쫑콩아빠의 지금 이 순간...

How To: Packet capture on Gigamon interface
2020. 4. 25•How to
Feature
Flow Mapping
Title
How To: Packet capture on Gigamon interface
Objective
Perform packet capture on Gigamon interface for troubleshooting.
 
Environment
HC-Series
Procedure
Please note: This feature is currently available for software version 5.4 and above.

Step1. Identify one unused port on the chassis and enable the port. This unused port will be used to capture and copy the traffic. (port type can be any). Channel port is only required in case you want to capture in direction (Tx or both). It is not required in order to capture only Rx traffic.
Rx = IfInPackets on a port.
Tx = IfOutPackets on a port.
port 1/3/x9 params admin enable
port 1/3/x9 alias unused-channel-port

Step2.  Add a capture filter to start the packet capture. 
#Example1
pcap alias nw-side
port 1/4/g16 both (Interface on which you want to capture the packets)  
channel-port 1/3/x9 (Unused port to copy the traffic)
packet-limit 20000
filter ipsrc 10.10.10.10 /32
exit

#To create another filter, please create another pcap profile.
#Example2
pcap alias IT-side
port 1/3/x11 rx
channel-port 1/3/x10
packet-limit 20000
filter ipdst 30.30.30.30 /32
exit

#Example3
pcap alias SSL
port 1/3/x11 tx
channel-port 1/3/x10
packet-limit 20000
filter ipdst 30.30.30.30 /32
exit

#Verification
show pcap alias nw-side
show pcap
show file pcap

Step3.  Reproduce the problem. 
Initiate a session between the client and server, to ensure that specific packets can be captured.

Step4. Stop the packet capture.
no pcap alias issl1
or
clear pcap all
or 
no pcap all

Step5. Verify if the packet capture file has been created.
show file pcap

Step6. Upload to your local machine or scp/tftp server. 
file pcap upload <filename> scp://user:pass@10.10.10.10/dir/folder/<filename>
file pcap delete-all
file pcap delete <filename>

Step7. Analyze the pcap file

 
Additional Notes
Filtering can be defined based on 6 conditions
IP source
IP destination
Port source
Port destination
Protocol
Tcp control
Tag
packet capture broadcom pcap bcm data port tcpdump

AFP, ASF Sample

gigamon-2c013c (config) # sh running-config
##
## Running database "initial"
## Generated at 2019/12/23 05:23:44 +0000
## Software version on which this output was taken: GigaVUE-OS 5.7.01 142718 2019-09-23 23:20:06
##
## Port level configurations
##
port 1/1/g1 type network
port 1/1/g2 type network
port 1/1/g3 type network
port 1/1/g4 type network
port 1/1/x1 type hybrid
port 1/1/x1 params admin enable
port 1/1/x2 type network
port 1/1/x2 params admin enable
port 1/1/x3 type tool
port 1/1/x3 params admin enable
port 1/1/x4 type network
port 1/1/x4 params admin enable
port 1/1/x5 type network
port 1/1/x6 type tool
port 1/1/x6 params admin enable
port 1/1/x7 type tool
port 1/1/x7 params admin enable
port 1/1/x8 type tool
port 1/1/x8 params admin enable
port 1/1/x9 type network
port 1/1/x10 type tool
port 1/1/x10 params admin enable
port 1/1/x11 type network
port 1/1/x12 type tool
port 1/1/x12 params admin enable
port 1/2/x1 type network
port 1/2/x2 type network
port 1/2/x3 type network
port 1/2/x4 type network
port 1/2/x5 type inline-net
port 1/2/x5 params admin enable speed 1000
port 1/2/x6 type inline-net
port 1/2/x6 params admin enable speed 1000
port 1/2/x7 type inline-net
port 1/2/x8 type inline-net
port 1/3/g1 type network
port 1/3/g1 params taptx passive
port 1/3/g2 type network
port 1/3/g2 params taptx passive
port 1/3/g3 type network
port 1/3/g3 params taptx passive
port 1/3/g4 type network
port 1/3/g4 params taptx passive
port 1/3/g5 type network
port 1/3/g5 params taptx passive
port 1/3/g6 type network
port 1/3/g6 params taptx passive
port 1/3/g7 type network
port 1/3/g7 params taptx passive
port 1/3/g8 type network
port 1/3/g8 params taptx passive

