شبکه سیسکو | ضبط بسته | کاتالیست 9300X
راهنمای کامل گام به گام با استفاده از Embedded Packet Capture (EPC) – به طور کامل برای IOS-XE به روز شده است
عیب یابی مشکلات شبکه در سوئیچ Cisco Catalyst 9300X اغلب نیازمند دید عمیق ترافیکی است که از طریق یک VLAN خاص جریان دارد. چه در حال تعقیب طوفان پخش باشید، چه در حال تشخیص تأخیر برنامه یا بررسی سیاست های امنیتی، گرفتن بسته تا شواهد خام مورد نیاز را به شما بدهم.
Cisco Catalyst 9300X کار می کند IOS-XE و از یک ویژگی داخلی قدرتمند به نام پشتیبانی می کند ضبط بسته های جاسازی شده (EPC). این ابزار به شما امکان می‌دهد بسته‌های زنده را مستقیماً روی سوئیچ ضبط کنید – بدون نیاز به TAP خارجی، بدون نیاز به انعکاس پورت SPAN به یک دستگاه خارجی.
در این راهنما، دقیقاً نحوه پیکربندی، اجرا، تجزیه و تحلیل و صادرات بسته های ضبط شده در Cisco Catalyst 9300X برای یک VLAN خاص را گام به گام یاد خواهید گرفت.
📋 محتوا
- ضبط بسته های جاسازی شده (EPC) چیست؟
- پیش نیازها و الزامات
- درک استراتژی ضبط VLAN در 9300X
- گام به گام: EPC را برای یک VLAN خاص پیکربندی کنید
- فیلتر کردن توسط VLAN با استفاده از ACL ها را ضبط کنید
- شروع و متوقف کردن ضبط
- مشاهده نتایج سوئیچ گرفتن
- فایل PCAP را برای تجزیه و تحلیل Wireshark صادر کنید
- نکات پیشرفته و بهترین شیوه ها
- عیب یابی مشکلات رایج
- سوالات متداول (سؤالات متداول)
1. Embedded Packet Capture (EPC) چیست؟
ضبط بسته های جاسازی شده (EPC) یک ویژگی Cisco IOS-XE است که به مهندسان شبکه اجازه می‌دهد بدون نیاز به سخت‌افزار یا نرم‌افزار خارجی، بسته‌ها را مستقیماً روی یک روتر یا سوئیچ ضبط کنند. این به طور عمیق در هواپیمای حمل و نقل دستگاه های سیسکو ادغام شده است.
روشن Cisco Catalyst 9300X، EPC بسته ها را در سطح رابط می گیرد. شما یک نقطه ضبط را به یک رابط فیزیکی یا SVI (رابط مجازی سوئیچ شده) متصل می کنید، فیلترهای اختیاری را اعمال می کنید و نتایج را در حافظه دستگاه ذخیره می کنید (یا آنها را صادر می کنید).
✅ مزایای اصلی Catalyst 9300X EPC:
- هیچ دستگاه هدف خارجی TAP یا SPAN مورد نیاز نیست
- ورود، خروج یا هر دو جهت را ضبط کنید
- فیلتر ACL – از جمله موارد خاص VLAN
- صادرات ضبط به عنوان استاندارد pcap فایل های Wireshark
- تأثیر عملکرد صفر سوئیچینگ تولید (به کمک سخت افزار)
- پشتیبانی در IOS-XE 16.x و نسخه های جدیدتر
2. پیش نیازها و الزامات
قبل از شروع ضبط بسته، از رعایت شرایط زیر اطمینان حاصل کنید:
| مورد نیاز | جزئیات |
|---|---|
| پلت فرم | Cisco Catalyst 9300X (C9300X) |
| نسخه IOS-XE | 16.9.x یا بالاتر توصیه می شود. 17.x ترجیح داده شده است |
| دسترسی CLI | دسترسی SSH یا کنسول با سطح امتیاز 15 |
| آشنایی با VLAN ها | آشنایی با VLAN ID و رابط های مرتبط |
| فلش مموری | حداقل 50 تا 100 مگابایت رایگان در فلش یا درایو فلش قابل بوت |
| Wireshark (اختیاری) | برای تجزیه و تحلیل فایل های pcap. صادر شده در رایانه خود |
3. درک استراتژی ضبط VLAN 9300X
برخلاف روترها، Catalyst 9300X یک سوئیچ لایه 2/لایه 3 است. دو استراتژی اصلی برای جذب ترافیک خاص VLAN وجود دارد:
استراتژی A – ضبط SVI (رابط VLAN)
نقطه ضبط را به آن وصل کنید VLAN SVI (به عنوان مثال interface Vlan10). این ترافیک لایه 3 مسیریابی شده را که به این VLAN وارد یا خارج می شود را ضبط می کند. بهترین برای تجزیه و تحلیل ترافیک مسیریابی شده است.
