Die paarweise Zuordnung von VLANs auf einer physischen Schnittstelle wird als Inline-VLAN-Paarmodus bezeichnet. Auf einem der paarweise verbundenen VLANs empfangene Pakete werden analysiert und an das andere VLAN im Paar weitergeleitet. Inline-VLAN-Paare werden auf allen Sensoren unterstützt, die mit dem Intrusion Prevention System (IPS) 5.1 kompatibel sind, mit Ausnahme von NM-CIDS, AIP-SSM-10 und AIP-SSM-20.
Der Inline-VLAN-Paarmodus ist ein aktiver Erfassungsmodus, bei dem eine Erfassungsschnittstelle als 802.1q-Trunk-Port fungiert und der Sensor ein VLAN-Bridging zwischen Paaren von VLANs auf dem Trunk durchführt. Das bedeutet, dass sich der mit der Sensorschnittstelle verbundene Switch im Trunk-Modus befinden muss.
Der Sensor überprüft den Datenverkehr, den er auf jedem VLAN in jedem Paar empfängt, und kann die Pakete entweder an das andere VLAN in dem Paar weiterleiten oder das Paket verwerfen, wenn ein Angriffsversuch erkannt wird. Sie können einen IPS-Sensor so konfigurieren, dass er gleichzeitig bis zu 255 VLAN-Paare auf jeder Sensorschnittstelle überbrückt. Der Sensor ersetzt das VLAN-ID-Feld im 802.1q-Header jedes empfangenen Pakets durch die ID des Ausgangs-VLAN, an das der Sensor das Paket weiterleitet. Der Sensor verwirft alle Pakete, die in VLANs empfangen werden, die keinen Inline-VLAN-Paaren zugewiesen sind.
Hinweis: Für IPS-4260 wird Fail-Open-Hardware-Bypass auf Inline-VLAN-Paaren nicht unterstützt. Weitere Informationen finden Sie unter Konfigurationseinschränkungen für die Hardware-Umgehung.
Es gibt keine spezifischen Anforderungen für dieses Dokument.
Die Informationen in diesem Dokument basieren auf dem Cisco Intrusion Prevention System-Sensor, der Version 5.1 und höher verwendet.
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.
Die Informationen in diesem Dokument gelten auch für das Dienstmodul des Intrusion Detection System (IDSM-2).
Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps von Cisco zu Konventionen).
Weitere Informationen zum Senden von Datenverkehr an das IDSM auf dem Switch finden Sie im Abschnitt Configuring VACL Capture (Konfigurieren der VACL-Erfassung) unter Configuring IDSM-2.
In diesem Abschnitt erfahren Sie, wie Sie die in diesem Dokument beschriebenen Funktionen konfigurieren können.
Hinweis: Verwenden Sie das Tool für die Suche nach Befehlen (nur registrierte Kunden), um weitere Informationen zu den in diesem Abschnitt verwendeten Befehlen zu erhalten.
Verwenden Sie den Befehl physical-interfaces interface_name im Service Interface Submode, um Inline-VLAN-Paare mithilfe der CLI zu konfigurieren. Der Schnittstellenname lautet FastEthernet oder GigabitEthernet.
Diese Optionen gelten für:
admin-state {enabled | disabled (Deaktiviert): Der administrative Verbindungsstatus der Schnittstelle, unabhängig davon, ob die Schnittstelle aktiviert oder deaktiviert ist.
Hinweis: An allen Rückwandplatinen-Erfassungsschnittstellen aller Module (IDSM-2 NM-CIDS und AIP-SSM) ist der Admin-Status auf "Aktiviert" und "Geschützt" gesetzt (Sie können die Einstellung nicht ändern). Der admin-state hat keine Auswirkungen (und ist geschützt) auf die Kommando- und Steuerungsschnittstelle. Es betrifft nur Sensorschnittstellen. Die Command-and-Control-Schnittstelle muss nicht aktiviert werden, da sie nicht überwacht werden kann.
default: Setzt den Wert zurück auf die Standardeinstellung des Systems.
description: Ihre Beschreibung des Inline-Schnittstellenpaars.
duplex: Die Duplexeinstellung der Schnittstelle.
auto - Legt die Schnittstelle auf die automatische Duplexaushandlung fest.
full (Vollständig) - Stellt die Schnittstelle auf Vollduplex ein.
half (Hälfte): Stellt die Schnittstelle auf Halbduplex ein.
Hinweis: Die Duplexoption ist auf allen Modulen geschützt.
no (Nein) - Entfernt eine Eintrag- oder Auswahleinstellung.
speed (Geschwindigkeit): Die Geschwindigkeitseinstellung der Schnittstelle.
auto - Stellt die Schnittstelle auf die automatische Aushandlungsgeschwindigkeit ein.
