Contents

Introduction

Informações de Apoio

Capturas de pacotes em AsyncOS versões 7.x e posterior

Iniciar ou Parar uma Captura de Pacote

Funcionalidade de Captura de Pacotes

Capturas de pacotes em AsyncOS versões 6.x e anteriores

Iniciar ou Parar uma Captura de Pacote

Filtros de Captura de Pacotes

Detecção e investigação de rede adicionais

TCPSERVICES

NETSTAT

REDE

ETHERCONFIG

TRACEROUTE

PING

Introduction

Este documento descreve como configurar e coletar capturas de pacotes no Cisco Email Security Appliance (ESA) e executar investigação de rede e solução de problemas adicionais.

Informações de Apoio

Ao entrar em contato com o Suporte Técnico da Cisco com um problema, talvez seja solicitado que você forneça informações sobre as atividades de rede de saída e entrada do ESA. O dispositivo permite interceptar e exibir o TCP, IP e outros pacotes que são transmitidos ou recebidos pela rede à qual o dispositivo está conectado. Você pode querer executar uma captura de pacotes para depurar a configuração da rede ou verificar o tráfego de rede que chega ou sai do dispositivo.

Note: Este documento faz referência ao software que não é mantido ou suportado pela Cisco. As informações foram disponibilizadas como cortesia para sua conveniência. Para obter mais assistência, entre em contato com o fornecedor do software.

É importante observar que o tcpdump O comando CLI é substituído pelo novo packetcapture em AsyncOS versões 7.0 e posteriores. Esse comando oferece funcionalidade semelhante à tcpdump e também está disponível para uso na GUI.

Se você executar o AsyncOS versão 6.x ou anterior, consulte as instruções sobre como usar o comando tcpdump na seção Capturas de pacote em AsyncOS versões 6.x e anteriores deste documento. Além disso, as opções de filtro descritas na seção Filtros de Captura de Pacotes também são válidas para o novo comando de captura de pacotes.

Capturas de pacotes em AsyncOS versões 7.x e posterior

Esta seção descreve o processo de captura de pacotes nas versões 7.x e posteriores do AsyncOS.

Iniciar ou Parar uma Captura de Pacote

Para iniciar uma captura de pacote da GUI, navegue até o menu Ajuda e suporte na parte superior direita, escolha Captura de pacote e clique em Iniciar captura. Para interromper o processo de captura de pacotes, clique em Parar Captura.

Note: Uma captura que começa na GUI é preservada entre sessões.

Para iniciar uma captura de pacote da CLI, insira o comando packetcapture > start comando. Para interromper o processo de captura de pacotes, insira o comando packetcapture > stop e o ESA interrompe a captura de pacotes quando a sessão termina.

Funcionalidade de Captura de Pacotes

Aqui está uma lista de informações úteis que você pode usar para manipular as capturas de pacotes:

- O ESA salva a atividade do pacote capturado em um arquivo e o armazena localmente. Você pode configurar o tamanho máximo do arquivo de captura de pacote, o tempo durante o qual a captura de pacote é executada e em qual interface de rede a captura é executada. Você também pode usar um filtro para limitar a captura de pacotes ao tráfego através de uma porta ou tráfego específico de um cliente ou endereço IP do servidor específico.

- Navegue até Help and Support > Packet Capture da GUI para exibir uma lista completa dos arquivos de captura de pacotes armazenados. Quando uma captura de pacote é executada, a página Captura de pacote exibe o status da captura em andamento com as estatísticas atuais, como o tamanho do arquivo e o tempo decorrido.

- Escolha uma captura e clique em Baixar arquivo para baixar uma captura de pacote armazenada.

- Para excluir um arquivo de captura de pacote, escolha um ou mais arquivos e clique em Excluir arquivos selecionados.

- Para editar as configurações de captura de pacote com a GUI, escolha Captura de pacote no menu Ajuda e suporte e clique em Editar configurações.

- Para editar as configurações de captura de pacote com a CLI, insira o comando packetcapture > setup comando.

Note: A GUI exibe apenas as capturas de pacotes que começam na GUI, não aquelas que começam com a CLI. Da mesma forma, a CLI exibe apenas o status de uma captura de pacote atual que começou na CLI. Somente uma captura pode ser executada por vez.

