Инструкция по установке СКАТ на зеркало трафика

Установка DPI на зеркалированный трафик позволяет исключить воздействие DPI на реальный трафик. В режиме обработки только зеркала трафика поддерживается следующая функциональность:

1. Экспорт статистики через IPFIX
2. Фильтрация по реестру запрещенных сайтов
3. Уведомление абонентов через Redirect

1. Подготовьте сервер согласно требованиям
2. Установите и настройте ОС VEOS
3. Установите IP адрес
4. В Service Desk подайте заявку на установку лицензии и fastDPI

Рекомендуется использовать оптические сплиттеры для отправки зеркала трафика на СКАТ, тем самым есть возможность разделить направление upload (трафик от абонента) и download (трафик к абоненту) по разным физическим портам на СКАТ:

• upload подается в in_dev
• download подается в out_dev

   # Зеркало upload трафика, исходящий от абонентов в интернет - порт 02:00.0, 02:00.2
in_dev=02-00.0:02-00.2
   # Зеркало download трафика, входящий к абонентам из интернет - порт 02:00.1, 02:00.3
out_dev=02-00.1:02-00.3

Чтобы отключить пересылку трафика между портами in_dev ↔ out_dev используется настройка:

 tap_mode=1 

Конфигурация экспорта IPFIX со СКАТ на QoE

Возможно использовать несколько интерфейсов для приема зеркала трафика и один ответный интерфейс для отправки ответов в сторону абонента и хоста:

• 01-00.0, 01-00.1, 01-00.2 - принимают зеркало трафика;
• 01-00.3 - подключен к маршрутизатору, который принимает и перенаправляет ответы абонентам и в интернет.

Для настройки DPI в режиме зеркалирования в конфигурации нужно указать следующее:

Установить в конфигурации для входящих портов in_dev порты, которые принимают зеркало трафика:

in_dev=01-00.0:01-00.1:01-00.2

Установить в конфигурации для исходящих портов tap_dev порт, на который отправляется ответ о переадресации:

tap_dev=01-00.3

Указать режим работы --- асимметричный:

asym_mode=1

Указать направление ответов tap_dev:

emit_direction=2
tap_mode=2

Чтобы включить отправку ответов TCP RST и HTTP Redirect с отдельного tap_dev порта используется настройка:

 tap_mode=2 

Важно, что в режиме tap_mode=2 пересылка между in_dev ↔ out_dev останется, в случае если эти порты присутствуют в конфигурации.

В режиме фильтрации на зеркале DPI конкурирует с оригинальным сайтом по скорости ответа и не может подавить (drop) оригинальный запрос, то возможны пропуски в фильтрации из-за потерь пакетов в линии между tap_dev портом и абонентом в процессе доставки абоненту. Установить количество повторов, если есть потери в сети:

emit_duplication=3 
#Где 3 - это количество повторов (дублей) пакета с редиректом или блокировкой

Указать, что необходимо сбрасывать VLAN тег при отправке ответов:

strip_tap_tags=1

Прописать смену MAC:

replace_source_mac=00:25:90:E9:43:59 # - MAC адрес карты tap_dev - 17-00.3
replace_destination_mac=78:19:F7:0E:B1:F4 # - MAC адрес маршрутизатора, или маршрутизирующего коммутатора

• Destination MAC --- MAC адрес порта маршрутизатора, куда подключен ответный линк.
• Source MAC --- MAC адрес карты out_dev.
• Source IP --- IP адрес запрещенного ресурса IP2.
• Destination IP --- IP адрес пользователя IP1.

Порт на маршрутизаторе, куда включен ответный линк от СКАТ, должен быть сконфигурирован как обычный L3 порт. Задача принять пакет от СКАТ и на основе общих таблиц маршрутизации направить его абоненту.

Пример конфигурации:
В сторону Juniper MX подключен eth1

#На стороне MX настройки:
description from_SKAT_redirect;
unit 0 {
  family inet {
  address a.b.c.d/30;
  }
}