استراتژی B – ضبط رابط فیزیکی/ترانک + فیلتر ACL VLAN
ضبط را به a وصل کنید آپلینک فیزیکی یا پورت ترانک و یک ACL اعمال کنید که توسط تگ VLAN یا زیرشبکه فیلتر می شود. بهترین گزینه برای سوئیچینگ لایه 2 و ترافیک بین VLAN روی پیوندهای ترانک.
یک نکته مهم در مورد فیلترینگ VLAN
EPC از اتصال اولیه یک نقطه ضبط به طور مستقیم به یک VLAN (دامنه سطح 2) پشتیبانی نمی کند. باید از a استفاده کنید رابط فیزیکی یا SVI به عنوان نقطه اتصال و استفاده ACL برای محدود کردن ضبط به ترافیک خاص VLAN (فیلتر مبتنی بر زیر شبکه). این راهنما هر دو روش را پوشش می دهد.
4. مرحله به مرحله: EPC را برای VLAN خاص پیکربندی کنید
ما عبور می کنیم هر دو روش زیر در مثال ما، ترافیک را برای VLAN 10 با یک زیر شبکه 192.168.10.0/24.
⚡ روش A: ضبط از طریق SVI (رابط Vlan10)
مرحله 1 – مطمئن شوید که SVI وجود دارد:
مرحله 2 – ایجاد یک بافر ضبط (مبتنی بر RAM):
monitor capture VLAN10_CAP buffer size 10 circular
مرحله 3 – یک نقطه ضبط را به SVI (هر دو جهت) وصل کنید:
monitor capture VLAN10_CAP interface Vlan10 both
مرحله 4 – (اختیاری) اعمال فیلتر ACL برای زیر شبکه 192.168.10.0/24:
ip access-list extended VLAN10_FILTER permit ip 192.168.10.0 0.0.0.255 any permit ip any 192.168.10.0 0.0.0.255 monitor capture VLAN10_CAP access-list VLAN10_FILTER
⚡ روش B: ضبط از طریق رابط فیزیکی/تنه
مرحله 1 – رابط ترانک حامل VLAN 10 را شناسایی کنید:
show interfaces trunk show vlan id 10
مرحله 2 – یک بافر ضبط با نام ایجاد کنید:
monitor capture VLAN10_TRUNK buffer size 20 circular
مرحله 3 – به پیوند فیزیکی بالادست (به عنوان مثال TenGigabitEthernet1/0/1) وصل کنید:
monitor capture VLAN10_TRUNK interface TenGigabitEthernet1/0/1 both
مرحله 4 – یک فیلتر ACL را برای یک زیرشبکه VLAN اعمال کنید:
monitor capture VLAN10_TRUNK access-list VLAN10_FILTER
5. ضبط فیلتر توسط VLAN با استفاده از ACL
از آنجایی که EPC 9300X مستقیماً توسط VLAN ID خام فیلتر نمی شود، تمیزترین روش فیلتر کردن بر اساس است. زیرشبکه IP مرتبط با VLAN شما. در اینجا یک مثال کامل از ACL برای سناریوهای متعدد آورده شده است:
مثال: VLAN 10 (192.168.10.0/24) – تمام ترافیک از/به VLAN 10 را ضبط کنید:
ip access-list extended VLAN10_FILTER 10 permit ip 192.168.10.0 0.0.0.255 any 20 permit ip any 192.168.10.0 0.0.0.255
مثال: فقط ترافیک HTTP/HTTPS را از VLAN 10 ضبط کنید:
ip access-list extended VLAN10_WEB 10 permit tcp 192.168.10.0 0.0.0.255 any eq 80 20 permit tcp 192.168.10.0 0.0.0.255 any eq 443 30 permit tcp any eq 80 192.168.10.0 0.0.0.255 40 permit tcp any eq 443 192.168.10.0 0.0.0.255 monitor capture VLAN10_CAP access-list VLAN10_WEB
مثال: فقط بین VLAN 10 و VLAN 20 (192.168.20.0/24) تله بزنید:
ip access-list extended VLAN10_TO_20 10 permit ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 20 permit ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 monitor capture VLAN10_CAP access-list VLAN10_TO_20
💡 مشاوره تخصصی
می توانید مطابقت دهید مطابقت با هر برای گرفتن تمام ترافیک رابط بدون فیلتر ACL، سپس در Wireshark بعداً با استفاده از فیلترهای نمایش مانند فیلتر کنید vlan.id == 10 اگر رابط فریم های برچسب گذاری شده 802.1Q را بگیرد.
