城域网常见交换机端口和远程镜像分析

城域网常见交换机端口及远程镜像

郭锐雄

一、案例描述

镜像即将一个端口的流量复制到另一个端口，以便抓包处理，镜像分三种：

1、本地端口镜像：即将一个端口流量镜像到同一交换机的另一端口。

2、二层端口镜像（rspan）：将镜像流量转到某一个vlan内，虽然流量是单

播，但一般设备对未知单播都会做广播处理，故任何一个加入该vlan的端口均可抓到该镜像流量。

3、三层流量接口（erspan）：将流量镜像到远程的三层接口，需要有到该端

口的路由。

4、流镜像：流镜像是指在设备上配置一定的规则，将符合规则的特定业务

流复制到观察端口进行分析和监控。

二、常见交换机镜像配置

一、华为S9312端口镜像：

1、本地镜像（本例是配置M:N的镜像，即将M个镜像端口的报文复制

到N个不同的观察端口，这里讲接口改成一个就是普通的端口镜像）：

a) 配置观察端口：

[Switch] observe-port 1 interface-range gigabitethernet 1/0/4

gigabitethernet 1/0/5（如果是单个接口就interface ，不带range）

b)配置镜像端口：

[Switch-GigabitEthernet1/0/1]port-mirroring to observe-port 1

inbound //将接口GE1/0/1的入方向绑定到索引为1的观察端

口上

c) 查看观察端口和镜像端口

display observe-port

display port-mirroring

e) 本地流镜像

在Switch上配置接口GE1/0/2为本地观察端口：

[Switch] observe-port 1 interface gigabitethernet 1/0/2

在Switch上创建流分类c1，并配置流分类规则匹配以下两类报

文：源地址为10.1.1.0/24，目的TCP端口号为80的端口号；

[Switch] acl number 3000

[Switch-acl-adv-3000] rule permit tcp source 10.1.1.0 0.0.0.255

destination-port eq 80

[Switch-acl-adv-3000] quit

[Switch] traffic classifier c1 operator or

[Switch-classifier-c1] if-match acl 3000

在Switch上创建流行为b1，并配置流行为是流镜像，将指定报

文流镜像到本地观察端口GE1/0/2。

[Switch] traffic behavior b1

[Switch-behavior-b1] mirroring to observe-port 1

[Switch-behavior-b1] quit

在Switch上创建流策略p1，将流分类和对应的流行为进行绑定，

并将流策略应用到接口GE1/0/1的入方向上

[Switch] traffic policy p1

[Switch-trafficpolicy-p1] classifier c1 behavior b1

[Switch-trafficpolicy-p1] quit

[Switch] interface gigabitethernet 1/0/1

[Switch-GigabitEthernet1/0/1]traffic-policy p1 inbound

f)查看流分类配置信息

display traffic classifier user-defined c1

2、二层端口镜像

a)在SwitchA上配置观察端口

在SwitchA上配置接口GE1/0/2为二层远程观察端口，绑定的

VLAN为VLAN10，观察端口会将镜像报文向VLAN10进行转发，

不需要在观察端口下进行接口加入VLAN的操作。

[SwitchA]observe-port 1 interface gigabitethernet1/0/2 vlan 10

b)在SwitchA上配置镜像端口

在SwitchA上配置接口GE1/0/1为镜像端口，将其入方向绑定到

二层远程观察端口，即将镜像端口接收到的报文复制一份到二层

远程观察端口。

[SwitchA] interface gigabitethernet 1/0/1

[SwitchA-GigabitEthernet1/0/1] port-mirroring to observe-port 1

inbound

c)在SwitchB上创建VLAN10，将接口GE1/0/1和GE1/0/2加入

VLAN10，图中的server便能收到镜像报文。

d)验证配置结果的命令和本地镜像一样，这里不做赘述。

3、有时候配置二层远程端口镜像需要关闭MAC学习功能.

由于镜像报文的目的MAC与原始报文目的MAC相同，不是监控设备的MAC，也就是说，镜像报文不能通过MAC表进行转发，而是依赖未知单播的处理流程——广播方式进行转发。假设用于走镜像流量的VLAN为vlan10，只要VLAN10对应的MAC表中不包含镜像报文目的MAC对应的表项，镜像报文就可以通过广播方式转发到Server。

特别注意做二层镜像的时候最好不要同时抓同一端口的出入两个方向的包，以上图中抓HostA和HostB的通信包为例，如果在SwitchA的GE1/0/1口同时抓出、入两个方向的包，因为GE1/0/1的入方向就有以MacA为源MAC地址，以MacB为目的MAC地址的