Network Security Platform 40 千兆位主动故障旁路套件手册

Size: px

Start display at page:

Download "Network Security Platform 40 千兆位主动故障旁路套件手册"

牡邮韦
5 years ago
Views:

1 修订版 C McAfee Network Security Platform (40 千兆位主动故障旁路套件手册 ) 串联部署 McAfee Network Security Platform IPS Sensor 时, 通过指定的端口对路由所有入站流量但有时 Sensor 可能因维护目的或端口中断等原因而关闭如发生此类情况, 您可能想要继续允许流量通过, 并且避免中断对于此类要求, 您可以考虑使用名为故障旁路模块的外部设备故障旁路模块可以是主动故障旁路模块, 也可以是被动故障旁路模块主动故障旁路模块会持续监控 Sensor 状态其工作原理是通过端口发送检测信号数据包检测信号数据包由任一 Monitoring( 监控 ) 端口发出, 并由另一端口接收, 表示 Sensor 在正常运行本文档介绍了 McAfee 40 千兆位主动故障旁路套件 ( 以下简称套件 ) 内含物品安装方法以及使用方法, 该套件用于配备标准 40 千兆位 QSFP+ 监控端口的 McAfee Network Security Sensor (Sensor) NS9x00 型号 Sensor 上的 40 千兆位监控端口默认为失效关闭 ; 因此, 如果采用串联模式部署 Sensor, 则发生硬件故障时会造成网络中断监控端口的故障旁路工作模式要求使用此套件提供的可选外部主动故障旁路模块在 Sensor 正常的串联故障旁路工作期间, 主动故障旁路套件会向监控端口对发送检测信号数据包 ( 默认为 1 个 / 毫秒 ; 用户可配置 ) 如果主动故障旁路套件在设置的间隔时间内 ( 默认为 5 毫秒 ; 用户可配置 ) 没有收到 5 个检测信号, 则主动故障旁路套件会切换到旁路模式, 这会将 Sensor 从流量路径中删除, 以提供持续的端对端数据流 ( 但未经检测 ) 默认情况下, 主动故障旁路模块配置为在主动 / 串联切换模式下工作, 此时, 公共网络和专用网络之间的流量将经由 Sensor 路由通常, 从公共网络流入端口 NET0 的流量 ( 网络流入 ) 会被主动故障旁路模块主动传输到端口 MON0( 设备流入 ), 然后经由串联设备路由到端口 MON1( 设备流出 ) 主动切换功能随后将通过端口 NET1 路由数据并将其传输到专用网络此模式同样支持反方向的运行, 即将流量从专用网络路由到公共网络在拆分 TAP 模式下, 流入 NET0 的入口流量在被传递到 NET1 时将被镜像到 MON0 同时, 流入 NET1 的入口流量将镜像到 MON1 并被传递到 NET0 公共网络与专用网络之间的双向流量可由配备双 NIC 的设备监控当 Sensor 出现故障时, 交换机自动切换到旁路状态 ; 串联模式下的流量将继续流过网络链路, 但不再通过 Sensor 路由在旁路模式下, 流量将经由封闭环从端口 NET0( 网络流入 ) 路由到端口 NET1( 网络流出 ) 并绕过 Sensor, 以便这些流量可直接从公共网络传输到专用网络此模式同样支持反方向的运行, 即将流量从专用网络路由到公共网络 Sensor 恢复正常工作后, 交换机将切换回开启状态并再次启用串联监控外部主动旁路会启用即插即用连接, 包括自动检测信号, 但所有连接的设备上都不需要安装额外的驱动程序主动故障旁路模块具备一个 I/O 通道, 支持一台设备, 并提供以下功能 : 安全 Web 管理界面 ( 使用 HTTPS) 通过串行控制台或 SSH 访问 CLI SNMPv3 支持 1

