城域网常见交换机端口和远程镜像.docx

城域网常见交换机端口及远程镜像郭锐雄案例描述镜像即将一个端口的流量复制到另一个端口，以便抓包处理，镜像分三种：1、本地端口镜像：即将一个端口流量镜像到同一交换机的另一端口。2、二层端口镜像（rspan）：将镜像流量转到某一个vlan内，虽然流量是单播，但一般设备对未知单播都会做广播处理，故任何一个加入该vlan的端口均可抓到该镜像流量。3、三层流量接口（erspan）：将流量镜像到远程的三层接口，需要有到该端口的路由。4、流镜像：流镜像是指在设备上配置一定的规则，将符合规则的特定业务流复制到观察端口进行分析和监控。常见交换机镜像配置一、华为S9312端口镜像：1、本地镜像（本例是配置M:N的镜像，即将M个镜像端口的报文复制到N个不同的观察端口，这里讲接口改成一个就是普通的端口镜像）：a) 配置观察端口：[Switch] observe-port 1 interface-range gigabitethernet 1/0/4 gigabitethernet 1/0/5（如果是单个接口就interface ，不带range）b)配置镜像端口：[Switch-GigabitEthernet1/0/1]port-mirroringto observe-port 1 inbound //将接口GE1/0/1的入方向绑定到索引为1的观察端口上c) 查看观察端口和镜像端口Switch display observe-portSwitch display port-mirroringe) 本地流镜像在Switch上配置接口GE1/0/2为本地观察端口：[Switch] observe-port 1 interface gigabitethernet 1/0/2在Switch上创建流分类c1，并配置流分类规则匹配以下两类报文：源地址为10.1.1.0/24，目的TCP端口号为80的端口号；[Switch] acl number 3000 [Switch-acl-adv-3000] rule permit tcp source 10.1.1.0 0.0.0.255 destination-port eq 80[Switch-acl-adv-3000] quit[Switch] traffic classifier c1 operator or[Switch-classifier-c1] if-match acl 3000在Switch上创建流行为b1，并配置流行为是流镜像，将指定报文流镜像到本地观察端口GE1/0/2。[Switch] traffic behavior b1[Switch-behavior-b1] mirroring to observe-port 1[Switch-behavior-b1] quit在Switch上创建流策略p1，将流分类和对应的流行为进行绑定，并将流策略应用到接口GE1/0/1的入方向上[Switch] traffic policy p1[Switch-trafficpolicy-p1] classifier c1 behavior b1[Switch-trafficpolicy-p1] quit[Switch] interface gigabitethernet 1/0/1[Switch-GigabitEthernet1/0/1]traffic-policy p1 inboundf)查看流分类配置信息Switch display traffic classifier user-defined c1二层端口镜像在SwitchA上配置观察端口 在SwitchA上配置接口GE1/0/2为二层远程观察端口，绑定的VLAN为VLAN10，观察端口会将镜像报文向VLAN10进行转发，不需要在观察端口下进行接口加入VLAN的操作。[SwitchA]observe-port 1 interface gigabitethernet1/0/2 vlan 10在SwitchA上配置镜像端口在SwitchA上配置接口GE1/0/1为镜像端口，将其入方向绑定到二层远程观察端口，即将镜像端口接收到的报文复制一份到二层远程观察端口。[SwitchA] interface gigabitethernet 1/0/1[SwitchA-GigabitEthernet1/0/1] port-mirroring to observe-port 1 inbound 在SwitchB上创建VLAN10，将接口GE1/0/1和GE1/0/2加入VLAN10，图中的server便能收到镜像报文。验证配置结果的命令和本地镜像一样，这里不做赘述。有时候配置二层远程端口镜像需要关闭MAC学习功能. 由于镜像报文的目的MAC与原始报文目的MAC相同，不是监