##
## Gigastream hash configurations
##
gigastream advanced-hash slot 1/cc1 default

##
## Gigastream configurations
##
gigastream alias T-LB-1
  port-list 1/1/x6,1/1/x8 params hash advanced
  exit
gigastream alias T-LB-2
  port-list 1/1/x10,1/1/x12 params hash advanced
  exit

##
## SAPF configurations
##
apps asf alias youtube-asf
  bi-directional enable
  buffer enable
  buffer-count-before-match 6
  packet-count disable
  protocol tcp-udp
  sess-field add ipv4-5tuple outer
  timeout 15
  exit

##
## Gsgroup configurations
##
gsgroup alias GS1 port-list 1/1/e1

##
## Gs params configurations
##
gsparams gsgroup GS1
  cpu utilization type total rising 80
  dedup-action drop
  dedup-ip-tclass include
  dedup-ip-tos include
  dedup-tcp-seq include
  dedup-timer 50000
  dedup-vlan ignore
  diameter-packet timeout 2
  diameter-s6a-session limit 10000
  diameter-s6a-session timeout 30
  eng-watchdog-timer 60
  erspan3-timestamp format none
  flow-mask disable
  flow-sampling-rate 5
  flow-sampling-timeout 1
  flow-sampling-type device-ip
  generic-session-timeout 5
  gtp-control-sample enable
  gtp-flow timeout 48
  gtp-persistence disable
  gtp-persistence file-age-timeout 30
  gtp-persistence interval 10
  gtp-persistence restart-age-time 30
  gtp-randomsample disable
  gtp-randomsample interval 12
  ip-frag forward enable
  ip-frag frag-timeout 10
  ip-frag head-session-timeout 30
  lb failover disable
  lb failover-thres lt-bw 80
  lb failover-thres lt-pkt-rate 1000
  lb replicate-gtp-c disable
  lb use-link-spd-wt disable
  node-role disable
  resource buffer-asf 2
  resource cpu overload-threshold 90
  resource hsm-ssl buffer disable
  resource hsm-ssl packet-buffer 1000
  resource inline-ssl standalone enable
  resource metadata disable
  resource packet-buffer overload-threshold 80
  resource xpkt-pmatch num-flows 0
  session logging level none
  sip-media timeout 30
  sip-nat disable
  sip-session timeout 30
  sip-tcp-idle-timeout 20
  ssl-decrypt decrypt-fail-action drop
  ssl-decrypt enable
  ssl-decrypt hsm-pkcs11 dynamic-object enable
  ssl-decrypt hsm-pkcs11 load-sharing enable
  ssl-decrypt hsm-timeout 1000
  ssl-decrypt key-cache-timeout 10800
  ssl-decrypt non-ssl-traffic drop
  ssl-decrypt pending-session-timeout 60
  ssl-decrypt session-timeout 300
  ssl-decrypt tcp-syn-timeout 20
  ssl-decrypt ticket-cache-timeout 10800
  tunnel-health-check action pass
  tunnel-health-check disable
  tunnel-health-check dstport 54321
  tunnel-health-check interval 600
  tunnel-health-check protocol icmp
  tunnel-health-check rcvport 54321
  tunnel-health-check retries 5
  tunnel-health-check roundtriptime 1
  tunnel-health-check srcport 54321
  xpkt-pmatch disable
  exit

## Gsop configurations
gsop alias youtube-gsop apf set asf set port-list GS1

## Vport configurations
vport alias vp1 gsgroup GS1
vport alias vp1 failover-action vport-bypass
vport alias vp1 outer-traffic-path to-inline-tool
vport alias vp1 inner-traffic-path to-inline-tool
vport alias vp1 deferred-binding disable
vport alias vp1 asf profile youtube-asf
vport alias vp1 mmon disable