2 硬件说明前面板以太网管理端口 (1) RS232(RJ45) 控制台端口 (1) USB 端口 (1) 带有热插拔 QSFP+ 收发器的 40G 故障旁路模块端口 (2) 40G-SR4( 多模式 ) 40G-BiDi( 多模式 ) LED A 部分 : 机箱 LED 指示灯电源 LED 指示灯 (PS1 和 PS2) 控制台端口 (RS232) 活动 / 链路系统状态 LED 指示灯 (Sys Ok Sys Up 和 ALM) 模块电源 LED 指示灯 (M1 M2 和 M3) 管理端口活动 / 链路 LED B 部分 :40G 故障旁路模块 LED 指示灯串联模式非串联模式 ( 旁路 /Tap/ 断开 ) 检测信号 (HB) 检测信号到期 (HB Exp) 后面板电源 1 电源 2 风扇部件 (4) 电源设备上的 LED 指示灯电源打开 - 绿色长亮待机 - 绿色闪烁电源故障 - 红色长亮内部风扇故障 (4 个风扇中的任何一个 )- 红色闪烁 2

3 1 安装主动故障旁路模块和机箱开始之前请确保您已购买 40G 主动故障旁路机箱标识要安装故障旁路机箱的机架如果使用物理 Sensor, 请确保可以物理连接机箱与监控端口先将主动故障旁路模块插入其中一个 ( 共 3 个 ) 可用插槽, 然后再给机箱通电有关详细信息, 请参阅将故障旁路模块连接到 Sensor 第 8 页 3

4 您可以在单个机箱中最多安装 3 个故障旁路模块您可以在机箱通电后, 随时在机箱中安装主动故障旁路模块然而, 模块热插拔也并非全部支持, 因为插入模块后, 需要重新启动系统才能激活新插入的模块迈克菲建议您先将主动故障旁路模块插入插槽再打开电源 a 安装机箱的安装耳 b 安装导轨 4

5 c 将导轨安装到机箱上导轨包括 : 与 40G 主动故障旁路机箱连接的内轨安装在 4 柱机架上的外轨 a 将内轨槽对准机箱扶手 ( 如下图所示 ) b 将内轨推向机箱后部以将其锁定 c 用导轨随附螺钉将内轨固定到机箱上 5

6 d 将外轨装配到 4 柱机架上 e 拉出外轨臂 6

然后才能将其从机箱移除 40 千兆位模块所用的机箱不同于 10/1 千兆位模块迈克菲建议您先关闭机箱电源再拆卸或插入 40

7 f 将机箱连接到外轨上, 然后按下卡夹将机箱推入机架 g 将螺钉插入机箱的安装耳以固定机箱 40G 主动故障旁路模块已就绪, 可随时将其连接到 Sensor 2 将主动故障旁路模块从机箱移除开始之前您必须先确保故障旁路模块已断开电源, 然后才能将其从机箱移除 40 千兆位模块所用的机箱不同于 10/1 千兆位模块迈克菲建议您先关闭机箱电源再拆卸或插入 40 千兆位主动故障旁路模块请注意, 在 Web 界面的援助选项卡下, 重新启动或关闭电源等操作针对的是机箱, 而不是单个 40 千兆位模块 7

8 按照本节所述步骤断开故障旁路模块的电源并将其移除 a 使用 Web 界面或 CLI 命令提示符断开故障旁路模块的电源如果使用 Web 界面, 单击援助选项卡并勾选系统还原部分中的断开电源复选框要访问 Web 界面, 请参阅通过 Web 界面管理主动故障旁路模块第 11 页如果您使用的是 CLI 命令提示符, 请输入 power_off 并按 Enter 若要使用 CLI 命令提示符, 请参阅配置 40G 主动故障旁路机箱参数第 9 页 b 断开故障旁路模块的电源后, 请移除松不脱螺钉, 然后将模块滑出机箱 3 连接故障旁路模块为了准确地检测到攻击,Sensor 必须了解哪些是网络外部的流量, 哪些是网络内部的流量通过正确连接故障旁路模块电缆以及在 Manager 中正确配置 Sensor 监控端口, 可识别流量方向将故障旁路模块连接到 Sensor 要连接故障旁路模块, 请执行以下操作 a 使用安装耳安装故障旁路模块 b 将 QSFP+(BiDi 或 SR4 型 ) 收发器插入故障旁路模块端口 (MON0 和 MON1) c 将内部网络电缆接头 (LC MM 或 MTP/MPO MM 型 ) 插入主动故障旁路模块上标有 NET0 的网络端口中 8

