Вопрос или проблема
Я воспроизвожу файл PCAP, содержащий только UDP-пакеты, с одного сервера на другой (одна и та же подсеть IP) с помощью tcpreplay. MAC-адрес и IP-адрес назначения были изменены на адрес принимающего сервера с помощью tcprewrite. Когда я проводил tcpdump на принимающем сервере, я смог захватить воспроизводимые пакеты. Однако, когда я попытался запустить Filebeat и слушать на (назначенном) IP и порту, я не получаю никаких пакетов. Filebeat настроен правильно, потому что ранее я смог захватить пакеты от другого отправителя (не tcpreplay). Кажется, он просто не может увидеть воспроизводимые пакеты.
Это джамбо-пакеты, и MTU сетевых интерфейсов на обоих серверах был изменен на 9000, а pcap был переписан с помощью --mtu=6000 (каждый пакет был около 6000B или меньше).
Почему tcpdump может видеть пакеты, но не Filebeat?
Ответ или решение
Когда вы повторно воспроизводите PCAP файл, содержащий только UDP-пакеты, с использованием tcpreplay, и наблюдаете, что tcpdump успешно захватывает пакеты, но Filebeat ничего не видит, это указывает на несколько потенциальных проблем, которые могут вызвать такую ситуацию. Рассмотрим некоторые из них.
1. Проверка конфигурации Filebeat
Хотя вы утверждаете, что Filebeat настроен правильно, важно убедиться в следующих аспектах:
-
Правильный адрес и порт: Убедитесь, что вы указали верные IP-адрес и порт, на котором Filebeat слушает трафик. Этот аспект может показаться тривиальным, но ошибки при вводе могут возникать чаще, чем вы думаете.
-
Фильтрация каталогов: Убедитесь, что в конфигурации Filebeat не используются какие-либо фильтры, которые могут препятствовать обработке специфических UDP-пакетов. Это может быть настройка фильтрации самого Filebeat или настройка соответствующих input-секций.
2. Проблемы с MTU и Jumbo-кадрами
С учетом того, что вы используете Jumbo-пакеты и изменения MTU, учитывайте следующее:
-
Поддержка Jumbo-пакетов: Убедитесь, что Filebeat, а также нижележащие сетевые драйверы и конфигурации сетевых интерфейсов поддерживают Jumbo-пакеты. В некоторых случаях, если MTU не настраивается должным образом, это может привести к тому, что пакеты с нестандартным размером не будут захвачены.
-
Обработка MTU в UDP: Убедитесь, что UDP-протокол правильно работает с измененными MTU-значениями. Некорректная настройка может вызвать фрагментацию пакетов, которые могут быть обработаны tcpdump, но не будут должным образом обрабатываться Filebeat.
3. Сетевой стек Linux
Механизмы обработки сетевого трафика в операционной системе могут также влиять на поведение.
-
Параметры приоритета сетевой очереди: Проверьте настройки приоритета и качества обслуживания (QoS) на уровне сети. Иногда настройки TCP/IP могут препятствовать правильной обработке UDP-трафика.
-
Сетевые фильтры и правила iptables: Убедитесь, что нет правил, которые блокируют UDP-трафик для Filebeat. В системе могут быть заданы правила, которые позволяют только tcpdump захватывать пакеты, игнорируя другие приложения.
4. Отладка Filebeat
Используйте режим отладки Filebeat, чтобы получить больше информации о происходящем. Это можно сделать, увеличив уровень журналирования в конфигурационном файле:
logging.level: debug
logging.to_files: trueПосле изменения данной конфигурации перезапустите Filebeat и проверьте журналы. Это поможет в выявлении ошибок или дополнительных сообщений о проблемах с подключениям и захватом пакетов.
5. Передача пакетов с помощью tcpreplay
Убедитесь, что параметры tcpreplay настроены правильно:
- Используйте параметры
--ppsили--mbps: Это может помочь управлять нагрузкой на сеть и избежать потерь пакетов во время воспроизведения. Если пакеты воспроизводятся слишком быстро, это может привести к их потерям.
Заключение
С учетом вышеописанных пунктов, важно провести отладку и проверить конфигурацию ваших сетевых устройств и приложений. Если ни один из предложенных шагов не решает проблему, рекомендуется тестировать пакеты на другой машине или с использованием другого инструмента захвата, чтобы изолировать проблему. Системный лог также может дать ключ к пониманию того, что происходит на уровне операционной системы.