## Inline-network configurations
inline-network alias default_inline_net_1_2_1
  pair net-a 1/2/x5 and net-b 1/2/x6
  physical-bypass disable
  traffic-path bypass
  exit

##
## Traffic map connection configurations

# 인라인네트워크에서 특정 포트로 미러패킷을 전달(전체 패킷-rx) #
map-passall alias N1-map-source-packet-rx
  roles replace admin to owner_roles
  to 1/1/x1
  from 1/2/x5
  exit
# 인라인네트워크에서 특정 포트로 미러패킷을 전달(전체 패킷-tx) #
map-passall alias N1-map-source-packet-tx
  roles replace admin to owner_roles
  to 1/1/x1
  from 1/2/x6
  exit

# 인라인네트워크에서 받은 미러패킷을 버철포트로 전달 #
map alias All-traffic
  type firstLevel byRule
  roles replace admin to owner_roles
  comment " "
  rule add pass macsrc 00:00:00:00:00:00 00:00:00:00:00:00 bidir
  to vp1
  from 1/1/x1
  exit

# 유투브사이트에서 비디오 플레이 될때 탐지함. #
map alias traffic-sapf-youtube
  type secondLevel byRule
  roles replace admin to owner_roles
  use gsop youtube-gsop
  gsrule add pass pmatch RegEx youtube|ytimg|yt3.ggpht|tubeMogul|tmogul|googlevideo|tmogulyoutu 0..1460
  to 1/1/x3
  from vp1
  exit

# PC에서 시만텍서버와 클라이언트 또는 패턴 업데이트 될때 탐지함. #
map alias traffic-sapf-symatec
  type secondLevel byRule
  roles replace admin to owner_roles
  use gsop youtube-gsop
  gsrule add pass pmatch RegEx symantec|syma|sep|livet|symant 0..1460
  to 1/1/x3
  from vp1
  exit

# 번외 - 특정 헥사 코드값 만을 탐지 #
map alias traffic-sapf-hex
  type secondLevel byRule
  roles replace admin to owner_roles
  comment hex-.ama
  use gsop youtube-gsop
  gsrule add pass pmatch protocol ipv4 pos 1 RegEx [\\x2e\\x61\\x6d\\x61] 0..80
  to 1/1/x7
  from vp1
  exit

# The RegEx expression identifies the 
SSL handshake type Client Hello patterns and All Buffered packets(TCP) # 
# pos -> number presenting the occurrence(발생 될 숫자 지정) # 

# HTTPS사이트에 접근하면 탐지 #
map alias traffic-sapf-https
  type secondLevel byRule
  roles replace admin to owner_roles
  use gsop youtube-gsop
  gsrule add pass pmatch protocol tcp pos 1 RegEx \\x16\\x03.{3}\\x01 0..6
  to 1/1/x7
  from vp1
  exit

# 특정 지정한 패킷(HTTPS,youtube,symatec 등) 외 탐지 #
map-scollector alias traffice-non-asf
  roles replace admin to owner_roles
  from vp1
  collector T-LB-1
  exit

GigaSMART De-duplication

# port 1/1/g10,1/1/g15 type network
# port 1/1/g7 type tool
# gsgroup alias GS1 port-list 1/1/e1
# gsparams gsgroup GS1
    # dedup-timer 5000
    # exit
# gsop alias DedupAll deduce set port-list GS1
# map alias Map1
    # use gsop DedupAll
    # rule add pass ipdst 192.168.51.140 255.255.255.0 bidir
    # from 1/1/g10,1/1/g15
    # to 1/1/g7
    # exit
# write memory

GigaSMART Packet Slicing

# port 1/1/x1 type network
# port 1/1/x5 type tool
# gsgroup alias GS51 port-list 1/5/e1
# gsop alias sliceUDP_7 slicing protocol ump offset 7 port-list GS51
# map alias slice_SNMP_example
    # use gsop sliceUDP_7
    # rule add pass portsrc 161 bidir
    # from 1/1/x1
    # to 1/1/x5
    # exit
# write memory