9 d 将此电缆的另一端插入相应的网络设备 e 将外部网络电缆接头插入主动故障旁路模块上标有 NET1 的网络端口 (LC MM 或 MTP/MPO MM 型 ) 中 f g h i j 将此电缆的另一端插入相应的网络设备将适用的光纤电缆 ( 内部 ) 插入 Sensor 的监控端口将此电缆的另一端插入到主动故障旁路模块上标有 MON0 的设备端口中将适用的光纤电缆 ( 外部 ) 插入相应的对等端口 ( 例如, 如果在步骤 1 中使用 1, 则将此电缆插入端口 2) 将此电缆的另一端插入到主动故障旁路模块上标有 MON1 的设备端口中使用此电缆配置,Sensor 监控端口 1 可查看来自网络内部的流量, 而端口 2 可查看来自网络外部的流量请注意, 此配置 (1 为外部,2 为内部 ) 必须与为此 Sensor 指定的端口配置匹配, 并且这些端口必须已启用有关通过 Manager 实现的端口配置的详细信息, 请参阅 McAfee Network Security PlatformIPS 管理手册 4 配置 40G 主动故障旁路机箱参数您可以通过控制台端口 ( 串行终端模拟器 ) 以及经由管理端口 (SSH 远程外壳模拟器 ) 上的安全 HTTPS 连接进行的 Web 管理访问命令行界面 a b c 确保机箱电源已打开使用 RJ45 RS232 控制台电缆将运行超级终端的 PC 连接到主动故障旁路套件机箱启动超级终端, 并设置以下通信参数每秒位数 : 停止 :1 数据位 :8 数据流控制 : 无奇偶校验 : 无 d 单击确定随即将显示 CLI 横幅和登录提示默认用户名和密码均为 McAfee00 密码可配置 e 按照以下操作进行配置 : a 使用命令 set_ip 设置 40G 主动故障旁路机箱 IP b c 分别使用命令 set_gateway 和 set_netmask 设置网关和掩码重新启动机箱 f 要查看交换机配置, 请使用 get_params 命令重置密码如果您忘记了用户名和 / 或密码, 而且即使借助登录提示信息仍无法想起正确密码, 请执行以下步骤来重置密码同时按住 40G 主动故障旁路机箱上的 M1 和 M3 按钮 >= 10 秒时间, 将用户名和密码重置为出厂默认设置 9

默认的用户名和密码均为 McAfee00 设备参数将被设置为默认出厂参数您需要对 SSH 和 Web GUI 连接重新配置 IP/ 掩码 / 网关 5 配置 Sensor 监控端口开始之前 Sensor 必须在与 Manager 服务器之间建立信任关系后进行设置 Sensor 包含一个空端口对, 可在串联主动故障旁路模式下部署当完成 Sensor 与故障旁路模块的接线后,

