Захват сетевого трафика on Alertix NTA

Подключение источника SPAN или TAP

Mon, 01 Jan 0001 00:00:00 +0000

Сначала выберите отдельный адаптер для копии трафика и проверьте, что зеркалируются оба направления. Интерфейс управления должен оставаться доступным независимо от обработки трафика. Если один поток приходит с нескольких зеркал, разберите топологию до включения всех адаптеров: дубликаты усложняют восстановление сессий и интерпретацию статистики.

Сопоставьте физический порт с MAC-адресом и драйвером в Linux.
Найдите соответствующий элемент networkAdapters в ethercap.json. При автоматическом обнаружении новые адаптеры добавляются выключенными.
Установите enabled: true только у выбранного адаптера. Сохраните идентификаторы mac и driver.
Проверьте режим захвата, фильтры и доступные ресурсы. Примените настройки и проверьте ethcap.log.
Выполните известный запрос из наблюдаемого сегмента. Сверьте его с протокольным журналом или событием у получателя.

Режим и ресурсы захвата

Mon, 01 Jan 0001 00:00:00 +0000

Файл /opt/alertixnta/config/ethercap.json содержит общие параметры, controlSection, массив адаптеров и настройки парсеров. Если присутствует объект controlSection.capture, режим берётся из capture.mode; значение captureMode в этом случае не определяет активный режим.

Таблица. Выбор механизма захвата

Значение	Механизм	Когда использовать
afpkt	AF_PACKET; исходный режим	Удобен для первоначальной настройки через стандартный сетевой стек Linux.
afxdp	AF_XDP	Требует поддержки XDP адаптером; не требует привязки к драйверу DPDK.
dpdk	DPDK	Требует соответствующего пакета, hugepages и предварительной привязки адаптера к совместимому драйверу.

Значение

Механизм

Когда использовать

afpkt

AF_PACKET; исходный режим

Удобен для первоначальной настройки через стандартный сетевой стек Linux.

afxdp

AF_XDP

Требует поддержки XDP адаптером; не требует привязки к драйверу DPDK.

dpdk

DPDK

Требует соответствующего пакета, hugepages и предварительной привязки адаптера к совместимому драйверу.

Таблица. Параметры controlSection

Пороговые ограничения сессий

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Параметры controlSection.tcpLimits

Параметр	Значения	Назначение и особенности
init	Целое ≥ 0; 1500000	Порог полуоткрытых TCP-сессий. При достижении новые сессии учитываются без DPI.
soft	Целое ≥ init; 6000000	Мягкий предел числа сессий. Новые сессии сверх него учитываются без разбора; действующие не вытесняются.
hard	Целое ≥ soft; 9000000	Жёсткий предел. Новые TCP-сессии не отслеживаются до освобождения ресурсов.

Параметр

Значения

Назначение и особенности

init

Целое ≥ 0; 1500000

Порог полуоткрытых TCP-сессий. При достижении новые сессии учитываются без DPI.

soft

Целое ≥ init; 6000000

Мягкий предел числа сессий. Новые сессии сверх него учитываются без разбора; действующие не вытесняются.

hard

Целое ≥ soft; 9000000

Жёсткий предел. Новые TCP-сессии не отслеживаются до освобождения ресурсов.

Пороги задаются для экземпляра службы и делятся между потоками. Счётчик resource_exceeding показывает обработку без разбора из-за ограничений. Если он растёт, проверьте число активных сессий, распределение по потокам и память. Простое увеличение hard может переместить проблему из ограничения сессий в исчерпание RAM.

Адаптеры и фильтры

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Поля networkAdapters

Параметр	Значения	Назначение и особенности
mac и driver	MAC-адрес и имя драйвера	Совместно идентифицируют адаптер. Сохраняйте значения обнаруженной записи.
enabled	true / false; false для нового адаптера	Разрешает захват.
description	Строка	Описание, обычно имя интерфейса ОС.
bus_info	Строка	Информация о шине, в том числе PCI-адрес. Полезна при сопоставлении портов.
comment	Строка	Назначение порта, источник зеркала и обслуживаемый сегмент.
filter.enabled	true / false; false	Включает BPF-фильтр адаптера.
filter.data	BPF-выражение	Определяет пакеты, допускаемые к обработке данным адаптером.

Параметр

Значения

Назначение и особенности

mac и driver

MAC-адрес и имя драйвера

Совместно идентифицируют адаптер. Сохраняйте значения обнаруженной записи.

enabled

true / false; false для нового адаптера

Разрешает захват.

description

Строка

Описание, обычно имя интерфейса ОС.

bus_info

Строка

Информация о шине, в том числе PCI-адрес. Полезна при сопоставлении портов.

comment

Строка

Назначение порта, источник зеркала и обслуживаемый сегмент.

filter.enabled

true / false; false

Включает BPF-фильтр адаптера.

filter.data

BPF-выражение

Определяет пакеты, допускаемые к обработке данным адаптером.

{
 "mac": "00:11:22:33:44:55",
 "driver": "ixgbe",
 "enabled": true,
 "description": "enp3s0",
 "comment": "SPAN сегмента серверов",
 "filter": {
 "enabled": true,
 "data": "not host 192.0.2.50"
 }
}

Парсеры и запись трафика

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Параметры парсеров

Параметр	Значения	Назначение и особенности
nativeParsers[].protocol	Идентификатор протокола	Например http, dns, smtp, quic, ssh. Наличие записи не превращает массив в разрешающий список.
nativeParsers[].enabled	true / false; true при отсутствии записи	Включает конкретный нативный парсер.
nativeParsers[].processData	true / false; true при отсутствии записи	Разрешает обработку содержимого парсером.
luaParsers[].script	Имя файла	Сценарий из scripts/eth-sessions/.
luaParsers[].enabled	true / false	Для отключения задайте false: удаление записи при reload не выгружает работающий сценарий.
recordingRules[].script	Имя файла	Правило записи из scripts/eth-packets/.
recordingRules[].enabled	true / false	Работает совместно с trafficRecordSessions.

Параметр

Значения

Назначение и особенности

nativeParsers[].protocol

Идентификатор протокола

Например http, dns, smtp, quic, ssh. Наличие записи не превращает массив в разрешающий список.

nativeParsers[].enabled

true / false; true при отсутствии записи

Включает конкретный нативный парсер.

nativeParsers[].processData

true / false; true при отсутствии записи

Разрешает обработку содержимого парсером.

luaParsers[].script

Имя файла

Сценарий из scripts/eth-sessions/.

luaParsers[].enabled

true / false

Для отключения задайте false: удаление записи при reload не выгружает работающий сценарий.

recordingRules[].script

Имя файла

Правило записи из scripts/eth-packets/.

recordingRules[].enabled

true / false

Работает совместно с trafficRecordSessions.

Важно. Парсер без отдельной записи в nativeParsers остаётся включённым с processData: true. Чтобы оставить только выбранные протоколы, остальные парсеры отключают явно. Удаление строки не отключает обработку.