端口镜像原理与配置

被监控流量所在端口称为源端口，监控端口称为目的端口，目的端口直接与网络分析器相连。
如图1.11所示，箭头 表示PC-A到PC-B的数据流，箭头 表示PC-B到PC-A的数据流。两种数据流都通过端口镜像到监控端口，由网络监控分析器进行分析和诊断。
图1.11端口镜像的概念
ZXR10数据设备端口镜像应遵循规则：
ZXR10(config)#monitorencapsulationppp-to-ethernet
8．在Mirror模式下，支持对指定截断长度数据包的镜像
ZXR10(config)#monitor session<session id>source<source-interface>destination<destination-interface>mode mirrortruncate-len<truncatelength>
Redirect模式
把监控流量本身发送到目的端口进行分析，导致原流量不能到达原目的地。
按照工作范围划分，端口镜像可分为：
本地镜像
源端口和目的端口在同一个路由器上。
远程镜像（基于GRE封装的端口镜像）
源端口和目的端口分布在不同的路由器上，镜像流量经过GRE封装后可以实现跨路由器传输。
端口镜像的处理过程大体可以划分为以下步骤：
命令中<session-number>为会话号，范围为1~8。
3．使能或者停止会话
ZXR10(config)#monitorsession<session id>{enable|disable}
4．配置会话目的端口的镜像MAC地址（用于镜像源端口是非以太网类型）
ZXR10(config)#monitorencapsulationmac-address<mac_add>
二.2.2
如图2.21所示，接口fei_1/1与fei_1/2为路由器上两个端口，fei_1/1属于192.168.0.0网段，fei_1/2属于10.0.0.0网段。
现在PC1上长时间ping PC2，接口fei_1/1作为被镜像口，接口fei_1/3作为镜像口，在PC3上对接口fei_1/1上的数据包进行镜像抓包。
ZXR10(config-if)#monitor session 1 destination
显示端口镜像配置与状态：
ZXR10(config)#show monitor session all
Session 1
------------
Source Ports:
Port: fei_1/1 Monitor Direction: both
ZXR10(config)#interface<interface-name>
ZXR10(config-if)#monitor session <session-number>source[direction{both|tx|rx}]
其中：
direction：配置源端口流量采集方向。
both：配置源端口流量采集方向是入向和出向。
第二章
知识点
基于端口的镜像基本配置及配置实例。
二.1
二.1.1
交换机基于端口镜像的基本配置如下：
1．创建一个会话
ZXR10(config)#monitor session<session-number>
命令中<session-number>为会话号，范围为1~8。
2．进入接口配置模式，设置被镜像端口及数据流方向
ZXR10(config-if)#exit
ZXR10(config)#monitor on
ZXR10(config)#monitor session 1 source fei_1/1 destination fei_1/3 mode mirror
二.3
二.3.1
高端路由器基于端口镜像的基本配置如下：
基于流的镜像
流镜像就是将匹配访问控制列表规则的业务流复制到指定的监控端口，用于报文的分析和监视。
在流镜像模式下，由于只对网络层的内容进行镜像，原数据链路层不再被使用，直接使用目的端口的封装类型。
按照镜像模式划分，端口镜像分为：
Mirror模式
把监控流量的副本发送到目的端口进行分析，对原流量不产生任何影响。
基于端口的镜像是把被镜像端口的进出数据报文完全拷贝一份到镜像端口，这样来进行流量观测或者故障定位。
如图1.21所示，ZXR10以太网交换机及ZXR10T600/T1200的2.8.21.B.21.P2及以后版本支持多对一的镜像，即将多个端口的报文复制到一个监控端口上。
图1.21基于端口的镜像
一.2.2
端口镜像原理与配置
课程目标：
了解端口镜像的概念和分类
掌握交换机和路由器端口镜像的基本配置
第一章
知识点
端口镜像的基本概念。
端口镜像的分类。
路由器配置端口镜像的注意事项。
