Зеркалирование
Зеркалирование — передача копии трафика за пределы системы 5А без влияния на обслуживание клиентов. Копию получает внешняя система, а клиент по-прежнему получает штатный ответ клиентского сервера.
Копия передаётся на внешний HTTP-приёмник в открытом виде: метод, URI, заголовки и тело запроса. Зеркалирование нужно, когда аналитическая или SIEM-система должна видеть содержимое запросов — что отправляется из приложения, кто и что загружает.
Порядок настройки
- Создайте конфигурацию балансировки с L4-протоколом
TCPи L7-протоколомHTTP,HTTPSилиgRPCи опубликуйте её. У остальных конфигураций блок включить нельзя, а зеркалируется только трафик опубликованного адреса. - Подготовьте приёмник: HTTP(S)-адрес, доступный с агентов кластера. Приёмник должен принимать исходные метод, путь, заголовки и тело запроса и начать отвечать в течение
1секунды. - Включите блок зеркалирования в конфигурации методом API
PUT. Состав полей и пример запроса — в статье Зеркалирование через API. - Проверьте доставку копий по метрике агента
a5_traffic_mirror_records_total, см. Проверка.
Поля блока, фильтр отбора трафика и пределы очереди разобраны в статье Зеркалирование трафика сервиса.
Чем зеркалирование отличается от ICAP
ICAP-анализ и зеркалирование решают разные задачи и работают по разным каналам.
| Зеркалирование | ICAP-анализ | |
|---|---|---|
| Что передаётся наружу | копия запроса, вердикта нет | запрос или ответ на проверку |
| Вердикт внешней системы | не бывает | пропустить или заблокировать |
| Влияние на клиента | нет | при блокировке клиент не обслуживается |
| Типовой приёмник | HTTP-приёмник | DLP-система по протоколу ICAP |
Если необходимо решение, способное остановить передачу данных, — это ICAP. Нужна копия для анализа, SIEM или расследования — это зеркалирование.
Режим Зеркалирование в блоке ICAP — это асинхронная проверка тем же ICAP-каналом, а не копия на HTTP-приёмник.
Что попадает под зеркалирование
Только трафик сервисов, опубликованных через систему 5А. Агент снимает копию после расшифровки TLS, поэтому в открытом виде видны и HTTPS-запросы.
Весь интернет-трафик пользователя не копируется: мессенджеры с собственным шифрованием, произвольные UDP-соединения и обращения к серверам вне опубликованных сервисов остаются без копии.
Важно: копия запроса содержит данные в открытом виде, включая содержимое HTTPS-запросов. Включайте зеркалирование только там, где копия действительно нужна, и направляйте её в доверенный приёмник. Для защиты копии на участке сети используйте адрес приёмника со схемой https.
Разделы
- Зеркалирование трафика сервиса — блок в конфигурации балансировки: что передаётся, как отбирать трафик, пределы и проверка.
- Зеркалирование через API — методы, поля блока, пример включения и коды ошибок.