10: Stellt die Schnittstelle auf 10 MB ein (nur für TX-Schnittstellen).
100: Stellt die Schnittstelle auf 100 MB ein (nur für TX-Schnittstellen).
1000: Stellt die Schnittstelle auf 1 GB ein (für Gigabit-Schnittstellen)
Hinweis: Die Geschwindigkeitsoption ist auf allen Modulen geschützt.
subinterface-type: Gibt an, dass die Schnittstelle eine Subschnittstelle ist und welcher Subschnittstellentyp definiert ist.
inline-vlan-pair: Ermöglicht die Definition der Subschnittstelle als Inline-VLAN-Paar.
none: Keine Subschnittstellen definiert.
subinterface (Subschnittstelle): Definiert die Subschnittstelle als Inline-VLAN-Paar.
vlan1: Das erste VLAN im Inline-VLAN-Paar.
vlan2: Das zweite VLAN im Inline-VLAN-Paar.
Führen Sie die folgenden Schritte aus, um die Inline-VLAN-Paar-Einstellungen auf dem Sensor über CLI zu konfigurieren:
Melden Sie sich mit einem Konto mit Administratorberechtigungen bei der CLI an.
Öffnen Sie den Schnittstellen-Submodus:
sensor#configure terminal sensor(config)#service interface sensor(config-int)#
Überprüfen Sie, ob Inline-Schnittstellen vorhanden sind (der Subschnittstellentyp sollte "none" lauten, wenn keine Inline-Schnittstellen konfiguriert wurden):
sensor(config-int)#show settings physical-interfaces (min: 0, max: 999999999, current: 2) ----------------------------------------------- <protected entry> name: GigabitEthernet0/0 <defaulted> ----------------------------------------------- media-type: tx <protected> description: <defaulted> admin-state: disabled <protected> duplex: auto <defaulted> speed: auto <defaulted> alt-tcp-reset-interface ----------------------------------------------- none ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- subinterface-type ----------------------------------------------- none ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- <protected entry> name: GigabitEthernet0/1 <defaulted> ----------------------------------------------- media-type: tx <protected> description: <defaulted> admin-state: disabled <defaulted> duplex: auto <defaulted> speed: auto <defaulted> alt-tcp-reset-interface ----------------------------------------------- none ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- subinterface-type ----------------------------------------------- none ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- <protected entry> name: GigabitEthernet0/2 <defaulted> ----------------------------------------------- media-type: tx <protected> description: <defaulted> admin-state: disabled <defaulted> duplex: auto <defaulted> speed: auto <defaulted> alt-tcp-reset-interface ----------------------------------------------- none ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- subinterface-type ----------------------------------------------- none ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- <protected entry> name: GigabitEthernet0/3 <defaulted> ----------------------------------------------- media-type: tx <protected> description: <defaulted> admin-state: disabled <defaulted> duplex: auto <defaulted> speed: auto <defaulted> alt-tcp-reset-interface ----------------------------------------------- none ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- subinterface-type ----------------------------------------------- none ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- <protected entry> name: Management0/0 <defaulted> ----------------------------------------------- media-type: tx <protected> description: <defaulted> admin-state: disabled <protected> duplex: auto <defaulted> speed: auto <defaulted> alt-tcp-reset-interface ----------------------------------------------- none ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- subinterface-type ----------------------------------------------- none ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- ----------------------------------------------- command-control: Management0/0 <protected> inline-interfaces (min: 0, max: 999999999, current: 0) ----------------------------------------------- ----------------------------------------------- bypass-mode: auto <defaulted> interface-notifications ----------------------------------------------- missed-percentage-threshold: 0 percent <defaulted> notification-interval: 30 seconds <defaulted> idle-interface-delay: 30 seconds <defaulted> ----------------------------------------------- sensor(config-int)#
Entfernen Sie alle Inline-Schnittstellen, die diese physische Schnittstelle verwenden:
sensor(config-int)#no inline-interfaces interface_name
Liste der verfügbaren Schnittstellen anzeigen:
sensor(config-int)#physical-interfaces ? GigabitEthernet0/0 GigabitEthernet0/0 physical interface. GigabitEthernet0/1 GigabitEthernet0/1 physical interface. GigabitEthernet0/2 GigabitEthernet0/2 physical interface. GigabitEthernet0/3 GigabitEthernet0/3 physical interface. Management0/0 Management0/0 physical interface. sensor(config-int)#physical-interfaces
Legen Sie eine Schnittstelle fest:
sensor(config-int)#physical-interfaces GigabitEthernet0/2
Aktivieren Sie den Admin-Status der Schnittstelle:
sensor(config-int-phy)#admin-state enabled
Die Schnittstelle muss dem virtuellen Sensor zugewiesen und aktiviert werden, damit der Datenverkehr überwacht werden kann.