一.1
端口镜像是指将交换机或路由器上一个或多个端口（被镜像端口）的数据复制到一个指定的目的端口（监控端口）上，通过镜像可以在监控端口上获取这些被镜像端口的数据，以便进行网络流量分析、错误诊断等。
图2.21低端路由器基于端口的镜像配置实例
具体配置：
ZXR10(config)#interface fei_1/1
ZXR10(config-if)#ip address 192.168.0.2 255.255.255.0
ZXR10(config-if)#exit
ZXR10(config)#interface fei_1/2
5．配置GRE协议兼容cisco的erspan类型
ZXR10(config)#monitorencapsulationcisco-erspan
6．配置镜像包为以太网类型
ZXR10(config)#monitorencapsulationether-type
7．强迫PPP-IP类型封装为IPoE类型，非PPP-IP类型封装为PPPoE类型
ZXR10(config-if)#switchport qinq normal
ZXR10(config-if)#exit
ZXR10(config)#interface fei_1/3
ZXR10(config-if)#switchport access vlan 1
ZXR10(config-if)#switchport qinq normal
tx：配置源端口流量采集方向是出向。
rx：配置源端口流量采集方向是入向。
3．设置监控端口
ZXR10(config-if)#monitor session <session-number>desination
二.1.2
如图2.11所示，接口fei_1/1与fei_1/2在同一个VLAN中，PC1与PC2为同一网段，接口fei_1/3连接PC3，且与fei_1/1、fei_1/2不在同一VLAN。
基于流镜像的交换机针对某些流进行镜像，每个连接都有两个方向的数据流，对于交换机来说，可以将这两个数据流分开进行镜像。
如图1.22所示，一台交换机或路由器只支持配置一个监控端口。
图1.22基于流的镜像
一.3
高端路由器目前只有ZXR10T600/T1200的V2.8.21.B.21.P2以及其后的版本支持端口镜像，低端路由器中ZXR10ZSR支持端口镜像。
控制平面的报文镜像仅支持NPCIX线卡接收方向的情况。
VPLS，VPWS流量不支持端口镜像。
目前仅支持本地镜像，不支持远程镜像。
在转发过程中需要被丢弃的报文在镜像时即使配置ACL也不再受ACL规则控制。
同时对发送和接收方向流量进行镜像时，ACL只能应用在其中一个方向。
路由器的线卡性能有限，当线卡承载大流量数据转发时，需谨慎使用端口镜像功能。
现在PC1上长时间ping PC2，接口fei_1/1作为被镜像口，接口fei_1/3作为镜像口，在PC3上对接口fei_1/1上的数据包进行镜像抓包。
图2.31高端路由器基于端口的镜像配置实例
具体配置：
ZXR10(config)#interface fei_1/1
ZXR10(config-if)#ip address 192.168.0.2 255.255.255.0
1．数据包采集
基于端口的镜像，则连同数据链路层一起采集。
基于流的镜像，则只采集到经过ACL过滤后的网络层的数据包。
2．数据包复制
在Mirror镜像模式下，采集到的数据包要复制一份，转发到镜像端口。
在Redirect镜像模式下，采样到的流量被直接送到监控端口，而不再进行原转发处理。
3．镜像包转发
一.2.1
按照功能划分，端口镜像模块分为两种类型：
基于端口的镜像
端口镜像就是将被监控端口上的数据复制到指定的监控端口，对数据进行分析和监视。
在基于端口的镜像模式下，如果源端口和目的端口类型相同，则不用改变链路层封装，直接使用原数据包的链路层转发；若不同，则将原来链路层以上的内容进行二次封装，使用目的接口的链路层封装。
其中：
direction：配置源端口流量采集方向。
both：配置源端口流量采集方向是入向和出向。
tx：配置源端口流量采集方向是出向。
rx：配置源端口流量采集方向是入向。
二.3.2
如图2.31所示，接口fei_1/1与fei_1/2为路由器上两个端口，fei_1/1属于192.168.0.0网段，fei_1/2属于10.0.0.0网段。
ZXR10(config-if)#ip address10.0.0.2 255.255.255.0
ZXR10(config-if)#exit
ZXR10(config)#interface fei_1/3