10 默认的用户名和密码均为 McAfee00 设备参数将被设置为默认出厂参数您需要对 SSH 和 Web GUI 连接重新配置 IP/ 掩码 / 网关 5 配置 Sensor 监控端口开始之前 Sensor 必须在与 Manager 服务器之间建立信任关系后进行设置 Sensor 包含一个空端口对, 可在串联主动故障旁路模式下部署当完成 Sensor 与故障旁路模块的接线后, 会假设您已将必要的收发器模块插入到 Sensor 第一次设置 Sensor 时, 其端口默认为禁用必须手动配置 Sensor 端口以供串联故障旁路操作 a 在 Manager 中, 前往设备 <Admin_Domain_Name> 设备 <Device_Name> 设置物理端口 b 双击任一可配置端口, 如 G2/1 窗口右侧会出现配置面板 c 单击状态下拉列表并选择启用鉴于此配置还会影响端口 G2/2, 系统会询问您是否继续 d 单击是以继续这样就启用了端口 G2/1-G2/2 e 单击模式下拉菜单并选择串联故障旁路 - 主动 f 单击放置下拉列表并选择内部网络或外部网络, 具体取决于想要配置端口的方式 10

迈克菲建议选择 Gx/1 作为内部网络, 并选择 Gx/2 作为外部网络 g 单击保存 Sensor 和故障旁路模块即完成设置当有流量通过端口时, 您会注意到端口链接状态更改为打开并且变为绿色 6 通过 Web 界面管理主动故障旁路模块如果配置了 40G 主动故障旁路机箱的 IPv4 地址, 则可以选择通过 Web 界面来管理故障旁路模块 a 若要访问 40G 主动故障旁路机箱

11 迈克菲建议选择 Gx/1 作为内部网络, 并选择 Gx/2 作为外部网络 g 单击保存 Sensor 和故障旁路模块即完成设置当有流量通过端口时, 您会注意到端口链接状态更改为打开并且变为绿色 6 通过 Web 界面管理主动故障旁路模块如果配置了 40G 主动故障旁路机箱的 IPv4 地址, 则可以选择通过 Web 界面来管理故障旁路模块 a 若要访问 40G 主动故障旁路机箱 Web 界面, 请输入已经配置的机箱的 IPv4 地址此时登录屏幕上会出现故障旁路模块 Web 界面其中会显示默认模块或插槽 1 (1:1) 要访问其他 2 个模块, 请单击下拉箭头并选择插槽 (2:1 或 3:1) 您还可以使用 set_seg x y CLI 命令从 CLI 命令提示符更改模块其中,x 代表模块编号 ;y 代表段 b 若要登录, 请输入默认用户名和密码, 即 McAfee00 11

12 您会转到故障旁路 Web 界面登录页面, 在此会显示有关故障旁路模块中已配置的现有设置信息必要设置的配置步骤已在相关部分中进行了解释 7 启用故障旁路模块的 Tap 模式开始之前配置 40G 主动故障旁路机箱的 IPv4 地址请确保可以使用网页浏览器访问 40G 主动故障旁路机箱 Web 界面如果使用 Tap 将网络通信路由至 Sensor 监控端口, 则可以为 40G 主动故障旁路机箱启用 Tap 模式 a 登录 40G 主动故障旁路机箱的 Web 界面使用默认凭据来访问 Web 界面确保选择了正确的模块您还可以使用 set_seg x y CLI 命令从 CLI 命令提示符更改模块其中,x 代表模块编号 ;y 代表段 b 单击旁路选项卡访问旁路配置页面 c 单击 HB 活动模式下拉菜单并选择关闭 d 在主动旁路部分中, 选择 Tap e 单击应用以保存配置您已将主动故障旁路设置为 Tap 工作模式 12

