Blog CCIE

Aujourd’hui, un client que je suis depuis un moment m’a contacté pour exprimer un besoin assez spécifique: permettre à un IDS de détecter une potentielle tentative d’attaque en général en provenance d’Internet et/ou du routage inter-VLAN en utilisant une solution basée sur Snort.

L’entreprise ne voulant pas faire de frais supplémentaires en achetant des équipements ou extensions IDS/IPS, nous allons devoir respecter cette contrainte et faire avec ce que nous avons, des équipements réseaux Cisco.

Topologie

Voici la topologie type à laquelle nous avons à faire:

Le routeur que vous voyez ici a déjà des sous-interfaces de configurées pour assurer le routage inter-VLAN. Il permet également aux hôtes via du NAT de pouvoir accéder à Internet.

De façon assez logique, pour permettre le bon travail de cette solution, il faudra vous assurer que l’IDS recevra systématiquement une copie des trames qui émanent ou sont destinées au routeur(traffic Internet et routage inter-VLAN).

SPAN et RSPAN

Et c’est là où SPAN et RSPAN interviennent!

Ces deux technologies vont vous permettre de faire ce qu’on appelle du port-mirroring, c’est-à-dire vous permettre de pouvoir répliquer en temps réel des trames qui sont envoyées et reçues sur une source donnée(un port) et donc de les répliquer(au choix sur un VLAN ou sur un port directement selon le cas). En réalité, selon le cas de figure, nous allons faire un choix entre SPAN et RSPAN.

SPAN remplit sa tâche quand vous faites du port-mirroring d’un port à un autre sur le même switch(si vous vous limitez à l’utilisation de SPAN, vous ne pourrez répliquer l’information qu’uniquement sur un autre port local de votre switch).

RSPAN quant à lui nous permet d’envoyer nos données non pas sur un port local uniquement mais sur une VLAN dédiée au remote span, ce qui nous permettra ici de pouvoir faire suivre la réplication du traffic d’un switch à un autre.

Choix de la technologie

Si vous examinez avec attention le schéma de topologie que nous avons, vous vous apercevez que nous n’aurons en réalité pas d’autres choix que d’utiliser du RSPAN, tout simplement car l’IDS n’est pas connecté directement au switch qui est au plus près du routeur.

Nous devrons donc nécessairement faire « suivre » le traffic capturé de Switch1 à Switch2 par le biais d’une VLAN dédiée au remote-span. Cela sera la VLAN 99 qui sera choisie par exemple pour jouer le rôle de cette VLAN dédiée.

Enfin, si l’on veut avoir le traffic inter-VLAN et Internet nécessairement répliqué vers l’IDS, on s’appliquera à se rapprocher le plus du routeur, c’est-à-dire le port fa0/1 de Switch1.

Juste avant de passer à de la configuration pure et dure, résumons:

• Switch 1
  • Capture du traffic source port fa0/1 en envoi et en réception(TX et RX)
  • Envoi de ce traffic vers la VLAN remote-span 99

• Switch 2
  • Capture du traffic en provenance du VLAN remote-span 99
  • Envoi vers le port local du switch fa0/2

Configuration

Côté configuration, vous pouvez penser à tort que c’est compliqué.

Et bien, la réalité est qu’en l’espace d’une dizaine de commandes et si vous avez bien entendu tout planifié correctement, vous pouvez mettre en place ce mécanisme sans aucun problème.

Switch 1

! On crée la VLAN et on la désigne comme VLAN de remote-span
Switch1(config)# vlan 99
Switch1(config-vlan)# remote-span
Switch1(config-vlan)# exit
! On caractérise la source en TX et en RX
Switch1(config)# monitor session 1 source interface fa0/1 both
! Et la destination, ici la VLAN 99
! Le reflector-port nous permet de nous passer de limitations
! matérielles qui nous empêcheraient de répliquer le traffic
! vers le RSPAN VLAN. Ce port sera en le désignant comme
! reflector non disponible pour tout type de traffic. On désigne
! donc généralement donc un port non-utilisé.
Switch1(config)# monitor session 1 destination remote vlan 99 reflector-port fa0/24
! On filtre également la VLAN 20 pour éviter la transmission en
! double de trames à destination ou venant du serveur IDS.
Switch1(config)# monitor session 1 filter vlan 20

Switch 2

! Même chose, on crée la VLAN de remote-span
Switch2(config)# vlan 99
Switch2(config-vlan)# remote-span
Switch2(config-vlan)# exit
! On capture les trames venant de la VLAN de remote-span
Switch2(config)# monitor session 1 source remote vlan 99
! On envoie sur le port où est connecté le serveur IDS
Switch2(config)# monitor session 1 destination interface fa0/2

Et voilà, nous avons déjà terminé cette implémentation!

Pour vérifier que tout cela fonctionne bien, vous pouvez taper la commande en mode privilégié d’exécution sur les deux switchs:

Switch1# show monitor session 1
Session 1
---------
Source Ports:
    RX Only:       None
    TX Only:       None
    Both:          Fa0/1
Dest RSPAN VLAN:   99

Switch2# show monitor session 1
Session 1
---------
Source Ports:
    RX Only:       None
    TX Only:       None
    Both:          None
Source RSPAN VLAN: 99
Destination Ports : fa0/2

La force de ce type de technologie est qu’elle est totalement native pour les switchs Cisco(selon les modèles et l’IOS utilisés bien entendu).

Sans rien toucher à la topologie physique et en n’engageant aucun frais supplémentaires, nous avons répondu au besoin du client.

– Julien