6. شروع و متوقف کردن ضبط
▶ شروع ضبط:
monitor capture VLAN10_CAP start
⏸ مطمئن شوید که ضبط در حال اجرا است:
show monitor capture VLAN10_CAP
⏹ توقف ضبط:
monitor capture VLAN10_CAP stop
همچنین می توانید ضبط را بر روی تنظیم کنید به طور خودکار متوقف شود پس از یک محدودیت زمانی یا تعداد بسته ها:
# Stop after 60 seconds monitor capture VLAN10_CAP duration 60 # Stop after 1000 packets monitor capture VLAN10_CAP limit packets 1000 # Set max packet size (snaplen) monitor capture VLAN10_CAP limit packet-len 1518
✅ بهترین شیوه ها
همیشه یک مدت زمان یا محدودیت بسته را برای سوئیچ های تولید تعیین کنید تا از مصرف بیش از حد حافظه توسط بافر ضبط و تأثیر بر عملکرد سوئیچ جلوگیری شود.
7. نتایج سوئیچ گرفتن را مشاهده کنید
می‌توانید بسته‌های گرفته‌شده را مستقیماً در CLI بدون صادرات به Wireshark نمایش دهید:
نمایش خلاصه ای از تمام بسته های ضبط شده:
show monitor capture VLAN10_CAP buffer brief
نمایش رمزگشایی دقیق بسته های ضبط شده:
show monitor capture VLAN10_CAP buffer detail
نمایش dump به صورت هگز + اسکی:
show monitor capture VLAN10_CAP buffer dump
آمار ضبط را بررسی کنید:
show monitor capture VLAN10_CAP
نتیجه فیلدهایی مانند: حالت گرفتن (فعال/غیر فعال)، بافر در حال استفاده، بسته های دریافت شده، بسته های رها شدهو فیلتر ضبط اعمال می شود.
8. فایل PCAP را برای تجزیه و تحلیل Wireshark صادر کنید
برای تحلیل دقیق در Wiresharkبسته های ضبط شده را به عنوان یک فایل PCAP استاندارد صادر کنید. Catalyst 9300X از صادرات به فلش، سرور TFTP، سرور FTP یا HTTP پشتیبانی می کند.
گزینه 1 – صادرات به فلش محلی:
monitor capture VLAN10_CAP export flash:VLAN10_capture.pcap
گزینه 2 – صادرات به سرور TFTP:
monitor capture VLAN10_CAP export
tftp://192.168.1.100/VLAN10_capture.pcap
گزینه 3 – صادرات به سرور FTP:
monitor capture VLAN10_CAP export
ftp://admin:password@192.168.1.50/VLAN10_capture.pcap
فایل فلش را چک کنید:
dir flash: | include pcap
📥 نحوه دانلود فایل PCAP در کامپیوتر از طریق SCP:
# From your PC terminal (Linux/Mac): scp admin@192.168.1.1:flash:VLAN10_capture.pcap ~/Downloads/ # Or use WinSCP on Windows to connect via SCP/SFTP to the
switch management IP
9. نکات پیشرفته و بهترین شیوه ها
🔁 از حالت بافر خطی در مقابل دایره ای استفاده کنید
دایره ای – وقتی بافر پر است، قدیمی‌ترین بسته‌ها بازنویسی می‌شوند. برای نظارت مداوم خوب است.