Tip: Para obter informações adicionais sobre opções de captura de pacotes e configurações de filtro, consulte a seção Filtros de Captura de Pacotes deste documento. Para acessar a Ajuda On-line do AsyncOS na GUI, navegue para Ajuda e suporte > Ajuda on-line > pesquisar por Captura de pacote > escolha Executando uma captura de pacote.

Capturas de pacotes em AsyncOS versões 6.x e anteriores

Esta seção descreve o processo de captura de pacotes nas versões 6.x e anteriores do AsyncOS.

Iniciar ou Parar uma Captura de Pacote

Você pode usar o comando tcpdump para capturar o TCP/IP e outros pacotes que são transmitidos ou recebidos através de uma rede à qual o ESA está conectado.

Conclua estes passos para iniciar ou parar uma captura de pacote:

1. Digite o diagnostic > network > tcpdump no CLI do ESA. Aqui está um exemplo de saída:

example.com> diagnostic

Choose the operation you want to perform:

- RAID - Disk Verify Utility.

- DISK_USAGE - Check Disk Usage.

- NETWORK - Network Utilities.

- REPORTING - Reporting Utilities.

- TRACKING - Tracking Utilities.

[]> network

Choose the operation you want to perform:

- FLUSH - Flush all network related caches.

- ARPSHOW - Show system ARP cache.

- SMTPPING - Test a remote SMTP server.

- TCPDUMP - Dump ethernet packets.

[]> tcpdump

- START - Start packet capture

- STOP - Stop packet capture

- STATUS - Status capture

- FILTER - Set packet capture filter

- INTERFACE - Set packet capture interface

- CLEAR - Remove previous packet captures

[]>

2. Defina a interface (Dados 1, Dados 2 ou Gerenciamento) e o filtro.

Note: O filtro usa o mesmo formato do Unix  tcpdump comando.

3. Escolha START para iniciar a captura e STOP para terminá-la.

Note: Não saia do menu tcpdump enquanto a captura estiver em andamento. Você deve usar uma segunda janela CLI para executar qualquer outro comando. Quando o processo de captura estiver concluído, você deverá usar a cópia segura (SCP) ou o protocolo de transferência de arquivos (FTP) de sua área de trabalho local para fazer o download dos arquivos do diretório chamado Diagnostic (consulte a seção Filtros de captura de pacotes para obter detalhes). Os arquivos usam o formato de Captura de Pacotes (PCAP) e podem ser revisados com um programa como Ethereal ou Wireshark.

Filtros de Captura de Pacotes

O Diagnostic > NET O comando CLI usa a sintaxe de filtro tcpdump padrão. Esta seção fornece informações sobre os filtros de captura tcpdump e fornece alguns exemplos.

Estes são os filtros padrão usados:

- ip - Filtros para todo o tráfego de protocolo IP

- tcp - Filtros para todo o tráfego do protocolo TCP

- ip host - Filtros para uma origem ou um destino de endereço IP específico

Aqui estão alguns exemplos dos filtros em uso:

- ip host 10.1.1.1 - Este filtro captura qualquer tráfego que inclua 10.1.1.1 como origem ou destino.

- ip host 10.1.1.1 ou ip host 10.1.1.2 - Esse filtro captura o tráfego que contém 10.1.1.1 ou 10.1.1.2 como origem ou destino.

Para recuperar o arquivo capturado, navegue para var > log > diagnostic ou data > pub > diagnostic para acessar o diretório Diagnostic.

Note: Quando esse comando é usado, ele pode fazer com que o espaço em disco do ESA seja preenchido e também pode causar degradação no desempenho. A Cisco recomenda que você use esse comando apenas com a ajuda de um engenheiro do TAC da Cisco.

Detecção e investigação de rede adicionais

Note: Os métodos abaixo só podem ser utilizados na CLI.

