Déployez une sonde ExtraHop avec Hyper-V

1. Cliquez avec le bouton droit sur le bouton droit sonde VM et sélectionnez Réglages.
2. Élargir Adaptateur réseau et cliquez Fonctionnalités avancées.
3. Dans le Mise en miroir des ports section, cliquez sur la liste déroulante du mode de mise en miroir et sélectionnez La source.
4. Prenez note du réseau source et assurez-vous que l'interface de capture de la machine virtuelle ExtraHop se trouve sur le même réseau.
5. Cliquez Appliquer.
6. Cliquez OK..
7. Répétez ces étapes pour toutes les machines virtuelles que vous souhaitez surveiller, à l'exception de la première machine virtuelle que vous avez créée dans cette procédure.

Ce scénario nécessite une deuxième interface réseau physique et la création d'un second vSwitch associé à cette carte réseau. Cette carte réseau se connecte ensuite à un miroir, un tap ou un agrégateur qui copie le trafic provenant d'un commutateur. Cette configuration est utile pour surveiller l' intranet d'un bureau.

1. Cliquez avec le bouton droit sur la machine virtuelle du capteur ExtraHop et sélectionnez Réglages.
2. Élargir Adaptateur réseau et cliquez Fonctionnalités avancées.
3. Dans la section Port Duploring, cliquez sur le Mode de mise en miroir liste déroulante et sélectionnez Destination.
4. Cliquez Appliquer.
5. Cliquez OK..
6. Développez le commutateur virtuel associé au flux de données externe et activez le Capture Microsoft NDIS interrupteur. Vous pouvez ignorer l' avertissement indiquant que l'extension sélectionnée ne fonctionne pas correctement.
   
7. Cliquez Appliquer, puis cliquez sur OK..
8. Démarrez Windows PowerShell avec les privilèges d'administrateur.
9. Configurez le port externe du commutateur virtuel en exécutant les commandes suivantes :
   1. Stockez le FeatureName paramètre dans une variable :

      $portFeature=Get-VMSystemSwitchExtensionPortFeature -FeatureName "Ethernet Switch Port Security Settings"
      

      Copier
   2. Changez le mode de surveillance du commutateur virtuel en mode Source :

      $portFeature.SettingData.MonitorMode = 2

      Copier
   3. Ajoutez un port externe au commutateur virtuel qui inclut le FeatureName paramètre spécifié à l'étape 9a :

      add-VMSwitchExtensionPortFeature -ExternalPort -SwitchName <name_of_switch> -VMSwitchExtensionFeature $portFeature

      Copier

      Où <name_of_switch> est le nom du commutateur virtuel.

10. Facultatif : Pour recevoir du trafic en miroir provenant de plusieurs VLAN, réglez la carte réseau de la machine virtuelle en mode trunk et spécifiez une liste des ID de VLAN autorisés en exécutant la commande suivante :

    Set-VMNetworkAdapterVlan -VMName <destination_vm> -Trunk -AllowedVlanIdList <id_list> -NativeVlanId <vlan_id>

    Copier

    Où <destination_vm> est le nom de la machine virtuelle ExtraHop, <id_list> est la liste des ID de VLAN autorisés, et <vlan_id> est l'ID du VLAN par défaut.

    Par exemple :

    Set-VMNetworkAdapterVlan -VMName EDA1100v -Trunk -AllowedVlanIdList 1-100 -NativeVlanId 10

    Copier

Vous devez installer le logiciel de transfert de paquets sur chaque serveur à surveiller pour transférer les paquets vers le système ExtraHop.

Vous devez installer le logiciel de transfert de paquets sur chaque serveur à surveiller afin de transférer les paquets vers le système ExtraHop.

1. Téléchargez le fichier d'installation du service RPCAP pour Windows depuis ExtraHop Téléchargements et ressources page Web.
2. Double-cliquez sur le fichier pour démarrer le programme d'installation.
3. Dans l'assistant, sélectionnez les composants à installer.
   
4. Complétez le IP ExtraHop et Port ExtraHop champs et cliquez Suivant. Le port par défaut est 2003.
   
5. Facultatif : Entrez des arguments supplémentaires dans la zone de texte et cliquez sur Suivant.
   
6. Naviguez jusqu'au dossier de destination et sélectionnez-le pour installer le service RPCAP.
   
7. Si le service RPCAP a déjà été installé, cliquez sur Oui pour supprimer le service précédent.
   
8. Lorsque l'installation est terminée, cliquez sur Fermer.

Pour les serveurs dotés de plusieurs interfaces, vous pouvez configurer le redirecteur de paquets pour qu'il transfère des paquets depuis une interface particulière ou depuis plusieurs interfaces en modifiant son fichier de configuration sur le serveur.

