Stellen Sie einen ExtraHop-Sensor mit Hyper-V bereit

1. Klicke mit der rechten Maustaste auf ExtraHop Sensor VM und wählen Einstellungen.
2. expandieren Netzwerkadapter und klicken Erweiterte Funktionen.
3. In der Port-Spiegelung Klicken Sie im Abschnitt auf die Dropdownliste Spiegelungsmodus und wählen Sie Quelle.
4. Notieren Sie sich das Quellnetzwerk und stellen Sie sicher, dass sich die Capture-Schnittstelle auf der ExtraHop-VM im selben Netzwerk befindet.
5. klicken Bewerben.
6. klicken OK.
7. Wiederholen Sie diese Schritte für alle VMs, die Sie überwachen möchten, mit Ausnahme der ersten VM, die Sie in diesem Verfahren erstellt haben.

Dieses Szenario erfordert eine zweite physische Netzwerkschnittstelle und die Erstellung eines zweiten vSwitches, der dieser NIC zugeordnet ist. Diese NIC stellt dann eine Verbindung zu einem Mirror, Tap oder Aggregator her, der den Datenverkehr von einem Switch kopiert. Dieses Setup ist nützlich für die Überwachung des Intranets eines Büros.

1. Klicken Sie mit der rechten Maustaste auf die ExtraHop-Sensor-VM und wählen Sie Einstellungen.
2. expandieren Netzwerkadapter und klicken Fortgeschrittene Funktionen.
3. Klicken Sie im Abschnitt Port-Mirroring auf Spiegelungsmodus Drop-down-Liste und wählen Reiseziel.
4. klicken Bewerben.
5. klicken OK.
6. Erweitern Sie den virtuellen Switch, der dem externen Datenfeed zugeordnet ist, und aktivieren Sie den Microsoft NDIS-Erfassung Schalter. Sie können die Warnung ignorieren, dass die ausgewählte Erweiterung nicht ordnungsgemäß funktioniert.
   
7. klicken Bewerben, und klicken Sie dann OK.
8. Starten Sie Windows PowerShell mit Administratorrechte.
9. Konfigurieren Sie den externen Port des virtuellen Switches, indem Sie die folgenden Befehle ausführen:
   1. Speichern Sie die FeatureName Parameter in einer Variablen:

      $portFeature=Get-VMSystemSwitchExtensionPortFeature -FeatureName "Ethernet Switch Port Security Settings"
      

      Kopieren
   2. Ändern Sie den Monitormodus des virtuellen Switches auf Quelle:

      $portFeature.SettingData.MonitorMode = 2

      Kopieren
   3. Fügen Sie dem virtuellen Switch einen externen Port hinzu, der den FeatureName in Schritt 9a spezifizierter Parameter:

      add-VMSwitchExtensionPortFeature -ExternalPort -SwitchName <name_of_switch> -VMSwitchExtensionFeature $portFeature

      Kopieren

      Wo <name_of_switch> ist der Name des virtuellen Switches.

10. Optional: Um gespiegelten Datenverkehr von mehreren VLANs zu empfangen, setzen Sie die VM-NIC in den Trunk-Modus und geben Sie eine Liste der zulässigen VLAN-IDs an, indem Sie den folgenden Befehl ausführen:

    Set-VMNetworkAdapterVlan -VMName <destination_vm> -Trunk -AllowedVlanIdList <id_list> -NativeVlanId <vlan_id>

    Kopieren

    Wo <destination_vm> ist der Name der ExtraHop VM, <id_list> ist die Liste der erlaubten VLAN-IDs und <vlan_id> ist die ID des Standard-VLAN.

    Zum Beispiel:

    Set-VMNetworkAdapterVlan -VMName EDA1100v -Trunk -AllowedVlanIdList 1-100 -NativeVlanId 10

    Kopieren

Sie müssen die Paketweiterleitungssoftware auf jedem Server installieren, der überwacht werden soll, um Pakete an das ExtraHop-System weiterzuleiten.

Sie müssen die Paketweiterleitungssoftware auf jedem zu überwachenden Server installieren, um Pakete an das ExtraHop-System weiterzuleiten.

1. Laden Sie die Installationsdatei für RPCAP Service für Windows vom ExtraHop herunter Downloads und Ressourcen Webseite.
2. Doppelklicken Sie auf die Datei, um das Installationsprogramm zu starten.
3. Wählen Sie im Assistenten die zu installierenden Komponenten aus.
   
