====== Инструкция по установке СКАТ на зеркало трафика====== 
{{indexmenu_n>3}}
Установка DPI на зеркалированный трафик позволяет исключить воздействие DPI на реальный трафик. 
В режиме обработки только зеркала трафика поддерживается следующая функциональность:
  - [[dpi:dpi_options:opt_statistics|]]
  - [[dpi:dpi_options:opt_filtration|]]
  - [[dpi:dpi_options:opt_notify|]]

===== Предварительная настройка ===== 
  - Подготовьте сервер согласно [[dpi:dpi_brief:dpi_requirements|требованиям]] 
  - Установите и настройте [[veos:first_install:ipsetincenos|ОС VEOS]]
  - Установите [[veos:first_install:ipsetincenos|IP адрес]] 
  - В [[dpi:techsupport_info|Service Desk]] подайте заявку на установку лицензии и fastDPI

===== Схема зеркалирования для экспорта статистики =====
Рекомендуется использовать оптические сплиттеры для отправки зеркала трафика на СКАТ, тем самым есть возможность разделить направление upload (трафик от абонента) и download (трафик к абоненту) по разным физическим портам на СКАТ:
  * upload подается в in_dev
  * download подается в out_dev
<code>
   # Зеркало upload трафика, исходящий от абонентов в интернет - порт 02:00.0, 02:00.2
in_dev=02-00.0:02-00.2
   # Зеркало download трафика, входящий к абонентам из интернет - порт 02:00.1, 02:00.3
out_dev=02-00.1:02-00.3
</code>

Чтобы отключить пересылку трафика между портами in_dev <-> out_dev используется настройка: 
<code> tap_mode=1 </code>
[[dpi:qoe_analytics:implementation_administration:configuration_setup:dpi|]]


===== Схема зеркалирования для фильтрации трафика и отправки уведомлений =====
Возможно использовать несколько интерфейсов для приема зеркала трафика и один ответный интерфейс для отправки ответов в сторону абонента и хоста:
    *''01-00.0, 01-00.1, 01-00.2'' - принимают зеркало трафика;
    *''01-00.3'' - подключен к маршрутизатору, который принимает и перенаправляет ответы абонентам и в интернет.
    
Для настройки DPI в режиме зеркалирования в конфигурации нужно указать следующее:

Установить в конфигурации для входящих портов ''in_dev'' порты, которые принимают зеркало трафика:
<code bash>
in_dev=01-00.0:01-00.1:01-00.2
</code>

Установить в конфигурации для исходящих портов ''tap_dev'' порт, на который отправляется ответ о переадресации:
<code bash>
tap_dev=01-00.3
</code>

<note important>Для отправки ответов в режиме зеркалирования правильно использовать дополнительную карту 1GbE, например, intel i350 (будет установлен DPDK драйвер, нельзя совмещать с портом управления), сконфигурировать в системе отдельный порт для отправки переадресации **tap_dev**, а 10GbE порты задействовать под потоки зеркалированного трафика **in_dev**.</note>

Указать режим работы --- асимметричный:
<code bash>
asym_mode=1
</code>

Указать направление ответов ''tap_dev'':
<code bash>
emit_direction=2
tap_mode=2
</code>

Чтобы включить отправку ответов TCP RST и HTTP Redirect с отдельного tap_dev порта используется настройка: 
<code> tap_mode=2 </code>
Важно, что в режиме tap_mode=2 пересылка между in_dev <-> out_dev останется, в случае если эти порты присутствуют в конфигурации.\\


В режиме фильтрации на зеркале DPI конкурирует с оригинальным сайтом по скорости ответа и не может подавить (drop)
оригинальный запрос, то возможны пропуски в фильтрации из-за потерь пакетов в линии между tap_dev портом и абонентом в процессе доставки абоненту.
Установить количество повторов, если есть потери в сети:
<code bash>
emit_duplication=3 
#Где 3 - это количество повторов (дублей) пакета с редиректом или блокировкой
</code>

Указать, что необходимо сбрасывать VLAN тег при отправке ответов:
<code bash>
strip_tap_tags=1
</code>
  
Прописать смену MAC:
<code bash>
replace_source_mac=00:25:90:E9:43:59 # - MAC адрес карты tap_dev - 17-00.3
replace_destination_mac=78:19:F7:0E:B1:F4 # - MAC адрес маршрутизатора, или маршрутизирующего коммутатора
</code>

===== Схема реализации фильтрации на зеркале и описание работы =====
{{ dpi:dpi_brief:install_point_ssg:mirror.png?nolink&900 |}}

<note important> При обнаружении запроса на запрещенный ресурс СКАТ отправляет в сторону абонента (IP1) HTTP Redirect для переадресации запроса на страницу-заглушку.\\ В сторону запрещенного ресурса (IP2) направляется пакет TCP RST, который сбрасывает соединение. Блокировка (HTTPS) и переадресация (HTTP) происходит, так как СКАТ отвечает на запрос от IP1 быстрее чем IP2. </note> 

===== Заголовок ответного IP пакета =====
  * **Destination MAC** --- MAC адрес порта маршрутизатора, куда подключен ответный линк.
  * **Source MAC** --- MAC адрес карты ''out_dev''.
  * **Source IP** --- IP адрес запрещенного ресурса IP2.
  * **Destination IP** --- IP адрес пользователя IP1.

===== Пример настройки маршрутизатора для приема ответов =====
Порт на маршрутизаторе, куда включен ответный линк от СКАТ, должен быть сконфигурирован как обычный L3 порт. Задача принять пакет от СКАТ и на основе общих таблиц маршрутизации направить его абоненту.

Пример конфигурации:\\
В сторону Juniper MX подключен ''eth1''
<code bash>
#На стороне MX настройки:
description from_SKAT_redirect;
unit 0 {
  family inet {
  address a.b.c.d/30;
  }
}
</code>