TCPSERVICES

O tcpservices exibirá informações de TCP/IP para os processos atuais do sistema e do recurso.

example.com> tcpservices

System Processes (Note: All processes may not always be present)

ftpd.main    - The FTP daemon

ginetd       - The INET daemon

interface    - The interface controller for inter-process communication

ipfw         - The IP firewall

slapd        - The Standalone LDAP daemon

sntpd        - The SNTP daemon

sshd         - The SSH daemon

syslogd      - The system logging daemon

winbindd     - The Samba Name Service Switch daemon

Feature Processes

euq_webui    - GUI for ISQ

gui          - GUI process

hermes       - MGA mail server

postgres     - Process for storing and querying quarantine data

splunkd      - Processes for storing and querying Email Tracking data

COMMAND      USER         TYPE NODE   NAME

postgres     pgsql        IPv4 TCP    127.0.0.1:5432

interface    root         IPv4 TCP    127.0.0.1:53

ftpd.main    root         IPv4 TCP    10.0.202.7:21

gui          root         IPv4 TCP    10.0.202.7:80

gui          root         IPv4 TCP    10.0.202.7:443

ginetd       root         IPv4 TCP    10.0.202.7:22

java         root         IPv6 TCP    [::127.0.0.1]:18081

hermes       root         IPv4 TCP    10.0.202.7:25

hermes       root         IPv4 TCP    10.0.202.7:7025

api_serve    root         IPv4 TCP    10.0.202.7:6080

api_serve    root         IPv4 TCP    127.0.0.1:60001

api_serve    root         IPv4 TCP    10.0.202.7:6443

nginx        root         IPv4 TCP    *:4431

nginx        nobody       IPv4 TCP    *:4431

nginx        nobody       IPv4 TCP    *:4431

java         root         IPv4 TCP    127.0.0.1:9999

NETSTAT

Este utilitário exibe conexões de rede para o Transmission Control Protocol (entrada e saída), tabelas de roteamento e várias estatísticas de interface de rede e protocolo de rede.

example.com> netstat

Choose the information you want to display:

1. List of active sockets.

2. State of network interfaces.

3. Contents of routing tables.

4. Size of the listen queues.

5. Packet traffic information.

Example of Option 1 (List of active sockets)

Active Internet connections (including servers)

Proto Recv-Q Send-Q Local Address          Foreign Address        (state)

tcp4       0      0 10.0.202.7.10275       10.0.201.4.6025        ESTABLISHED

tcp4       0      0 10.0.202.7.22          10.0.201.4.57759       ESTABLISHED

tcp4       0      0 10.0.202.7.10273       a96-17-177-18.deploy.static.akamaitechnologies.com.80  TIME_WAIT

tcp4       0      0 10.0.202.7.10260       10.0.201.5.443     ESTABLISHED

tcp4       0      0 10.0.202.7.10256       10.0.201.5.443     ESTABLISHED

Example of Option 2 (State of network interfaces)

Show the number of dropped packets? [N]> y

Name    Mtu Network       Address              Ipkts Ierrs Idrop     Ibytes    Opkts Oerrs     Obytes  Coll  Drop

Data 1    - 10.0.202.0    10.0.202.7        110624529     -     - 117062552515 122028093     - 30126949890     -     -

Example of Option 3 (Contents of routing tables)

Routing tables

Internet:

Destination        Gateway            Flags      Netif Expire

default            10.0.202.1         UGS         Data 1

10.0.202.0         link#2             U           Data 1

10.0.202.7         link#2             UHS         lo0

localhost.example. link#4             UH          lo0

Example of Option 4 (Size of the listen queues)

Current listen queue sizes (qlen/incqlen/maxqlen)

Proto Listen         Local Address

tcp4  0/0/50         localhost.exampl.9999

tcp4  0/0/50         10.0.202.7.7025

tcp4  0/0/50         10.0.202.7.25

tcp4  0/0/15         10.0.202.7.6443

tcp4  0/0/15         localhost.exampl.60001

tcp4  0/0/15         10.0.202.7.6080

tcp4  0/0/20         localhost.exampl.18081

tcp4  0/0/20         10.0.202.7.443

tcp4  0/0/20         10.0.202.7.80

tcp4  0/0/10         10.0.202.7.21

tcp4  0/0/10         10.0.202.7.22

tcp4  0/0/10         localhost.exampl.53

tcp4  0/0/208        localhost.exampl.5432

Example of Option 5 (Packet traffic information)

input           nic1           output

packets  errs idrops      bytes    packets  errs      bytes colls drops

49     0     0       8116         55     0       7496     0     0

REDE

O subcomando network em diagnóstico fornece acesso a opções adicionais. Você pode usá-lo para limpar todos os caches relacionados à rede, mostrar o conteúdo do cache ARP, mostrar o conteúdo do cache NDP (se aplicável) e permitir que você teste a conectividade SMTP remota usando SMTPPING.

example.com> diagnostic

Choose the operation you want to perform:

- RAID - Disk Verify Utility.

