Roque nos enviou mais uma dica interessante para os Switches HP 5800. O modelo permite a captura de pacotes no formato .pcap salvando o arquivo na memória Flash, de forma que depois copiado via TFTP para um servidor  como o  Wireshark por exemplo, o tráfego coletado poderá ser analisado.

Conforme o comando display abaixo é possível validar algumas possibilidades  (comandos de um HP 5800AF-48G com a versão do Comware 5.20.106)

<Switch>packet capture ?
acl          Specify the ACL
buffer       Packet capture buffer
buffer-size  Specify the capture buffer size
length       Specify the maximum size of entry in the buffer
mode         Specify capture mode
schedule     Schedule the capture at a specific time
start        Start to capture immediately
stop         Pause capture

Abaixo, fiz uma tradução livre do procedimento de configuração do “Configure Guide” do Switch HP 5800 em uma rede IPv4.

1. Ativando a função de captura de pacotes no Switch:
Crie a ACL 2000 permitindo pacotes com a origem 192.168.1.0/24

<Switch> system-view
[Switch] acl number 2000
[Switch-acl-basic-2000] rule permit source 192.168.1.0 0.0.0.255
[Switch-acl-basic-2000] quit
[Switch] quit

Configure o Switch para capturar pacotes baseando-sw na ACL 2000 e então inicie a captura dos pacotes.

<Switch> packet capture start acl 2000

Vizualize o status da captura dos pacotes

<Switch> display packet capture status
Current status : In process
Mode : Linear
Buffer size : 2097152 (bytes)
Buffer used : 1880 (bytes)
Max capture length : 68 (bytes)
ACL information : Basic or advanced IPv4 ACL 2000
Schedule datetime: Unspecified
Upper limit of duration : Unspecified (seconds)
Duration : 13 (seconds)
Upper limit of packets : Unspecified
Packets count : 10
The output shows that packet capture is ongoing.

2. Salvando o resultado da captura de pacotes:
Pare a captura de pacotes.

<Switch> packet capture stop
Salvando o conteúdo do buffer na memoria flash com o nome test.pcap
<Switch> packet capture buffer save test.pcap
Visualize os arquivos da memória Flash.
<Switch> dir
Directory of flash:/
0 -rw- 1860 Sep 21 2012 12:52:58 test.pcap
1 drw- - Apr 26 2012 12:00:38 seclog
2 -rw- 10479398 Apr 26 2012 12:26:39 logfile.log

Libere os recursos do sistema após finalizar a captura de pacotes

<Switch> undo packet capture

Copie o arquivo test.pcap via servidor FTP ou TFTP e analise os pacotes através de softwares como o Wireshark.

O espelhamento de VLANs é uma técnica que permite que o Switch efetue a cópia dos pacotes de uma VLAN para uma porta do Switch.

Essa técnica é bastante utilizada quando precisamos analisar o comportamento de alguma rede como por exemplo, para identificação de vírus, acessos “estranhos”, etc.

No cenário abaixo efetuaremos a cópia do tráfego da vlan 99 do Switch para o Servidor de Análise. A comunicação da VLAN 99 com qualquer host ou servidor da rede não será afetada pois o Switch direcionará apenas a cópia do tráfego!

Configuração

#
vlan 99
#
traffic classifier TRAFEGO operator and
if-match any
! Criando a política para dar match no tráfego, nesse caso, qualquer tráfego (any)
! ( é possível inclusive vincular uma ACL para filtrar o tráfego)
#
traffic behavior ESPELHAR
mirror-to interface Ethernet1/0/7
!  Criando o behavior para o espelhamento [para a interface Ethernet1/0/7]
#
qos policy ESPELHAMENTO
classifier TRAFEGO behavior ESPELHAR
! Vinculando o tráfego com o comportamento na policy
#
qos vlan-policy ESPELHAMENTO vlan 99 inbound
! Vinculando a policy para a vlan 99
#

No servidor de coleta poderíamos utilizar os Softwares TCPDump, Wireshark, etc para monitorar o tráfego.