akan didukung oleh firmware saat ini , tetapi data aliran ini tidak berguna bagi saya, karena tidak mengandung IP internal perangkat yang terhubung ke router! Saya ingin lalu lintas cermin dari dalam router, dengan semua IP internal.
Jadi, saya cepat-cepat memikirkannya tcpdump -i any
. Tapi setahu saya tidak mungkin mengkonfigurasi 'tcpdump' untuk mengalirkan lalu lintas cermin langsung ke sensor mendengus? (tanpa menghasilkan dan menyimpan file-file pcap yang sangat besar ke harddisk)?
Bagaimana saya mengatasi ini?
Lampiran: Apakah ini bekerja dengan menggunakan iptables --tee
opsi mirroring semua traffic? Saya pikir saya perlu menginstal ipkg ' TEE iptables extensions ' ini atau ' modul Kernel untuk TEE ' ipkg dari repositori OpenWRT agar dapat berfungsi? Apakah ini berfungsi atau saya perlu sesuatu yang lain?
Jawaban:
Ya iptables TEE berfungsi. Saya memiliki router tplink dan saya mencerminkan lalu lintas persis untuk alasan yang sama seperti Anda.
Instal semua modul dan paket yang diperlukan untuk TEE.
Dengan asumsi alamat IP pemantauan Anda
10.1.1.205
, jalankan:sumber
Sebuah patch untuk OpenWRT untuk mengaktifkan port mirroring pada perangkat keras Anda tersedia, meskipun telah menerima hanya pengujian terbatas. Anda tentu saja dapat menerapkan dan mengujinya sendiri.
sumber
Sekarang dimungkinkan untuk mengatur mirroring port pada OpenWrt melalui konfigurasi Switch. Ini dapat dilakukan dengan menggunakan antarmuka web OpenWrt (LuCI) dengan pergi ke menu Network-> Switch kemudian mengaktifkan 'Aktifkan mirroring paket yang masuk' dan / atau 'Aktifkan mirroring paket keluar' dan mengatur antarmuka yang diinginkan. Jika tidak, ini dapat dicapai dengan mengedit bagian sakelar dari file konfigurasi jaringan (
/etc/config/network
).sumber