Virtuelle TAPs

VTAP-Quellen und -Ziele

Die VTAP-Quelle ist die Ressource, die vom VTAP überwacht wird. Traffic auf dieser Ressource wird gespiegelt und an ein ausgewähltes Ziel gesendet. Die VTAP-Quelle und das VTAP-Ziel müssen in demselben VCN gehostet werden. Sie können sich in verschiedenen Compartments oder Subnetzen befinden, vorausgesetzt, Sie verfügen über die erforderlichen Berechtigungen zum Anzeigen und Arbeiten mit diesen Ressourcen. Mögliche VTAP-Quellen:

• Eine einzelne Compute-Instanz VNIC in einem Subnetz
• Load Balancer
• Datenbanksystem
• Exadata-VM-Cluster
• Autonomous Database for Analytics and Data Warehousing-Instanz mit einem privaten Endpunkt

Geben Sie für Compute-Instanzen die OCID der angehängten VNIC an. Geben Sie für die anderen Quelltypen die OCID der Serviceressource an.

​Das Ziel ist die Ressource, die von einem VTAP gespiegelten Traffic empfängt. Mögliche VTAP-Ziele:

• Network Load Balancer

Dieses Diagramm zeigt eine Beispielimplementierung eines VTAP.

In diesem Beispiel sendet die virtuelle Maschine in Subnet-A Traffic an eine andere virtuelle Maschine in Subnet-B. Der VTAP in Subnet-A prüft den Traffic, der die virtuelle Maschine verlässt. Da dieser Traffic mit dem verwendeten Erfassungsfilter übereinstimmt, spiegelt der VTAP den Traffic zum Ziel (in diesem Fall ein Network Load Balancer in Subnet-C) wider. Das Backend-Set kann dann die entsprechende Analyse für den gespiegelten Traffic ausführen.

Erfassungsfilter und -regeln

Erfassungsfilterregeln wählen aus, was in dem von der Quelle zum Ziel gespiegelten Traffic enthalten ist. Viele VTAPs können denselben Erfassungsfilter verwenden. Daher wirkt sich eine Änderung der Regeln eines Erfassungsfilters auf alle VTAPs aus, die diesen Erfassungsfilter verwenden. Ein Erfassungsfilter muss mindestens eine Regel (max. 10 Regeln) enthalten. Erfassungsfilterregeln werden in der von Ihnen definierten Reihenfolge geprüft. Wenn eine Übereinstimmung gefunden wird, wird diese Regel angewendet. Wenn für eine bestimmte Regel keine Übereinstimmung gefunden wird, wird die nächste Regel in der Sequenz ausgewertet und bei Übereinstimmung ausgeführt. Die Reihenfolge der Regeln kann das Verhalten des Erfassungsfilters ändern.

Ein Erfassungsfilter kann basierend auf den folgenden Kriterien eine Aktion ausführen (Pakete ein- oder ausschließen):

• Das Paket ist Teil des Ingress- oder Egress-Traffics.
• Das Paket ist an einen bestimmten IPv4-CIDR-Quell- oder -Zielblock oder ein IPv6-Präfix gebunden oder stammt daraus.
• Das Paket verwendet einen bestimmten IP-Protokollparameter (TCP- oder UDP-Portbereich, ICMP, ICMPv6), der vom Traffic verwendet wird, oder beliebige Protokolle (über die Standardeinstellung Alle).

Wenn eine Regel keinen CIDR-Block, kein Präfix oder kein IP-Protokoll angibt, werden alle IP-Adressen oder IP-Protokolle für diese Regel akzeptiert.

Im Folgenden finden Sie ein praktisches Beispiel für die Strukturierung eines Regelsets. Das Ziel ist, dass der gesamte Traffic von 10.1.0.0/16 eingeschlossen ist, mit Ausnahme von 10.1.1.1 (dies ist ausgeschlossen):

1. Quell-CIDR: 10.1.1.1/32, Ausschließen
2. Quell-CIDR: 10.1.0.0/16, Einschließen
3. Quell-CIDR: 10.1.1.0/24, Einschließen

Der Erfassungsfilter wertet jedes Paket im Traffic anhand der Regeln in der definierten Reihenfolge aus. Ein Paket von 10.1.1.1 entspricht der ersten Regel und wird vom gespiegelten Datenverkehr ausgeschlossen. Das Paket wird nicht mit den anderen Regeln im Set abgeglichen. Das Regelset funktioniert ordnungsgemäß.

