FortiGate diagnose sniffer packet

Visão geral

diagnose sniffer packet é o comando de packet capture integrado no FortiOS. É uma das formas mais rápidas de determinar se o tráfego está a chegar a um FortiGate, em que interface entra e se sai pela interface esperada.

Ao contrário do debug flow, um packet sniffer mostra os pacotes observados e não as decisões de processamento de policies do FortiOS. As duas ferramentas complementam-se.

Sintaxe

diagnose sniffer packet <interface> '<filter>' <verbose> <count> <timestamp-format> <frame-size>

O parâmetro frame-size é opcional na utilização mais comum.

Um exemplo operacional típico é:

diagnose sniffer packet any 'host 10.1.10.20' 4 0 l

Parâmetros

Interface

Utiliza uma interface específica quando já sabes onde o tráfego deve aparecer:

diagnose sniffer packet wan1 'host 8.8.8.8' 4 20 l

Utiliza any quando estás a determinar o caminho entre interfaces:

diagnose sniffer packet any 'host 10.1.10.20' 4 0 l

Filter

O filtro suporta expressões ao estilo tcpdump.

Exemplos:

'host 10.1.10.20'

'src host 10.1.10.20 and dst host 10.2.20.10'

'host 10.1.10.20 and port 443'

'icmp and host 10.1.10.20'

'udp and port 53'

Verbosity

A Fortinet documenta níveis de verbosity de 1 a 6.

Para troubleshooting diário de caminhos de rede, o nível 4 é especialmente útil porque apresenta packet headers e nomes das interfaces.

Níveis superiores incluem payload dos pacotes e podem expor informação sensível. Utiliza-os apenas quando necessário.

Count

Sempre que possível, utiliza um count finito:

diagnose sniffer packet any 'host 10.1.10.20' 4 100 l

Um count de 0 mantém a captura em execução até ser parada manualmente.

Timestamp format

l apresenta timestamps absolutos locais e é útil para correlacionar a captura com logs ou relatos de utilizadores.

Quando utilizar

Utiliza o sniffer para responder a perguntas como:

• O FortiGate recebe o pacote?
• Em que interface o recebe?
• O pacote sai por outra interface?
• Existe return traffic?
• O tráfego DNS está efetivamente a ser enviado?
• Um pacote VPN entra e sai do túnel?
• Um endpoint está a retransmitir porque não recebe resposta?

Exemplo: conectividade de um host

diagnose sniffer packet any 'host 10.1.10.20' 4 0 l

Depois reproduz o problema a partir de 10.1.10.20.

Uma troca routed saudável pode mostrar o tráfego a entrar numa interface e a sair noutra, seguido da resposta na direção inversa.

Exemplo: apenas HTTPS

diagnose sniffer packet any 'host 10.1.10.20 and tcp port 443' 4 100 l

Isto é mais útil do que capturar todo o tráfego do host quando o problema reportado é especificamente HTTPS.

Exemplo: troubleshooting DNS

diagnose sniffer packet any 'host 10.1.10.20 and port 53' 4 100 l

Procura a query e a respetiva reply.

Como interpretar padrões comuns

O pacote entra mas não sai

Isto indica que o FortiGate viu o tráfego, mas por si só não identifica a razão pela qual não foi encaminhado.

Próximos passos típicos:

• Verificar routing.
• Verificar firewall policy.
• Verificar policy route / seleção SD-WAN.
• Executar debug flow.

O pacote entra e sai, mas não existe reply

O FortiGate encaminhou o tráfego. Investiga o caminho a jusante, o host de destino, a firewall remota, o estado do serviço ou return routing.

Request e reply atravessam o FortiGate

O caminho de rede através do FortiGate está provavelmente funcional para essa troca capturada. Continua o troubleshooting no cliente, servidor ou camada da aplicação.

Não aparece nada

Possíveis causas:

• O cliente não está a gerar o tráfego esperado.
• O filtro está incorreto.
• Está a ser analisado o VDOM ou interface errados.
• O pacote nunca chega ao FortiGate.

Validação

Uma captura útil deve estabelecer a direção e o caminho observados para um fluxo de teste.

Antes de terminar a captura, regista:

• IP de origem
• IP de destino
• Protocolo / porta
• Interface de entrada
• Interface de saída, se existir
• Se aparece return traffic
• Timestamp do teste

Riscos e considerações

Packet sniffing tem normalmente baixo risco, mas continua a exigir disciplina operacional.

Dados sensíveis

Níveis elevados de verbosity podem apresentar conteúdo dos pacotes. Evita capturar credenciais ou payloads de aplicações, exceto quando for absolutamente necessário e autorizado.

Capturas de elevado volume

Filtros demasiado amplos em interfaces com muito tráfego podem produzir output excessivo no terminal e dificultar a interpretação da evidência.

Utiliza o filtro mais restritivo que continue a ser útil.

Stop

Pressiona:

CTRL+C

para terminar uma sessão de sniffer sem limite de count.

Relação com debug flow

Utiliza packet sniffer quando a pergunta for:

O FortiGate viu ou encaminhou este pacote?

Utiliza debug flow quando a pergunta for:

Porque é que o FortiOS tomou esta decisão de forwarding, policy, NAT ou drop?

Em casos difíceis, utiliza ambos.

Artigos relacionados

• FortiGate debug flow
• FortiGate routing table
• FortiGate IPsec tunnel established but no traffic

Fontes

Consulta as referências oficiais da Fortinet indicadas nos metadados do artigo.