4. Schließe das ab ExtraHop-IP und ExtraHop-Anschluss Felder und Klick Weiter. Der Standardport ist 2003.
   
5. Optional: Geben Sie zusätzliche Argumente in das Textfeld ein und klicken Sie auf Weiter.
   
6. Suchen Sie den Zielordner für die Installation des RPCAP-Dienstes und wählen Sie ihn aus.
   
7. Wenn der RPCAP-Dienst zuvor installiert war, klicken Sie auf Ja um den vorherigen Dienst zu löschen.
   
8. Wenn die Installation abgeschlossen ist, klicken Sie Schliessen.

Für Server mit mehreren Schnittstellen können Sie den Paketweiterleiter so konfigurieren, dass er Pakete von einer bestimmten Schnittstelle oder von mehreren Schnittstellen weiterleitet, indem Sie seine Konfigurationsdatei auf dem Server bearbeiten.

1. Öffnen Sie nach der Installation des Paketweiterleiters die Konfigurationsdatei, /opt/extrahop/etc/rpcapd.ini.
   Die Konfigurationsdatei enthält diesen oder einen ähnlichen Text:

   ActiveClient = 10.0.0.100,2003
   NullAuthPermit = YES
   UserName = rpcapd

   Kopieren

   Hinweis:

   Ändern Sie nicht die NullAuthPermit oder UserName Felder.

2. Ändern Sie das Bestehende ActiveClient Linie und erstelle eine ActiveClient Leitung für jede weitere zu überwachende Schnittstelle. Geben Sie jede Schnittstelle anhand ihres Schnittstellennamens oder ihrer IP-Adresse an.

   ActiveClient = <extrahop_ip>, <extrahop_port>, ifname=<interface_name>

   Kopieren

   oder

   ActiveClient = <extrahop_ip>, <extrahop_port>, ifaddr=<interface_address>

   Kopieren

   Wo <interface_name> ist der Name der Schnittstelle, von der Sie Pakete weiterleiten möchten, und <interface_address> ist die IP-Adresse der Schnittstelle, von der die Pakete weitergeleitet werden. Das <interface_address> Variable kann entweder die IP-Adresse selbst sein, z. B. 10.10.1.100, oder eine CIDR-Spezifikation ( Netzwerk-IP-Adresse/Subnetzpräfixlänge), die die IP-Adresse enthält, z. B. 10.10.1.0/24.

   Für jeden ActiveClient Leitung, leitet der Paketweiterleiter unabhängig Pakete von der in der Zeile angegebenen Schnittstelle weiter.

   Im Folgenden finden Sie ein Beispiel für die Konfigurationsdatei, in der zwei Schnittstellen anhand des Schnittstellennamens angegeben sind:

   ActiveClient = 10.10.6.45, 2003, ifname=eth0
   ActiveClient = 10.10.6.45, 2003, ifname=eth1
   NullAuthPermit = YES
   UserName = rpcapd

   Kopieren

   Im Folgenden finden Sie ein Beispiel für die Konfigurationsdatei, in der zwei Schnittstellen anhand der Schnittstellen-IP-Adresse angegeben werden:

   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.100
   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.100
   NullAuthPermit = YES
   UserName = rpcapd

   Kopieren

   Im Folgenden finden Sie ein Beispiel für die Konfigurationsdatei, in der zwei Schnittstellen mithilfe von CIDR-Spezifikationen angegeben werden, die die Schnittstellen-IP-Adresse enthalten:

   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.0/24
   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.0/24
   NullAuthPermit = YES
   UserName = rpcapd

   Kopieren
3. Speichern Sie die Konfigurationsdatei. Stellen Sie sicher, dass Sie die Datei im ASCII-Format speichern, um Fehler zu vermeiden.
4. Starten Sie den Paketweiterleiter neu, indem Sie den folgenden Befehl ausführen:

   sudo /etc/init.d/rpcapd restart

   Kopieren

   Hinweis:

   Um den Paketweiterleiter nach dem Ändern der Konfigurationsdatei erneut zu installieren, führen Sie den Installationsbefehl aus und ersetzen Sie <extrahop_ip> und <extrahop_port> mit dem –k Flag, um die geänderte Konfigurationsdatei beizubehalten. Zum Beispiel: sudo sh ./install-rpcapd.sh –k Kopieren

Für Server mit mehreren Schnittstellen können Sie den Paketweiterleiter so konfigurieren, dass er Pakete von einer bestimmten Schnittstelle oder von mehreren Schnittstellen weiterleitet, indem Sie seine Konfigurationsdatei auf dem Server bearbeiten.

