데이터 경로 디버깅 및 추적 옵션 구성

데이터 경로 디버깅은 SRX5400, SRX5600 및 SRX5800에서 지원됩니다.

데이터 경로 디버깅을 위한 디바이스 구성:

다음 예제에서는 를 사용하여 security flow traceoptions설정할 수 있는 옵션을 표시합니다.

• filter1 패킷 필터의 imap 대상 포트를 일치시키려면 다음 문을 사용합니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security flow traceoptions packet-filter filter1 destination-port imap
  

• filter1 패킷 필터에 대한 1.2.3.4 대상 IPv4 접두사 주소를 설정하려면 다음 문을 사용합니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security flow traceoptions packet-filter filter1 destination-prefix 1.2.3.4
  

• filter1 패킷 필터에 대해 fxp0 논리적 인터페이스를 설정하려면 다음 문을 사용합니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security flow traceoptions packet-filter filter1 interface fxp0
  

• filter1 패킷 필터에 대한 TCP IP 프로토콜을 일치시키려면 다음 문을 사용합니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security flow traceoptions packet-filter filter1 protocol tcp
  

• filter1 패킷 필터의 HTTP 소스 포트를 일치시키려면 다음 문을 사용합니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security flow traceoptions packet-filter filter1 source-port http
  

• filter1 패킷 필터에 대해 5.6.7.8 IPv4 접두사 주소를 설정하려면 다음 문을 사용합니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security flow traceoptions packet-filter filter1 source-prefix 5.6.7.8
  

다음 구성 문을 사용하여 CLI 구성 편집기에서 보안 추적 옵션을 구성할 수 있습니다.

• 원격 추적을 비활성화하려면 다음 문을 입력합니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions no-remote-trace
  

• 추적 메시지를 로컬 파일에 쓰려면 다음 문을 입력합니다. 시스템은 추적 파일을 /var/log/ 디렉터리에 저장합니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions use-local-files
  

• 추적 파일의 이름을 지정하려면 다음 문을 입력합니다. 유효한 값의 범위는 1자에서 1024자 사이입니다. 이름에는 공백, / 또는 % 문자가 포함될 수 없습니다. 기본 파일 이름은 security입니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions file filename
  

• 누적할 수 있는 최대 추적 파일 수를 지정하려면 다음 문을 입력합니다. 유효한 값의 범위는 2에서 1000 사이입니다. 기본값은 3입니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions file files 3
  

• 파일에 정보를 로깅할 때 시스템에서 사용할 일치 기준을 지정하려면 다음 명령문을 입력합니다. 정규 표현식을 입력합니다. 와일드카드(*) 문자를 사용할 수 있습니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions file match *thread
  

• 모든 사용자가 추적 파일을 읽을 수 있도록 하려면 문을 입력합니다 world-readable . 그렇지 않으면 문을 입력합니다 no-world-readable .

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions file world-readable
  user@host# set security traceoptions file no-world-readable
  

• 추적 파일이 증가할 수 있는 최대 크기를 지정하려면 다음 문을 입력합니다. 파일이 지정된 크기에 도달하면 압축되어 0.gz로 이름이 filename바뀌고 다음 파일의 이름이 filename1.gz 지정됩니다. 유효한 값의 범위는 10240에서 1,073,741,824 사이입니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions file size 10240
  

• 추적 옵션을 설정하고 둘 이상의 추적 작업을 수행하려면 다음 플래그를 설정합니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions flag all
  user@host# set security traceoptions flag compilation
  user@host#  set security traceoptions flag configuration
  user@host# set security traceoptions flag routing-socket
  

• 이러한 추적 옵션 설정이 적용되거나 적용되지 않는 그룹을 지정하려면 다음 문을 입력합니다.

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions apply-groups value
  user@host# set security traceoptions apply-groups-except value
  

monitor start 명령을 입력하여 시스템 로그 및 추적 파일에 대한 실시간 추가 사항을 표시합니다.

user@host> monitor start filename

장치가 에 의해 지정된 filename파일에 레코드를 추가하면 레코드가 화면에 표시됩니다. 예를 들어, [edit system] 계층 수준의 문을 포함하여 syslog 라는 system-log 시스템 로그 파일을 구성한 경우 명령을 입력하여 monitor start system-log 시스템 로그에 추가된 레코드를 표시할 수 있습니다.

모니터링 중인 파일 목록을 표시하려면 명령을 입력하십시오 monitor list . 지정된 파일에 대한 레코드 표시를 중지하려면 명령을 입력합니다 monitor stop filename .

멀티캐스트 추적 작업을 모니터링하고 표시하려면 다음 명령을 입력합니다.mtrace monitor

user@host> mtrace monitor

Mtrace query at Apr 21 16:00:54 by 192.1.30.2, resp to 224.0.1.32, qid 2a83aa packet from 192.1.30.2 to 224.0.0.2 from 192.1.30.2 to 192.1.4.1 via group 224.1.1.1 (mxhop=60)  Mtrace query at Apr 21 16:00:57 by 192.1.30.2, resp to 224.0.1.32, qid 25dc17 packet from 192.1.30.2 to 224.0.0.2 from 192.1.30.2 to 192.1.4.1 via group 224.1.1.1 (mxhop=60)  Mtrace query at Apr 21 16:01:00 by 192.1.30.2, resp to same, qid 20e046 packet from 192.1.30.2 to 224.0.0.2 from 192.1.30.2 to 192.1.4.1 via group 224.1.1.1 (mxhop=60)  Mtrace query at Apr 21 16:01:10 by 192.1.30.2, resp to same, qid 1d25ad packet from 192.1.30.2 to 224.0.0.2 from 192.1.30.2 to 192.1.4.1 via group 224.1.1.1 (mxhop=60)

이 예에서는 쿼리만 mtrace 표시합니다. 그러나 디바이스가 응답을 캡처 mtrace 할 때 디스플레이는 비슷하지만 완전한 mtrace 응답도 나타납니다(명령 출력에 표시된 것과 정확히 일치).mtrace from-source

표 1 는 디스플레이의 출력 필드를 요약합니다.

디바이스와 지정된 대상 호스트 간의 디바이스 목록을 표시하려면 다음 구문을 사용하여 명령을 입력합니다 traceroute .

user@host> traceroute host <interface interface-name> <as-number-lookup> <bypass-routing> <gateway address> <inet | inet6> <no-resolve> <routing-instance routing-instance-name> <source source-address> <tos number> <ttl number> <wait seconds>

표 2에는 traceroute 명령 옵션에 대한 설명이 나와 있습니다.

명령을 종료 traceroute 하려면 Ctrl-C를 누릅니다.

다음은 명령의 샘플 출력입니다 traceroute .

user@host> traceroute host2

traceroute to 173.24.232.66 (172.24.230.41), 30 hops max, 40 byte packets  1  173.18.42.253 (173.18.42.253)  0.482 ms  0.346 ms  0.318 ms  2  host4.site1.net (173.18.253.5)  0.401 ms  0.435 ms  0.359 ms  3  host5.site1.net (173.18.253.5)  0.401 ms  0.360 ms  0.357 ms  4  173.24.232.65 (173.24.232.65)  0.420 ms  0.456 ms  0.378 ms  5  173.24.232.66 (173.24.232.66)  0.830 ms  0.779 ms  0.834 ms

디스플레이의 필드는 J-Web traceroute 진단 도구에 의해 표시되는 필드와 동일합니다.