13 从 Tap 模式返回到串联模式 a 单击旁路选项卡访问旁路配置页面 b 单击 HB 活动模式下拉菜单并选择打开 c 单击应用以保存配置您已重新配置故障旁路模块以串联模式运行禁用 2 端口链路 ( 链路故障检测 ) 如果某个网络端口或链路关闭, 则 2 port link (2 端口链路 )( 链路故障检测 ) 功能可确保相应的对等端口或链路也已关闭要禁用 2 端口链路, 请执行以下步骤 : a b 单击旁路选项卡访问旁路配置页面转至高级功能部分 c 将 2 port link (2 端口链路 ) 功能设置为关闭默认情况下, 2 port link (2 端口链路 ) 处于启用状态 d 单击应用以保存配置此时已禁用 2 port link (2 端口链路 ) 8 按 SNMP 陷阱配置通知开始之前若要配置 SNMP 陷阱, 您需要可作为 SNMP 服务器运行的服务器 SNMP 服务器可以是任何安装了 MIB 浏览器 ( 例如 ireasoning) 的 Windows 或 Linux 系统请确保可在网络中访问 40G 主动故障旁路机箱 IP 地址请确保 SNMP 服务器和 40G 主动故障旁路机箱可以通信此外, 您需要获得 MIB 文件以解码 40G 主动故障旁路机箱发送的警报代码这些文件特定于 40G 主动故障旁路机箱, 可单击以下链接 KB86247 获得 40G 主动故障旁路机箱的 SNMP 功能只能用于通过 SNMP 陷阱发送通知 a b c d 将 RJ-45 电缆连接到 40G 主动故障旁路机箱正面的管理端口将另一端连接到网络设备, 以便 SNMP 服务器可通过网络访问将故障旁路模块 MIB 文件复制到 SNMP 服务器上的适当位置登录 Web 界面设置 40G 主动故障旁路机箱 IP 地址网络掩码和 SNMP 管理器 IP 地址有关登录 Web 界面的详细信息, 请参阅通过 Web 界面管理主动故障旁路模块第 11 页您还可以配置特定于 SNMP 陷阱的其他各类参数有关这些命令的详细信息, 请参阅配置 40G 主动故障旁路机箱参数第 9 页 13

14 e 在 Web 界面中, 单击 SNMP 选项卡此时会显示 SNMP 配置页面 f g 若要配置 SNMP 服务器 IPv4 地址, 请在服务器 IP 字段中输入该地址所用凭据为故障旁路模块的默认凭据 ( 可选 ) 如果想要配置多个 SNMP 帐户, 请在 SNMP 陷阱帐户部分中, 选择操作下拉菜单内的配置如果没有配置其他 SNMP 陷阱帐户, 则所有的陷阱会路由到已在此设置的主 SNMP 陷阱帐户 h i 输入其他帐户的 IPv4 地址 ( 可选 ) 您可以指定备用 SNMPv3 密码用于其他 SNMP 服务器只有支持 SNMPv1 和 SNMPv2c 协议的设备才能使用 SNMP 团体字符串 SNMPv3 使用用户名和密码进行身份验证, 同时还需要加密密钥只要您使用的 SNMP 软件要求您配置团队字符串, 您就可以进行配置, 无论用户界面的要求为何 j k 单击应用以保存配置在 SNMP 服务器中, 配置以下设置来启用主动故障旁路套件的 SNMPv3 陷阱 USM 用户 :McAfee00 身份验证密码 :McAfee00 安全级别 :auth, priv 隐私算法 :AES 身份验证算法 :SHA 隐私密码 :McAfee00 14

l m 加载 MIB 文件如果没有相应的 MIB 文件, 请联系 McAfee 支持请确保 SNMP 服务器和故障旁路模块均可以通过网络进行通信您已配置了主动故障旁路模块将 SNMP 陷阱发送至 SNMP 服务器您还已经提供了配置多个 SNMP 陷阱帐户的选项访问 SNMP 服务器查看触发器 9 验证安装按照以下步骤以确认您的设备运行正常 a 当与 Sensor