1. Öffnen Sie nach der Installation des Paketweiterleiters auf dem Server die Konfigurationsdatei: C:\Program Files\rpcapd\rpcapd.ini
   Die Konfigurationsdatei enthält diesen oder einen ähnlichen Text:

   ActiveClient = 10.0.0.100,2003
   NullAuthPermit = YES
   UserName = rpcapd

   Kopieren

   Hinweis:

   Ändern Sie nicht die NullAuthPermit oder UserName Felder.

2. Ändern Sie die vorhandene ActiveClient-Zeile und erstellen Sie eine ActiveClient-Zeile für jede weitere Schnittstelle, die überwacht werden soll. Geben Sie jede Schnittstelle anhand ihres Schnittstellennamens oder ihrer IP-Adresse an.

   ActiveClient = <extrahop_ip>, <extrahop_port>, ifname=<interface_address>

   Kopieren

   Wo <interface_address> ist die IP-Adresse der Schnittstelle, von der die Pakete weitergeleitet werden und <interface_address> kann entweder die IP-Adresse selbst sein, z. B. 10.10.1.100, oder eine CIDR-Spezifikation ( Netzwerk-IP-Adresse/Subnetzpräfixlänge), die die IP-Adresse enthält, z. B. 10.10.1.0/24.

   oder

   ActiveClient = <extrahop_ip>, <extrahop_port>, ifaddr=<interface_name>

   Kopieren

   Wo <interface_name> ist der Name der Schnittstelle, von der die Pakete weitergeleitet werden. Der Name ist formatiert als \Device\NPF_{<GUID>}, wo <GUID> ist der Globally Unique Identifier (GUID) der Schnittstelle. Zum Beispiel, wenn die Schnittstellen-GUID 2C2FC212-701D-42E6-9EAE-BEE969FEFB3F, der Schnittstellenname ist \Device\NPF_{2C2FC212-701D-42E6-9EAE-BEE969FEFB3F}.

   Im Folgenden finden Sie ein Beispiel für die Konfigurationsdatei, in der zwei Schnittstellen mit der Schnittstellen-IP-Adresse angegeben sind:

   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.100
   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.100
   NullAuthPermit = YES
   UserName = rpcapd

   Kopieren

   Im Folgenden finden Sie ein Beispiel für die Konfigurationsdatei, in der zwei Schnittstellen mit CIDR-Spezifikationen angegeben sind, die die Schnittstellen-IP-Adresse enthalten:

   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.0/24
   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.0/24
   NullAuthPermit = YES
   UserName = rpcapd

   Kopieren

   Im Folgenden finden Sie ein Beispiel für die Konfigurationsdatei, in der zwei Schnittstellen mit dem Schnittstellennamen angegeben sind:

   ActiveClient = 10.10.6.45, 2003, ifname=\Device\NPF_{2C2FC212-701D-42E6-9EAE-BEE969FEFB3F}
   ActiveClient = 10.10.6.45, 2003, ifname=\Device\NPF_{3C2FC212-701D-42E6-9EAE-BEE969FEFB3F}
   NullAuthPermit = YES
   UserName = rpcapd

   Kopieren
3. Speichern Sie die Konfigurationsdatei (.ini). Stellen Sie sicher, dass Sie die Datei im ASCII-Format speichern, um Fehler zu vermeiden.
4. Starten Sie den Paketweiterleiter neu, indem Sie den folgenden Befehl ausführen:

   restart-service rpcapd

   Kopieren

   Hinweis:

   Um die Paketweiterleitungssoftware nach dem Ändern der Konfigurationsdatei erneut zu installieren, führen Sie den Installationsbefehl aus und ersetzen Sie -RpcapIp und -RpcapPort mit dem -KeepConfig Flag , um die geänderte Konfigurationsdatei beizubehalten. Zum Beispiel: .\install-rpcapd.ps1 -MgmtIp <extrahop_ip> -KeepConfig Kopieren oder .\install-rpcapd.ps1 –InputDir . -KeepConfig Kopieren

Standardmäßig akzeptiert das ExtraHop-System weitergeleitete Pakete auf Port 2003. Die Server, die den Software-Tap verwenden, werden angewiesen, den gesamten Datenverkehr weiterzuleiten, wie durch den Platzhalter (*) in der Schnittstellenadresse Spalte.

1. Gehen Sie zum Abschnitt RPCAP-Einstellungen und klicken Sie auf 2003.
2. Ändern und modifizieren Sie die Einstellungen auf der Seite RPCAP-Portdefinition hinzufügen.