خطی – هنگامی که بافر پر است، ضبط متوقف می شود. برای گرفتن اولین بسته N یک رویداد خوب است.
monitor capture VLAN10_CAP buffer size 25 linear
📁 ضبط مستقیم در فایل فلش (به جای بافر رم)
برای عکس‌برداری‌های بزرگ یا طولانی، مستقیماً روی فلش بنویسید تا از محدودیت‌های رم جلوگیری کنید:
monitor capture VLAN10_CAP file location
flash:VLAN10_capture.pcap buffer-size 50 monitor capture VLAN10_CAP start
🧹 تمیز کردن بعد از عکسبرداری
وقتی برای آزاد کردن منابع تمام شد، همیشه پیکربندی‌های ضبط را حذف کنید:
no monitor capture VLAN10_CAP
🎯 پلاگین برای چندین رابط
می توانید همان نقطه ضبط را به چندین رابط متصل کنید:
monitor capture VLAN10_CAP interface GigabitEthernet1/0/1 both monitor capture VLAN10_CAP interface GigabitEthernet1/0/2 both
10. رفع مشکلات رایج
| یک مشکل | علت احتمالی | راه حل |
|---|---|---|
| ضبط 0 بسته را نشان می دهد | رابط معیوب، ACL بیش از حد محدود کننده، یا بدون ترافیک | رابط کاربری را بررسی کنید show monitor capture، ACL را بررسی کنید، با آن تست کنید match any |
| ضبط شروع نشد – خطا | عکس دیگری که قبلاً اجرا شده است یا پیکربندی بافر موجود نیست | اجرا کنید show monitor capture و ابتدا ضبط های موجود را متوقف/حذف کنید |
| صادر کردن به TFTP انجام نشد | سرور TFTP در دسترس نیست یا فایروال UDP 69 را مسدود می کند | بررسی در دسترس بودن با ping از یک سوئیچ؛ بررسی کنید که آیا سرور TFTP در حال اجرا است |
| بافر خیلی سریع پر می شود | حجم بالای ترافیک رابط | از یک بافر دایره ای استفاده کنید، snaplen را کاهش دهید یا فیلترهای ACL خاص تری اضافه کنید |
| SVI اطلاعات L2 گم شده را رهگیری می کند | SVI ترافیک L3 را ضبط می کند. بدون برچسب VLAN | برای مشاهده تگ های VLAN 802.1Q از ضبط رابط فیزیکی ترانک استفاده کنید |
| پردازنده بالا در هنگام عکسبرداری | بسته های ارسال شده توسط نرم افزار با سرعت بالا ضبط می شوند | گرفتن عکس با محدودیت مدت و تعداد بسته. از فیلترینگ به کمک سخت افزار استفاده کنید |
11. سوالات متداول (سؤالات متداول)
س: آیا می توانم بدون تعیین رابط، بسته ها را مستقیماً در VLAN ضبط کنم؟
پاسخ: نه مستقیم. EPC در Catalyst 9300X به یک نقطه اتصال رابط نیاز دارد – یک پورت فیزیکی یا یک SVI. سپس از یک ACL برای محدود کردن ترافیک ضبط شده به یک زیرشبکه VLAN خاص استفاده می کنید. پیوست سطح VLAN یک گزینه EPC پشتیبانی شده در این پلتفرم نیست.
س: آیا اجرای EPC بر عملکرد سوئیچ تأثیر می گذارد؟
پاسخ: Catalyst 9300X از ضبط به کمک سخت‌افزار استفاده می‌کند، بنابراین تأثیر عملکرد برای حجم ترافیک معمولی حداقل است. با این حال، همیشه فیلترهای ACL خاص را اعمال کنید و محدودیت‌های بسته/مدت را برای دستگاه‌های تولیدی تعیین کنید تا هر گونه خطری را به حداقل برسانید.
س: حداکثر اندازه بافر برای EPC در 9300X چقدر است؟
پاسخ: حداکثر بافر در حافظه معمولاً است 100 مگابایت. برای عکس‌های بزرگتر، از عکسبرداری مبتنی بر فایل مستقیم به فلش (که بسته به فضای فلش موجود می‌تواند بزرگتر باشد) استفاده کنید.