Passive SSL Decryption

SSL Decryption - CLI

# gsgroup alias GS5 port-list 1/5/e1
# gsparams gsgroup GS5
    # ssl-decrypt decrypt-fail-action drop
    # ssl-decrypt enable
    # ssl-decrypt key-map add service Svr3-443 key dc2s3web
    # exit
# gsop alias DecryptSSL ssl-decrypt in-port any out-port auto port-list GS5
# map alias SSL-example
    # use sop DecryptSSL
    # rule add pass ipdst 192.168.1.3/24 bidir
    # rule add pass protest 443 bidir
    # to 1/1/x5
    # from 1/1/x1
    # exit

ASF Example : instant messaging

# port 1/1/x5..x8 type tool
# gsgroup alias GS5 port-list 1/5/e1
# vport alias vp51 gsgroup GS5
# apps asf alias sessions-unbuffered
    # packet-count disable
    # sess-field add ipv4-src outer
    # sess-field add ipv4-dst outer
    # exit
# gsop alias ASF-unbuffered app set asf sessions-unbuffered port-list GS5
#

# map alias map-IPv4
    # rule add pass Ipver 4
    # from 1/1/x1
    # to vp51
    # exit
# map alias yahooMsg
    # from vp51
    # use gsop ASF-unbuffered
    # gsrule add pass pmatch string "(ymsg|ypns|yhoo)" 16..1000
    # to 1/1/x5
    # exit

NetFlow Generation - CLI

# port 1/1/x5 type tool
# apps net flow record alias NetFlow9_record
    # netflow-version netflow-v9
    # match add ipv4 protocol
    # match add ipv4 source address
    # match add ipv4 destination address
    # match add transport source-port
    # match add transport destination-port
    # collect add counter bytes
    # collect add counter packets
    # collect add transport source-port
    # collect add transport destination-port
    # collect add counter packets
    # collect add timestamp sys-uptime first
    # collect add timestamp sys-uptime last
    # collect add ipv4 protocol
    # collect add ipv4 source address
    # collect add ipv4 destination address
    # exit


# apps net flow exporter alias v9_flows
    # destination ipv4addr 192.168.51.41
    # netflow-version net flow-v9
    # template-refresh-interval 300
    # snap enable
    # transport ump 2055
    # exit
# apps net flow monitor alias GS51 NetFlowMonitor
    # cache timeout active 60
    # cache timeout inactive 900
    # cache timeout event transaction-end
    # exit
# gsgroup alias GS51 port-list 1/5/e1
# tunneled-port 1/1/x5 ip 192.168.51.91 255.255.255.0 gateway 192.168.51.1 mtu 1500 port-list GS51
# tunneled-port 1/1/x5 net flow-exporter add v9_flows


# gsparams gsgroup GS51
    # netflow-monitor add GS51-NetFlowMonitor
    # exit
# gsop alias v9NetFlow flow-ops net flow port-list GS51
# map alias NetFlowExample
    # use gsop v9NetFlow
    # rule add pass Inver 4
    # to 1/1/x5
    # from 1/1/x1
    # exit

Gigamon Password reset :
 
HD-4, HD8 and HC2
1.      Power cycle the system.
2.      Get to the u-boot command prompt
3.      press the key 'c' when the image option appears on the display
4.      setenv reset_button 1
5.      run bootcmd
TA-10, TA-40
1.      Power cycle the system.
2.      Get to the u-boot command prompt
3.      press the key 'c' when the image option appears on the display
4.      setenv mmcresetbtn 1
5.      run bootcmd
TA-100, HC1, HC3*      
1.      Power cycle the system.
2.       Get to the u-boot command prompt, press the key 'a' when the image option appears on the display.  The kernel prompt appears as follows:
·                <112M memmap=2176M$1920M console=tty0 console=ttyS0,115200n8
3.      Add the following to the kernel arguments, then press : 
·                <112M memmap=2176M$1920M console=tty0 console=ttyS0,115200n8 reset_button=1