   Hafen

   Gibt den Listening-Port auf dem ExtraHop-System an. Jeder Port muss für jedes Schnittstellensubnetz auf demselben Server eindeutig sein. Serverübergreifend können unterschiedliche Subnetze für denselben Port konfiguriert werden.

   Schnittstellenadresse

   Gibt ein Subnetz auf dem Paketweiterleitungsserver an. Wenn der Server über mehrere Schnittstellen verfügt, die der Schnittstellenadresse entsprechen, sendet die erste Schnittstelle auf dem Server Datenverkehr an das ExtraHop-System, sofern der Schnittstellenname nicht angegeben ist.

   Name der Schnittstelle

   Gibt die Schnittstelle auf dem Paketweiterleitungsserver an, von der Pakete weitergeleitet werden sollen.

   Hinweis:

   Sie müssen eine Schnittstellenadresse oder einen Schnittstellennamen angeben. Wenn Sie beide angeben, gelten beide Kriterien.

   Filter

   Gibt den Verkehr an, der mithilfe der Berkeley-Paketfilter-Syntax weitergeleitet werden soll. Zum Beispiel TCP port 80 leitet nur TCP-Verkehr auf Port 80 weiter und not TCP port 80 leitet nur Nicht-TCP-Verkehr auf Port 80 weiter.

3. klicken Speichern.

Um herauszufinden, wie viele wire data das ExtraHop-System vom Paket Forwarder empfängt, gehen Sie wie folgt vor:

1. Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address> und klicken Sie auf Systemeinstellungen Symbol.
2. klicken Gesundheit des Systems um mehr Informationen über den weitergeleiteten Verkehr zu erhalten. Auf dieser Seite wird für jeden Software-Tap, der mit dem ExtraHop-System verbunden ist, ein Diagramm mit Paketen und Durchsatz angezeigt.
   

   Die RPCAP Pakete und Durchsatzdiagramme enthalten vier Metriken:

   Verkapselung

   Die Gesamtzahl der vom ExtraHop-System empfangenen RPCAP-Kapselungspakete.

   Geeignet für Tunnel

   Gesamtzahl der Pakete, die an das ExtraHop-System weitergeleitet werden können.

   Tunnel gesendet

   Gesamtzahl der RPCAP-Tunnelpakete, die an das ExtraHop-System weitergeleitet wurden.

   Tunnel empfangen

   Gesamtzahl der RPCAP-Tunnelpakete, die vom ExtraHop-System empfangen wurden.

   Die Werte Tunnelberechtigt, Tunnel gesendet und Tunnel empfangen sind identisch, wenn das ExtraHop-System alle vom Server gesendeten Pakete empfängt und verarbeitet. Wenn die Werte nicht identisch sind, ziehen Sie die folgenden Optionen zur Fehlerbehebung in Betracht:

   • Wenn Tunnel Sent ist weniger als Tunnel Eligible, der Server ist nicht in der Lage, den gesamten Verkehr weiterzuleiten. Dieses Verhalten kann darauf hindeuten, dass die Paketweiterleitung mehr Verarbeitungs- oder ausgehende Bandbreitenressourcen auf dem Server erfordert. Erwägen Sie, den Weiterleitungsprozess auf eine separate CPU zu trennen oder eine dedizierte Schnittstelle für die Weiterleitung des Datenverkehrs zuzuweisen.
   • Wenn Tunnel Received ist weniger als Tunnel Sent, das ExtraHop-System empfängt nicht den gesamten vom Server weitergeleiteten Datenverkehr. Dieses Verhalten kann auf eine Netzwerküberlastung oder unzureichende Ressourcen auf dem ExtraHop-System zurückzuführen sein. Wenn Sie vermuten, dass es sich um Letzteres handelt, wenden Sie sich an den ExtraHop-Support.
3. Nachdem Sie sich vergewissert haben, dass das ExtraHop-System Datenverkehr empfängt, beenden Sie den Gesundheit des Systems Seiten- und Anzeigemetriken in der ExtraHop Web UI.

Um die Software von einem Windows-Server oder Ihrem Windows-Desktop zu entfernen:

1. Gehe zum Startmenü und wähle Schalttafel.
2. Wählen Programm deinstallieren.
3. Wählen RPCAP-Dienst für Windows.
4. Klicken Sie im Popup-Dialogfeld auf entfernen.
5. Wenn das Entfernen abgeschlossen ist, klicken Sie auf Schliessen.