시스코 IOS 의 EPC(Embedded Packet Capture) 기능

검색하다 Ciscozine 에 소개된 IOS 12.4T 버전부터 지원되는 EPC 기능을 보았다. 이름과 같이 패킷 캡쳐 기능이 Embedded 되어 있다. 라우터 등에서 바로 데이터를 캡쳐할 수 있는 것이다. 시스코 스위치 등에서 이용되는 SPAN 기능과 달리 NVRAM 에 바로 덤프를 뜨도록 허용하는 것으로, 네트워크 장비상에서 문제가 발생했을때 디버그 용도로 유용하게 사용될 수 있을 것이다.

패킷데이터는 PCAP 포맷으로도 Export 될 수 있으며, CLI 상에서도 HEX, ASCII 로 패킷 데이터를 볼 수 있다고 한다. 살짝, 기술되어 있는 사용 예제를 보면 아래와 같다.

1. 캡쳐 버퍼를 정의 ( 100KB 로 지정)
Ciscozine#monitor capture buffer buffer-test size 100

2. 캡쳐 포인트를 정의 (모든 인터페이스의 양 방향으로 정의)
Ciscozine#monitor capture point ip cef capture-test all both

3. 지정한 캡쳐 포인트에 버퍼 지정
Ciscozine#monitor capture point associate capture-test buffer-test

4. 캡쳐 시작
Ciscozine#monitor capture point start capture-test

5. 캡쳐 중지
Ciscozine#monitor capture point stop capture-test

6. 캡쳐된 버퍼의 내용 확인
Ciscozine#show monitor capture buffer buffer-test dump
17:59:50.271 UTC Jun 21 2011 : IPv4 CEF Turbo  : Fa1/0 None

66BC0070:                   CA0012C8 001C0050          J..H...P
66BC0080: 56EEFA3A 08004510 01480000 00000F11  Vnz:..E..H......
66BC0090: D7C1C0A8 28FEC0A8 28850043 00440134  WA@((~@((..C.D.4
66BC00A0: F86B0201 06000000 1DBE0000 0000C0A8  xk.......>....@(
66BC00B0: 2885C0A8 2885C0A8 28FE0000 FD        (.@((.@((~..}

17:59:50.271 UTC Jun 21 2011 : IPv4 LES CEF    : Fa1/0 None

66BC0070:                   CA0012C8 001C0050          J..H...P
66BC0080: 56EEFA3A 08004510 01480000 00000F11  Vnz:..E..H......
66BC0090: D7C1C0A8 28FEC0A8 28850043 00440134  WA@((~@((..C.D.4
66BC00A0: F86B0201 06000000 1DBE0000 0000C0A8  xk.......>....@(
66BC00B0: 2885C0A8 2885C0A8 28FE0000 FD        (.@((.@((~..}

7. 캡쳐된 데이터 PCAP 포맷으로 Export
Ciscozine#$ture buffer buffer-test export tftp://192.168.40.1/ciscozine.pcap

세부적으로 이 기능의 스펙을 살펴보지는 않았지만, 생각해 보면 대용량 라우터에서
사용하기란 어려울 것이다. 일부 초기 네트워크를 구성하는 과정에서 디버그 용도에 적합하지 않을까 생각된다.  특히나 라우터에 이런 기능은 오버헤드를 유발할 수 있다. 백본단에서는 Netflow 조차 거는 것도 쉽지 않은 상황이기 때문이다.

실제로 제가 이 기능을 접할 길이 없는데, 혹시나 이 기능을 확인해 줄 수 있는 분이 있다면 '댓글' 부탁드려요.

[참고]
1. EPC: an Embedded Packet Capture
http://www.ciscozine.com/2011/06/22/epc-an-embedded-packet-capture/