Wenn die erste Regel auf die dritte Stelle in der angegebenen Reihenfolge verschoben wird, funktioniert das Regelset nicht mehr wie beabsichtigt:

1. Quell-CIDR: 10.1.0.0/16, Einschließen
2. Quell-CIDR: 10.1.1.0/24, Einschließen
3. Quell-CIDR: 10.1.1.1/32, Ausschließen

Da die Erfassungsfilterregeln jedes Paket im Traffic in der definierten Reihenfolge auswerten, stimmt ein Paket von 10.1.1.1 jetzt mit der ersten Regel überein und ist im gespiegelten Traffic enthalten. Weitere Regelauswertungen werden übersprungen. In diesem Beispiel werden CIDR-Blöcke verwendet, Regeln werden jedoch auf die gleiche Weise ausgewertet, unabhängig davon, welchen Quelltyp Sie auswählen.

Weitere Informationen finden Sie unter Erfassungsfilter.

Erweiterte VTAP-Features

VXLAN-Netzwerk-ID (VNI): Geben Sie eine VNI ein, um den VXLAN-Kapselungstunnel eindeutig zu identifizieren. Wenn Sie keine VNI angeben, wird eine VNI automatisch generiert.

Prioritätsmodus: Wenn Sie diese Option verwenden, erhält überwachter und gespiegelter Traffic die gleiche Priorität, wenn die Quelle überlastet ist. Standardmäßig wird der Produktionstraffic vor dem gespiegelten VTAP-Traffic priorisiert. Wenn Sie den Prioritätsmodus aktivieren, erhalten sowohl der überwachte Traffic als auch der gespiegelte VTAP-Traffic die gleiche Priorität. Wenn diese Option ausgewählt ist, kann gespiegelter Traffic dazu führen, dass einiger überwachter Traffic gelöscht wird, wenn die Quelle überlastet ist. Wenn dieser Paketverlust erkannt wird, können Sie entweder den Prioritätsmodus deaktivieren oder die Quellausprägungen upgraden, um Bandbreite freizugeben.

Anforderungen und Vorbereitung

Für die Implementierung eines VTAP sind mindestens eine gültige Quelle und ein gültiges Ziel in demselben VCN erforderlich. Diese Ressourcen müssen vorhanden sein, bevor Sie einen VTAP erstellen. Das Ziel kann sich in einem anderen Subnetz als die Quelle befinden.

Abhängigkeiten

Bei der Arbeit mit VTAPs müssen Sie einige wichtige Abhängigkeiten verstehen:

• Ein VTAP muss immer über eine Quelle, ein Ziel und einen verknüpften Erfassungsfilter verfügen.
• Ein Erfassungsfilter muss immer mindestens eine zugeordnete Regel aufweisen.
• Eine VNIC kann niemals eine Quelle für mehr als einen VTAP sein. Weitere Details finden Sie unter VTAP-Quellen und -Ziele.

Folgende erwartete Verhaltensweisen können angezeigt werden:

• Sie können keinen VTAP erstellen, ohne eine Quelle und ein Ziel anzugeben und mit einem vorhandenen Erfassungsfilter zu verknüpfen. Sie können bearbeiten, welcher Erfassungsfilter mit dem VTAP verknüpft ist. Die Verwendung eines VTAP, dem kein Erfassungsfilter zugeordnet ist, ist nicht möglich.
• Sie können keinen Erfassungsfilter löschen, der mit einem VTAP verknüpft ist. Um einen Capture-Filter zu löschen, den ein oder mehrere VTAPs verwenden, müssen Sie diesen VTAPs einen anderen Capture-Filter zuordnen, bevor Sie den Capture-Filter löschen.
• Sie sind daran gehindert, einen leeren Capture-Filter zu erstellen oder einen Capture-Filter zu bearbeiten, der keine Regeln mehr enthält.
• Wenn eine VTAP-Quelle oder ein VTAP-Ziel gelöscht wird, wird der VTAP automatisch in den Status STOPPED versetzt. Um einen aus diesem Grund gestoppten VTAP neu zu starten, bearbeiten Sie den VTAP, um eine neue gültige Quelle oder ein neues gültiges Ziel zuzuweisen. Dadurch wird der VTAP wieder in den Status RUNNING versetzt.

Erforderliche IAM Policy

Limits für IAM-Ressourcen

Eine Liste der für diesen Service spezifischen Limits finden Sie unter VTAP-Limits.