س: آیا می توانم چندین عکسبرداری همزمان روی 9300X اجرا کنم؟
پاسخ: بله، اما با محدودیت. 9300X تعداد کمی از جلسات ضبط همزمان (معمولاً 2 تا 4) را پشتیبانی می کند. همه از حافظه بافر استفاده می کنند، بنابراین محیط های تولید را متناسب با آن برنامه ریزی کنید.
س: آیا می توانم ضبط بسته را در راه اندازی StackWise Virtual (SVL) انجام دهم؟
ج: بله. EPC روی تک تک اعضای پشته عمل می کند. رابط سوئیچ عضو را مشخص کنید (مثلا GigabitEthernet2/0/1 که در آن 2 شماره عضو پشته است). همچنین می توانید مستقیماً از رابط SVL استفاده کنید.
س: آیا فرمت فایل PCAP با Wireshark سازگار است؟
ج: بله. فایل صادر شده EPC در قالب استاندارد libpcap (pcap.) است که کاملاً با Wireshark، tshark، tcpdump و هر ابزار تجزیه و تحلیل بسته دیگری که از قالب استاندارد PCAP پشتیبانی می کند، سازگار است.
📌 مرجع سریع
ورق تقلب کامل EPC برای Catalyst 9300X VLAN Capture
# ─── STEP 1: Create ACL for VLAN 10 subnet ─────────────────────── ip access-list extended VLAN10_FILTER permit ip 192.168.10.0 0.0.0.255 any permit ip any 192.168.10.0 0.0.0.255 # ─── STEP 2: Create capture with buffer ────────────────────────── monitor capture VLAN10_CAP buffer size 10 circular # ─── STEP 3: Attach to SVI ─────────────────────────────────────── monitor capture VLAN10_CAP interface Vlan10 both # ─── OR attach to physical interface ───────────────────────────── monitor capture VLAN10_CAP interface TenGigabitEthernet1/0/1 both # ─── STEP 4: Apply ACL filter ──────────────────────────────────── monitor capture VLAN10_CAP access-list VLAN10_FILTER # ─── STEP 5: Set limits (recommended) ──────────────────────────── monitor capture VLAN10_CAP limit duration 60 packets 5000 # ─── STEP 6: Start capture ─────────────────────────────────────── monitor capture VLAN10_CAP start # ─── STEP 7: Verify capture ────────────────────────────────────── show monitor capture VLAN10_CAP # ─── STEP 8: Stop capture ──────────────────────────────────────── monitor capture VLAN10_CAP stop # ─── STEP 9: View in CLI ───────────────────────────────────────── show monitor capture VLAN10_CAP buffer brief # ─── STEP 10: Export to flash ──────────────────────────────────── monitor capture VLAN10_CAP export flash:VLAN10_capture.pcap # ─── STEP 11: Export to TFTP server ────────────────────────────── monitor capture VLAN10_CAP export tftp://192.168.1.100/VLAN10.pcap # ─── STEP 12: Cleanup ──────────────────────────────────────────── no monitor capture VLAN10_CAP
✅ نتیجه گیری
Cisco Catalyst 9300X ضبط بسته های جاسازی شده (EPC) ابزاری قدرتمند و داخلی است که در هنگام عیب یابی مشکلات ترافیکی خاص VLAN، نیاز به سخت افزار ضبط خارجی را از بین می برد.
با پیوست کردن یک نقطه ضبط به یک VLAN SVI یا یک رابط فیزیکی/ترانک – و اعمال یک ACL که با زیرشبکه IP VLAN مطابقت دارد – می‌توانید دقیقاً ترافیک مورد نیاز خود را جداسازی و تجزیه و تحلیل کنید، آن را به عنوان یک فایل PCAP استاندارد صادر کنید و آن را در Wireshark برای تجزیه و تحلیل عمیق باز کنید.
به یاد داشته باشید: همیشه محدودیت‌ها و مدت زمان‌های دسته‌ای را روی سوئیچ‌های تولید تنظیم کنید، پس از اتمام جلسات ضبط خود را تمیز کنید، و از فیلترهای ACL خاص برای به حداقل رساندن بار عملکرد استفاده کنید. شکار بسته مبارک! 🦈
برچسب ها: Cisco Catalyst 9300X | ضبط بسته | EPC | IOS-XE | عیب یابی VLAN | Wireshark | تجزیه و تحلیل شبکه | سوئیچ سیسکو
شبکه DNA