Fügen Sie eine Beschreibung dieser Schnittstelle hinzu:
sensor(config-int-phy)#description INT1
Konfigurieren Sie die Duplexeinstellungen:
sensor(config-int-phy)#duplex full
Diese Option ist für Module nicht verfügbar.
Konfigurieren Sie die Geschwindigkeit:
sensor(config-int-phy)#speed 1000
Diese Option ist für Module nicht verfügbar.
Richten Sie das Inline-VLAN-Paar ein:
sensor(config-int-phy)#subinterface-type inline-vlan-pair sensor(config-int-phy-inl)#subinterface 1 sensor(config-int-phy-inl-sub)#vlan1 52 sensor(config-int-phy-inl-sub)#vlan2 53
Fügen Sie eine Beschreibung für das Inline-VLAN-Paar hinzu:
sensor(config-int-phy-inl-sub)#description pairs vlans 52 and 53
Überprüfen Sie die Einstellungen für das Inline-VLAN-Paar:
sensor(config-int-phy-inl-sub)#show settings subinterface-number: 1 ----------------------------------------------- description: VLANpair1 default: vlan1: 52 vlan2: 53 ----------------------------------------------- sensor(config-int-phy-inl-sub)#
Beenden Sie den Schnittstellen-Submodus:
sensor(config-int-phy-inl-sub)#exit sensor(config-int-phy-inl)#exit sensor(config-int-phy)#exit sensor(config-int)#exit Apply Changes:?[yes]:
Drücken Sie die Eingabetaste, um die Änderungen zu übernehmen, oder geben Sie no ein, um sie zu verwerfen.
Wechseln Sie in den Konfigurationsmodus für virtuelle Sensoren:
sensor(config)#service analysis-engine sensor(config-ana)#virtual-sensor vs0
Fügen Sie die Schnittstelle zum virtuellen Sensor hinzu:
sensor(config-ana-vir)#physical-interface GigabitEthernet0/2 subinterface-number 1
Beenden Sie den Virtual-Sensor-Submodus:
sensor(config-ana-vir)#exit sensor(config-ana)#exit Apply Changes:?[yes]:
Drücken Sie die Eingabetaste, um die Änderungen zu übernehmen, oder geben Sie no ein, um sie zu verwerfen.
Führen Sie die folgenden Schritte aus, um die Inline-VLAN-Paareinstellungen des Sensors mithilfe des IDS Device Manager (IDM) zu konfigurieren:
Öffnen Sie Ihren Browser, und geben Sie https://<Management_IP_Address_of_IPS> ein, um auf IDM auf dem IPS zuzugreifen.
Klicken Sie auf IDM Launcher herunterladen und IDM starten, um das Installationsprogramm für die Anwendung herunterzuladen.
Rufen Sie die Startseite auf, um Geräteinformationen wie Hostname, IP-Adresse, Version und Modell usw. anzuzeigen.
Gehen Sie zu Configuration > Sensor Setup, und klicken Sie auf Network. Hier können Sie den Hostnamen, die IP-Adresse und die Standardroute angeben.
Gehen Sie zu Konfiguration > Schnittstellenkonfiguration, und klicken Sie auf Übersicht.
Auf dieser Seite wird die Konfigurationsübersicht der Sensorschnittstelle angezeigt.
Gehen Sie zu Configuration > Interface Configuration > Interfaces, und wählen Sie den Schnittstellennamen aus.Klicken Sie dann auf Enable, um die Sensorschnittstelle zu aktivieren. Konfigurieren Sie außerdem die Duplex-, Geschwindigkeits- und VLAN-Informationen.
Gehen Sie zu Configuration > Interface Configuration > VLAN Pairs, und klicken Sie auf Add, um die Inline-VLAN-Paare zu erstellen.
Geben Sie die Subschnittstellennummer, VLAN A und VLAN B für die Sensorschnittstelle ein (GigabitEthernet0/0).
Sie können die Zusammenfassung der Konfiguration des Inline-VLAN-Paars anzeigen.
Gehen Sie zu Konfiguration > Analysis Engine > Virtueller Sensor, und klicken Sie auf Bearbeiten, um den neuen virtuellen Sensor zu erstellen.
Weisen Sie das Inline-VLAN-Paar 52 und 53 dem virtuellen Sensor gegenüber 0 zu.
Zeigen Sie die Zusammenfassung der zugewiesenen virtuellen Sensordaten an.
Für diese Konfiguration sind derzeit keine spezifischen Informationen zur Fehlerbehebung verfügbar.
Überarbeitung | Veröffentlichungsdatum | Kommentare |
---|---|---|
1.0 |
27-Jun-2007 |
Erstveröffentlichung |