15 l m 加载 MIB 文件如果没有相应的 MIB 文件, 请联系 McAfee 支持请确保 SNMP 服务器和故障旁路模块均可以通过网络进行通信您已配置了主动故障旁路模块将 SNMP 陷阱发送至 SNMP 服务器您还已经提供了配置多个 SNMP 陷阱帐户的选项访问 SNMP 服务器查看触发器 9 验证安装按照以下步骤以确认您的设备运行正常 a 当与 Sensor 的连接处于串联模式时, 如果出现下列情况, 则表示串联模式安装成功 : IN LINE LED 指示灯为绿色长亮 BYP/TAP/DISC LED 指示灯熄灭 HB LED 指示灯为绿色闪烁 b 当与 Sensor 的连接处于旁路模式时, 如果出现下列情况, 则表示串联模式安装成功 : 10 故障排除 IN LINE LED 指示灯熄灭 BYP/TAP/DISC LED 指示灯为琥珀色长亮 HB LED 指示灯为绿色闪烁在 Sensor 的普通串联故障旁路运行中,Sensor 上的控制端口会向故障旁路交换机供电和发送检测信号数据包如果该信号在 4 秒的时间间隔内没有发送至故障旁路交换机, 则故障旁路交换机会从数据路径中删除 Sensor, 并进入旁路模式, 以提供基本无网络中断的持续数据流当故障旁路交换机处于旁路模式时, 流量将绕过 Sensor 直接通过交换机传输 15

16 Sensor 恢复正常工作后, 根据导致 Sensor 故障的活动, 可能需要 ( 也可能不需要 ) 从 Manager 界面手动重新启用监控端口下面一节介绍如何将 Sensor 恢复为串联模式 Sensor 发生故障时会怎样? 当 Sensor 在故障旁路模块就位的情况下发生故障时, 下列事件将按先后顺序发生 Manager 在系统状况窗格中报告 Sensor in bad health (Sensor 健康状况不良 ) 或 Port pair is in bypass mode ( 端口对处于旁路模式 ) 错误 Sensor 重新启动, 并且故障旁路模块开始转发流量然后所有流量将绕过 Sensor 并流经故障旁路模块, 同时基本无流量中断 ( 在毫秒内 ) 重新启动完成时,Sensor 恢复其检测信号, 并发生以下某种情况 : 如果重新启动发生在上述正常运行期间, 则故障旁路模块将继续通过 Sensor 传送数据, 且 Sensor 恢复为串联故障旁路模式如果由于错误导致重新启动, 则故障旁路模块将继续绕过 Sensor, 直到管理员在 Manager 中手动重新启用 Sensor 端口在重新启用端口之后, 故障旁路模块将继续通过 Sensor 传送数据, 且 Sensor 恢复为串联模式 Manager 上的错误得以清除, 并报告健康状况正常常见问题和解决方案本节将列出一些常见的安装问题及其解决方案问题可能的原因解决方案网络或链路问题 Sensor 正在工作, 但不监控流量交换机和路由器上出现 Runt( 残帧 ) 或 Giant( 超长帧 ) 错误 Manager 的 Operational Status ( 工作状态 ) 页中出现 Switch absent ( 缺少交换机 ) 系统故障电缆连接或端口配置不正确网络设备电缆已断开连接在 Sensor 中没有启用 Sensor 端口电缆连接或端口配置不正确电缆连接不正确请确保传输和接收电缆已正确连接到故障旁路模块检查电缆, 并确保将其正确连接到网络设备和故障旁路模块 Sensor 发生故障时, 端口将被禁用 ; 必须在 Manager 中重新启用这些端口才能恢复 Sensor 监控功能请确保传输和接收电缆已正确连接到故障旁路模块请确保传输和接收电缆已正确连接到故障旁路模块 16

17 17

18 18

19 19

Network Security Platform 主动故障旁路套件快速入门手册

Network Security Platform 主动故障旁路套件快速入门手册主动故障旁路套件快速入门手册修订版 B McAfee Network Security Pltform 串联部署 McAfee Network Security Pltform IPS Sensor 时, 通过指定的端口对路由所有入站流量但有时 Sensor 可能因维护目的或端口中断等原因而关闭如发生此类情况, 您可能想要继续允许流量通过, 并且避免中断对于此类要求, 您可以考虑使用名为故障旁路交换机的外部设备