Verifica dello stato di NSX Distributed IDS/IPS nell'host

Per utilizzare la CLI dell'appliance virtuale di NSX, è necessario disporre dell'accesso SSH a un'appliance virtuale NSX. Ogni appliance virtuale NSX contiene un'interfaccia della riga di comando (CLI).

Le modalità visualizzabili nella CLI possono variare in base al ruolo assegnato e ai diritti di un utente. Se non si è in grado di accedere a una modalità di interfaccia o di eseguire un comando specifico, consultare l'amministratore di NSX.

Procedura

Aprire una sessione SSH in un host di elaborazione che esegue i carichi di lavoro precedentemente distribuiti. Accedere come root.
Digitare il comando nsxcli per aprire la CLI di NSX.

Per verificare che IDS sia abilitato in questo host, eseguire il comando get ids status.

Output di esempio:

localhost> get ids status
 NSX IDS Status
--------------------------------------------------
 status: enabled
 uptime: 793756 (9 days 04:29:16)

Per verificare che entrambi i profili IDS siano stati applicati a questo host, eseguire il comando get ids profile.

localhost> get ids profiles
 NSX IDS Profiles
--------------------------------------------------
Profile count: 2
 1. 31c1f26d-1f26-46db-b5ff-e6d3451efd71
 2. 65776dba-9906-4207-9eb1-8e7d7fdf3de

Per esaminare le statistiche del profilo IDS (motore), incluso il numero di pacchetti elaborati e gli avvisi generati, eseguire il comando get ids engine profilestats <tab_to_select_profile_ID>.

L'output viene eseguito in base al profilo e mostra il numero di avvisi e il numero di pacchetti valutati.

localhost> get ids engine profilestats eec3ea3f-0b06-4b9d-a3fe-7950d5726c7c
Fri Oct 23 2020 UTC 21:22:36.257
           NSX IDS Engine Profile Stats
------------------------------------------------------------
               Profile ID: eec3ea3f-0b06-4b9d-a3fe-7950d5726c7c
             Total Alerts: 14
            Total Packets: 27407

Per rivedere l'azione della firma di una regola, eseguire il comando get ids engine signaction <ruleID> <profileID> <signatureID>.
Restituisce l'azione della firma per RuleID, ProfileID e SignID specifici. Se la regola IDPS è di tipo "RILEVA SOLO", l'azione di firma per tutte le firme viene restituita come "AVVISO". Per eliminare/rifiutare il traffico, la regola IDPS deve essere configurata con "DETECT_PREVENT".
```
> get ids engine signaction 1001 84f00f24-3177-401c-8c30-d70dbee48479 4100761
      NSX IDS Engine Signature Action
  ---------------------------------------------
                   alert
```