1. Après avoir installé le redirecteur de paquets, ouvrez le fichier de configuration, /opt/extrahop/etc/rpcapd.ini.
   Le fichier de configuration contient ce texte ou un texte similaire :

   ActiveClient = 10.0.0.100,2003
   NullAuthPermit = YES

   Copier
2. Modifier l'existant ActiveClient aligner et créer un ActiveClient ligne pour chaque interface supplémentaire à surveiller. Spécifiez chaque interface par son nom d'interface ou son adresse IP.

   ActiveClient = <extrahop_ip>, <extrahop_port>, ifname=<interface_name>

   Copier

   ou

   ActiveClient = <extrahop_ip>, <extrahop_port>, ifaddr=<interface_address>

   Copier

   Où <interface_name> est le nom de l'interface à partir de laquelle vous souhaitez transférer les paquets, et <interface_address> est l'adresse IP de l' interface à partir de laquelle les paquets sont transférés. Le <interface_address> La variable peut être soit l' adresse IP elle-même, telle que 10.10.1.100, soit une spécification CIDR (adresse IP réseau/longueur du préfixe de sous-réseau) contenant l'adresse IP, telle que 10.10.1.0/24.

   Pour tous ActiveClient ligne, le redirecteur de paquets transmet indépendamment les paquets depuis l'interface spécifiée dans la ligne.

   Voici un exemple de fichier de configuration spécifiant deux interfaces par le nom de l'interface :

   ActiveClient = 10.10.6.45, 2003, ifname=eth0
   ActiveClient = 10.10.6.45, 2003, ifname=eth1
   NullAuthPermit = YES

   Copier

   Voici un exemple de fichier de configuration spécifiant deux interfaces en fonction de l'adresse IP de l'interface :

   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.100
   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.100
   NullAuthPermit = YES

   Copier

   Voici un exemple de fichier de configuration spécifiant deux interfaces à l'aide de spécifications CIDR contenant l' adresse IP de l'interface :

   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.0/24
   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.0/24
   NullAuthPermit = YES

   Copier
3. Enregistrez le fichier de configuration. Veillez à enregistrer le fichier au format ASCII pour éviter les erreurs.
4. Redémarrez le redirecteur de paquets en exécutant la commande suivante :

   sudo /etc/init.d/rpcapd restart

   Copier

   Remarque :

   Pour réinstaller le redirecteur de paquets après avoir modifié le fichier de configuration, exécutez la commande d'installation et remplacez <extrahop_ip> et <extrahop_port> avec le –k drapeau afin de préserver le fichier de configuration modifié. Par exemple : sudo sh ./install-rpcapd.sh –k Copier

Pour les serveurs dotés de plusieurs interfaces, vous pouvez configurer le redirecteur de paquets pour qu'il transfère des paquets depuis une interface particulière ou depuis plusieurs interfaces en modifiant son fichier de configuration sur le serveur.

1. Après avoir installé le redirecteur de paquets sur le serveur, ouvrez le fichier de configuration : C:\Program Files\rpcapd\rpcapd.ini
   Le fichier de configuration contient ce texte ou un texte similaire :

   ActiveClient = 10.0.0.100,2003
   NullAuthPermit = YES

   Copier
2. Modifiez la ligne ActiveClient existante et créez une ligne ActiveClient pour chaque interface supplémentaire à surveiller. Spécifiez chaque interface par son nom d'interface ou son adresse IP.

   ActiveClient = <extrahop_ip>, <extrahop_port>, ifname=<interface_address>

   Copier

   Où <interface_address> est l'adresse IP de l' interface à partir de laquelle les paquets sont transférés et <interface_address> peut être soit l'adresse IP elle-même, telle que 10.10.1.100, soit une spécification CIDR (adresse IP réseau/longueur du préfixe de sous-réseau) contenant l'adresse IP, telle que 10.10.1.0/24.

   ou

   ActiveClient = <extrahop_ip>, <extrahop_port>, ifaddr=<interface_name>

   Copier

   Où <interface_name> est le nom de l'interface à partir de laquelle les paquets sont transférés. Le nom est formaté comme suit : \Device\NPF_{<GUID>}, où <GUID> est l'identifiant global unique (GUID) de l'interface. Par exemple, si le GUID de l'interface est 2C2FC212-701D-42E6-9EAE-BEE969FEFB3F, le nom de l'interface est \Device\NPF_{2C2FC212-701D-42E6-9EAE-BEE969FEFB3F}.

