Configurer la mise en miroir du trafic avec un commutateur virtuel ESXi
Cet article fait partie d’une série d’articles décrivant le chemin de déploiement pour la supervision OT avec Microsoft Defender pour IoT.
Cet article explique comment utiliser le mode Promiscuous dans un environnement vSwitch ESXi comme solution de contournement pour configurer la mise en miroir du trafic, comme un port SPAN. Un port SPAN sur votre commutateur met en miroir le trafic local des interfaces sur le commutateur vers une autre interface sur le même commutateur.
Pour plus d’informations, consultez Mise en miroir du trafic avec des commutateurs virtuels.
Prérequis
Avant de commencer, assurez-vous de bien comprendre votre plan de supervision réseau avec Defender pour IoT et les ports SPAN que vous souhaitez configurer.
Pour plus d’informations, consultez les méthodes de mise en miroir de trafic pour la surveillance OT.
Configurer une interface de supervision avec le mode de proximité
Pour configurer une interface de supervision avec le mode de proximité sur un commutateur virtuel ESXi :
Ouvrez la page des propriétés du vSwitch et sélectionnez Ajouter un commutateur virtuel Standard.
Entrez Réseau SPAN comme étiquette réseau.
Renseignez 4096 dans le champ MTU.
Sélectionnez Sécurité et vérifiez que la stratégie Mode de proximité est définie sur Accepter le mode.
Sélectionnez Ajouter pour fermer les propriétés du vSwitch.
Mettez en surbrillance le vSwitch nouvellement créé et sélectionnez Ajouter une liaison montante.
Sélectionnez la carte réseau physique que vous allez utiliser pour le trafic SPAN, remplacez le MTU par 4096 et sélectionnez Enregistrer.
Ouvrez la page propriétés Groupe de ports et sélectionnez Ajouter un groupe de ports.
Entrez Groupe de ports SPAN comme nom, renseignez 4095 comme ID de réseau local virtuel, sélectionnez Réseau SPAN dans la liste déroulante du vSwitch et choisissez Ajouter.
Ouvrez les propriétés de la machine virtuelle Capteur OT.
Pour Carte réseau 2, sélectionnez le réseau SPAN.
Sélectionnez OK.
Connectez-vous au capteur et vérifiez que la mise en miroir fonctionne.
Valider la mise en miroir du trafic
Après configuration de la mise en miroir du trafic, essayez de recevoir un échantillon du trafic enregistré (fichier PCAP) à partir du port SPAN du commutateur (ou miroir).
Un exemple de fichier PCAP vous aidera à :
- Valider la configuration du commutateur
- Vérifier que le trafic transitant par votre commutateur est pertinent pour la supervision
- Identifier la bande passante et un nombre estimé d’appareils détectés par le commutateur
Utilisez une application d’analyseur de protocole réseau, telle que Wireshark, pour enregistrer un exemple de fichier PCAP pendant quelques minutes. Par exemple, connectez un ordinateur portable à un port où vous avez configuré la supervision du trafic.
Vérifiez que des paquets de monodiffusion sont présents dans le trafic d’enregistrement. Le trafic Unicast est le trafic envoyé d’une adresse à une autre.
Si la majeure partie du trafic est constitué de messages ARP, votre configuration de mise en miroir du trafic n’est pas correcte.
Vérifiez que vos protocoles OT sont présents dans le trafic analysé.
Par exemple :