- DISK_USAGE - Check Disk Usage.

- NETWORK - Network Utilities.

- REPORTING - Reporting Utilities.

- TRACKING - Tracking Utilities.

- RELOAD - Reset configuration to the initial manufacturer values.

- SERVICES - Service Utilities.

[]> network

Choose the operation you want to perform:

- FLUSH - Flush all network related caches.

- ARPSHOW - Show system ARP cache.

- NDPSHOW - Show system NDP cache.

- SMTPPING - Test a remote SMTP server.

- TCPDUMP - Dump ethernet packets.

[]>

ETHERCONFIG

O etherconfig permite que você visualize e configure algumas das configurações relacionadas a duplex e informações MAC para interfaces, VLANs, interfaces de loopback, tamanhos de MTU e aceitação ou rejeição de respostas ARP com um endereço multicast.

example.com> etherconfig

Choose the operation you want to perform:

- MEDIA - View and edit ethernet media settings.

- VLAN - View and configure VLANs.

- LOOPBACK - View and configure Loopback.

- MTU - View and configure MTU.

- MULTICAST - Accept or reject ARP replies with a multicast address.

[]>

TRACEROUTE

Exibe a rota de rede para um host remoto. Como alternativa, você pode usar o comando traceroute6 se você tiver um endereço IPv6 configurado em pelo menos uma interface.

example.com> traceroute google.com

Press Ctrl-C to stop.

traceroute to google.com (216.58.194.206), 64 hops max, 40 byte packets

1 68.232.129.2 (68.232.129.2) 0.902 ms

68.232.129.3 (68.232.129.3) 0.786 ms 0.605 ms

2 139.138.24.10 (139.138.24.10) 0.888 ms 0.926 ms 1.092 ms

3 68.232.128.2 (68.232.128.2) 1.116 ms 0.780 ms 0.737 ms

4 139.138.24.42 (139.138.24.42) 0.703 ms

208.90.63.209 (208.90.63.209) 1.413 ms

139.138.24.42 (139.138.24.42) 1.219 ms

5 svl-edge-25.inet.qwest.net (63.150.59.25) 1.436 ms 1.223 ms 1.177 ms

6 snj-edge-04.inet.qwest.net (67.14.34.82) 1.838 ms 2.086 ms 1.740 ms

7 108.170.242.225 (108.170.242.225) 1.986 ms 1.992 ms

108.170.243.1 (108.170.243.1) 2.852 ms

8 108.170.242.225 (108.170.242.225) 2.097 ms

108.170.243.1 (108.170.243.1) 2.967 ms 2.812 ms

9 108.170.237.105 (108.170.237.105) 1.974 ms

sfo03s01-in-f14.1e100.net (216.58.194.206) 2.042 ms 1.882 ms

PING

O ping permite testar a acessibilidade de um host usando o endereço IP ou o nome do host e fornece estatísticas relacionadas à possível latência e/ou quedas na comunicação.

example.com> ping google.com

Press Ctrl-C to stop.

PING google.com (216.58.194.206): 56 data bytes

64 bytes from 216.58.194.206: icmp_seq=0 ttl=56 time=2.095 ms

64 bytes from 216.58.194.206: icmp_seq=1 ttl=56 time=1.824 ms

64 bytes from 216.58.194.206: icmp_seq=2 ttl=56 time=2.005 ms

64 bytes from 216.58.194.206: icmp_seq=3 ttl=56 time=1.939 ms

64 bytes from 216.58.194.206: icmp_seq=4 ttl=56 time=1.868 ms

64 bytes from 216.58.194.206: icmp_seq=5 ttl=56 time=1.963 ms

--- google.com ping statistics ---

6 packets transmitted, 6 packets received, 0.0% packet loss

round-trip min/avg/max/stddev = 1.824/1.949/2.095/0.088 ms