   Voici un exemple de fichier de configuration spécifiant deux interfaces avec l'adresse IP de l'interface :

   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.100
   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.100
   NullAuthPermit = YES

   Copier

   Voici un exemple de fichier de configuration spécifiant deux interfaces avec des spécifications CIDR contenant l' adresse IP de l'interface :

   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.0/24
   ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.0/24
   NullAuthPermit = YES

   Copier

   Voici un exemple de fichier de configuration spécifiant deux interfaces avec le nom de l'interface :

   ActiveClient = 10.10.6.45, 2003, ifname=\Device\NPF_{2C2FC212-701D-42E6-9EAE-BEE969FEFB3F}
   ActiveClient = 10.10.6.45, 2003, ifname=\Device\NPF_{3C2FC212-701D-42E6-9EAE-BEE969FEFB3F}
   NullAuthPermit = YES

   Copier
3. Enregistrez le fichier de configuration (.ini). Veillez à enregistrer le fichier au format ASCII pour éviter les erreurs.
4. Redémarrez le redirecteur de paquets en exécutant la commande suivante :

   restart-service rpcapd

   Copier

   Remarque :

   Pour réinstaller le logiciel de transfert de paquets après avoir modifié le fichier de configuration, exécutez la commande d'installation et remplacez -RpcapIp et -RpcapPort avec le -KeepConfig drapeau pour conserver le fichier de configuration modifié. Par exemple : .\install-rpcapd.ps1 -MgmtIp <extrahop_ip> -KeepConfig Copier ou .\install-rpcapd.ps1 –InputDir . -KeepConfig Copier

Par défaut, le système ExtraHop accepte les paquets transférés sur le port 2003. Les serveurs utilisant le logiciel tap sont dirigés de manière à transférer tout le trafic, comme indiqué par le caractère générique (*) dans le Adresse de l'interface colonne.

1. Accédez à la section Paramètres RPCAP et cliquez sur 2003.
2. Changez et modifiez les paramètres sur la page Ajouter une définition de port RPCAP.

   Port

   Spécifie le port d'écoute du système ExtraHop. Chaque port doit être unique pour chaque sous-réseau d'interface sur le même serveur. Il est possible de configurer différents sous-réseaux entre les serveurs pour le même port.

   Adresse de l'interface

   Spécifie un sous-réseau sur le serveur de transfert de paquets. Si le serveur possède plusieurs interfaces qui correspondent à l'adresse de l'interface, la première interface du serveur envoie le trafic au système ExtraHop sauf si le nom de l'interface est spécifié.

   Nom de l'interface

   Indique l'interface du serveur de transfert de paquets à partir de laquelle les paquets doivent être transférés.

   Remarque :

   Vous devez spécifier une adresse d'interface ou un nom d' interface. Si vous spécifiez les deux, les deux critères s'appliqueront.

   Filtre

   Spécifie le trafic à transférer à l'aide de la syntaxe du filtre de paquets Berkeley. Par exemple, TCP port 80 transmet uniquement le trafic TCP sur le port 80, et not TCP port 80 transmet uniquement le trafic non TCP sur le port 80.

3. Cliquez Enregistrer.

Pour connaître la quantité de données filaires que le système ExtraHop reçoit du redirecteur de paquets  :

1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address> et cliquez sur Réglages du système icône.
2. Cliquez État du système pour obtenir plus d'informations sur le trafic transféré. Cette page affiche un graphique des paquets et du débit pour chaque robinet logiciel connecté au système ExtraHop.
   

   Le RPCAP Les graphiques de paquets et de débit contiennent quatre métriques :

   Encapsulation

   Nombre total de paquets d'encapsulation RPCAP reçus par le système ExtraHop.

   Tunnel éligible

   Nombre total de paquets éligibles à être transférés vers le système ExtraHop.

   Tunnel envoyé

   Nombre total de paquets tunnelisés RPCAP transférés vers le système ExtraHop.

   Tunnel reçu

   Nombre total de paquets tunnelisés RPCAP reçus par le système ExtraHop.

   Les valeurs d'éligibilité, de tunnel envoyé et de tunnel reçu sont égales si le système ExtraHop reçoit et traite tous les paquets envoyés par le serveur. Si les valeurs ne sont pas égales, envisagez les options de résolution des problèmes suivantes :

   • Si Tunnel Sent est inférieur à Tunnel Eligible, le serveur n'est pas en mesure de transférer tout le trafic. Ce comportement peut indiquer que le transfert de paquets nécessite davantage de ressources de traitement ou de bande passante sortante sur le serveur. Envisagez de séparer le processus de transfert vers un processeur distinct ou d'allouer une interface dédiée au transfert du trafic.
   • Si Tunnel Received est inférieur à Tunnel Sent, le système ExtraHop ne reçoit pas tout le trafic transféré par le serveur. Ce comportement peut être dû à un encombrement du réseau ou à des ressources insuffisantes sur le système ExtraHop. Si vous pensez qu'il s'agit de ce dernier cas, contactez le support ExtraHop.
3. Après avoir vérifié que le système ExtraHop reçoit du trafic, quittez État du système statistiques de page et d'affichage dans l' interface utilisateur Web d'ExtraHop.

Pour supprimer le logiciel d'un serveur Windows ou de votre poste de travail Windows :

1. Accédez au Menu Démarrer et sélectionnez Panneau de commande.
2. Sélectionnez Désinstaller un programme.
3. Sélectionnez Service RPCAP pour Windows.
4. Dans la boîte de dialogue contextuelle, cliquez sur Supprimer.
5. Lorsque la suppression est terminée, cliquez sur Fermer.