城域网常见交换机端口和远程镜像

城域网常见交换机端口及远程镜像

郭锐雄

一、 案例描述

镜像即将一个端口的流量复制到另一个端口，以便抓包处理，镜像分三

种：

1、本地端口镜像：即将一个端口流量镜像到同一交换机的另一端口。

2、二层端口镜像（rspan）：将镜像流量转到某一个vlan内，虽然流量是单播，但一般设备对未知单播都会做广播处理，故任何一个加入该vlan的端口均可抓到该镜像流量。 3、三层流量接口（erspan）：将流量镜像到远程的三层接口，需要有到该端口的路由。

4、流镜像：流镜像是指在设备上配置一定的规则，将符合规则的特定业务流复制到观察端口进行分析和监控。

二、 常见交换机镜像配置

一、华为S9312端口镜像：

1、本地镜像（本例是配置M:N的镜像，即将M个镜像端口的报文复制

到N个不同的观察端口，这里讲接口改成一个就是普通的端口镜像）： a) 配置观察端口：

[Switch] observe-port 1 interface-range gigabitethernet 1/0/4 gigabitethernet 1/0/5（如果是单个接口就interface ，不带range） b) 配置镜像端口：

[Switch-GigabitEthernet1/0/1]port-mirroring to observe-port 1 inbound//将接口GE1/0/1的入方向绑定到索引为1的观察端口上 c)查看观察端口和镜像端口

display observe-port display port-mirroring

e) 本地流镜像

在Switch上配置接口GE1/0/2为本地观察端口： [Switch] observe-port 1 interface gigabitethernet 1/0/2

在Switch上创建流分类c1，并配置流分类规则匹配以下两类报文：源地址为10.1.1.0/24，目的TCP端口号为80的端口号； [Switch] acl number 3000

[Switch-acl-adv-3000] rule permit tcp source 10.1.1.0 0.0.0.255 destination-port eq80 [Switch-acl-adv-3000] quit

[Switch] traffic classifier c1 operator or [Switch-classifier-c1] if-match acl 3000

在Switch上创建流行为b1，并配置流行为是流镜像，将指定报文流镜像到本地观察端口GE1/0/2。 [Switch] traffic behavior b1

[Switch-behavior-b1] mirroring to observe-port 1 [Switch-behavior-b1] quit

在Switch上创建流策略p1，将流分类和对应的流行为进行绑定，并将流策略应用到接口GE1/0/1的入方向上 [Switch] traffic policy p1

[Switch-trafficpolicy-p1] classifier c1 behavior b1 [Switch-trafficpolicy-p1] quit

[Switch] interface gigabitethernet 1/0/1

[Switch-GigabitEthernet1/0/1]traffic-policy p1 inbound

f) 查看流分类配置信息

display traffic classifier user-defined c1

2、 二层端口镜像

a) 在SwitchA上配置观察端口

在SwitchA上配置接口GE1/0/2为二层远程观察端口，绑定的VLAN为VLAN10，观察端口会将镜像报文向VLAN10进行转发，不需要在观察端口下进行接口加入VLAN的操作。

[SwitchA]observe-port 1 interface gigabitethernet1/0/2 vlan 10 b) 在SwitchA上配置镜像端口

在SwitchA上配置接口GE1/0/1为镜像端口，将其入方向绑定到二层远程观察端口，即将镜像端口接收到的报文复制一份到二层远程观察端口。

[SwitchA] interface gigabitethernet 1/0/1

[SwitchA-GigabitEthernet1/0/1] port-mirroring to observe-port 1 inbound

c) 在SwitchB上创建VLAN10，将接口GE1/0/1和GE1/0/2加入VLAN10，图中的server便能收到镜像报文。

d) 验证配置结果的命令和本地镜像一样，这里不做赘述。

3、 有时候配置二层远程端口镜像需要关闭MAC学习功能.

由于镜像报文的目的MAC与原始报文目的MAC相同，不是监控设备的MAC，也就是说，镜像报文不能通过MAC表进行转发，而是依赖未知单播的处理流程——广播方式进行转发。假设用于走镜像流量的VLAN为vlan10，只要VLAN10对应的MAC表中不包含镜像报文目的MAC对应的表项，镜像报文就可以通过广播方式转发到Server。

特别注意做二层镜像的时候最好不要同时抓同一端口的出

入两个方向的包，以上图中抓HostA和HostB的通信包为例，如果在SwitchA的GE1/0/1口同时抓出、入两个方向的包，因为GE1/0/1的入方向就有以MacA为源MAC地址，以MacB为目的MAC地址的数据流，而GE1/0/1的出方向就会有以MacB源MAC地址、以MacB

为目的MAC地址的数据流，因为交换机端口会主动学习数据包的源MAC地址，所以当出、入两个方向被镜像的报文流到达SwitchB的GE1/0/2口时，SwitchB的GE1/0/2口就会在vlan10内同时学习到MacA和MacB地址，见图中SwitchB的mac表，又因为从SwitchA镜像过来的数据流的目的MAC也正好是MacA和MacB，所以镜像过来的报文SwitchB便不再认为是未知单播报文，而是认为是普通单播报文从SwitchB的GE1/0/2口在vlan10内发送出去，导致本地Server抓不到包。如果一定要同时抓两个方向的包，则要关闭用于镜像的vlan内的mac地址学习功能。

另外，如果vlan10内通过某种其他方式学习到了目的MAC（比如镜像端口加入了vlan10，还有一些更复杂的情况可以参看华为S9312文档里二层远程端口镜像需要关闭MAC学习功能的案例），则此时也需要关闭该vlan内的MAC学习功能，但不推荐这么做，一般配置二层远程端口镜像时不建议用同一个VLAN转发普通业务流量和镜像流量。

e) 二层端口的流镜像 配置和本地流镜像基本一致，类推一下就可以了，这里不再赘述。

4、配置三层远程端口镜像

在Switch上进行如下配置，实现Server远程监控研发部访问IInternet的流量：

1、配置接口GE1/0/2为三层远程观察端口，指定封装镜像报文的目的地址是监控设备的地址，源地址为Switch上的接口地址。 2、配置接口GE1/0/1为镜像端口，将研发部访问Internet的流量复制一份到三层远程观察端口。