目  录

1 镜像典型配置举例

1.1 简介

1.2 本地端口镜像典型配置举例

1.2.1 适用产品和版本

1.2.2 组网需求

1.2.3 配置思路

1.2.4 配置注意事项

1.2.5 配置步骤

1.2.6 验证配置

1.2.7 配置文件

1.3 二层远程端口镜像典型配置指导

1.3.1 适用产品和版本

1.3.1 组网需求

1.3.2 配置思路

1.3.3 配置注意事项

1.3.4 配置步骤

1.3.5 验证配置

1.3.6 配置文件

1.4 本地流镜像典型指导

1.4.1 适用产品和版本

1.4.2 组网需求

1.4.3 配置思路

1.4.4 配置步骤

1.4.5 验证配置

1.4.6 配置文件

1.5 远程流镜像典型配置指导

1.5.1 适用产品和版本

1.5.2 组网需求

1.5.3 配置思路

1.5.4 配置注意事项

1.5.5 配置步骤

1.5.6 验证配置

1.5.7 配置文件

1.6 灵活控制镜像的输出内容

1.6.1 适用产品和版本

1.6.2 组网需求

1.6.3 配置思路

1.6.4 配置步骤

1.6.5 验证配置

1.6.6 配置文件

 

1  镜像典型配置举例

1.1  简介

本章介绍了端口镜像和流镜像的典型配置举例。

1.2  本地端口镜像典型配置举例

1.2.1  适用产品和版本

表1 配置适用的产品与软件版本关系

产品	软件版本
S5830V2&S5820V2系列以太网交换机	Release 2208P01，Release 2210

 

1.2.2  组网需求

如图1所示，某公司内部通过交换机实现各部门之间的互连。现要求通过配置本地端口镜像功能，使用数据监测设备对研发部和市场部访问Internet的流量以及两个部门之间互访的流量进行监控。

图1 本地端口镜像组网图

 

1.2.3  配置思路

当待镜像的数据全部都会经过连接数据监测设备的交换机进行转发时，可以使用本地端口镜像功能实现该需求。

1.2.4  配置注意事项

·     本地镜像组需要配置源端口、目的端口才能生效。其中源端口和目的端口不能是现有镜像组的成员端口。

·     目的端口收到的报文包括复制自源端口的报文和来自其它端口的正常转发报文。为了保证数据监测设备只对源端口的报文进行分析，请将目的端口只用于端口镜像，不作其它用途。

1.2.5  配置步骤

# 创建本地镜像组。

<SwitchC> system-view

[SwitchC] mirroring-group 1 local

# 将Ten-GigabitEthernet1/0/1和Ten-GigabitEthernet1/0/2配置为镜像源端口，对这两个端口接收的报文进行镜像。

[SwitchC] mirroring-group 1 mirroring-port Ten-GigabitEthernet 1/0/1 Ten-GigabitEthernet 1/0/2 inbound

# 将Ten-GigabitEthernet1/0/3配置为镜像目的端口。

[SwitchC] mirroring-group 1 monitor-port Ten-GigabitEthernet 1/0/3

# 为了不影响镜像功能的正常使用，需要将目的端口Ten-GigabitEthernet1/0/3上的生成树协议关闭。

[SwitchC] interface ten-gigabitethernet 1/0/3

[SwitchC-Ten-GigabitEthernet1/0/3] undo stp enable

[SwitchC-Ten-GigabitEthernet1/0/3] quit

1.2.6  验证配置

# 在完成上述配置后，在SwitchC上显示镜像组1的配置信息。

[SwitchC] display mirroring-group 1

Mirroring group 1:

    Type: Local                                                                

    Status: Active                                                             

    Mirroring port:                                                             

        Ten-GigabitEthernet1/0/1  Inbound                                      

        Ten-GigabitEthernet1/0/2  Inbound                                      

    Monitor port: Ten-GigabitEthernet1/0/3

1.2.7  配置文件

#

 mirroring-group 1 local

#

interface Ten-GigabitEthernet1/0/1

 mirroring-group 1 mirroring-port inbound

#

interface Ten-GigabitEthernet1/0/2

 mirroring-group 1 mirroring-port inbound

#

interface Ten-GigabitEthernet1/0/3

 undo stp enable

 mirroring-group 1 monitor-port

#

1.3  二层远程端口镜像典型配置指导

1.3.1  适用产品和版本

表2 配置适用的产品与软件版本关系

产品	软件版本
S5830V2&S5820V2系列以太网交换机	Release 2208P01，Release 2210

 

1.3.1  组网需求

如图2所示，某公司内部通过交换机实现各部门之间的互连。现要求通过配置二层远程端口镜像功能，使用数据监测设备对研发部发送的报文进行监控。

图2 配置远程端口镜像组网图

 

1.3.2  配置思路

·     当源设备与目的设备不是直接相连，且源设备与目的设备之间通过二层网络进行连接时，则需要配置二层远程端口镜像。

·     在配置远程源镜像VLAN时，需要指定网络中未使用VLAN。

1.3.3  配置注意事项

配置远程端口镜像的源设备时需要注意：

·     一个远程源镜像组只能配置一个出端口。

·     出端口不能为现有镜像组的成员端口。

·     配置远程镜像VLAN时，要求该VLAN为静态VLAN并预先创建。

·     远程镜像VLAN不用做其他用途，仅用于远程镜像功能。

·     一个远程镜像VLAN只能被一个远程源镜像组使用。

配置远程端口镜像的目的设备时需要注意：

·     目的端口不能是现有镜像组的成员端口。

·     目的端口不用做其他用途，仅用于端口镜像。

·     配置远程镜像VLAN时，要求该VLAN为静态VLAN并预先创建。

·     远程镜像VLAN不用做其他用途，仅用于远程镜像功能。

·     一个远程镜像VLAN只能被一个远程目的镜像组使用。

1.3.4  配置步骤

1. Switch A的配置（目的设备）

# 配置端口Ten-GigabitEthernet 1/0/1和Ten-GigabitEthernet1/0/3的端口类型为Trunk端口，允许VLAN 2的报文通过。

<SwitchA> system-view

[SwitchA] interface Ten-GigabitEthernet 1/0/1

[SwitchA-Ten-GigabitEthernet1/0/1] port link-type trunk

[SwitchA-Ten-GigabitEthernet1/0/1] port trunk permit vlan 2

[SwitchA-Ten-GigabitEthernet1/0/1] quit

[SwitchA] interface Ten-GigabitEthernet 1/0/3

[SwitchA-Ten-GigabitEthernet1/0/3] port link-type trunk

[SwitchA-Ten-GigabitEthernet1/0/3] port trunk permit vlan 2

[SwitchA-Ten-GigabitEthernet1/0/3] quit

# 创建远程目的镜像组。

[SwitchA] mirroring-group 1 remote-destination

# 创建VLAN 2。

[SwitchA] vlan 2

[SwitchA-vlan2] quit

# 为远程目的镜像组配置远程镜像VLAN和目的端口。

[SwitchA] mirroring-group 1 remote-probe vlan 2

[SwitchA] mirroring-group 1 monitor-port Ten-GigabitEthernet 1/0/2

# 将镜像目的端口加入远程镜像VLAN。将镜像数据发送给监测设备时，不需要携带远程镜像VLAN的VLAN Tag，因此将该端口配置为Access端口。

[SwitchA] interface Ten-GigabitEthernet 1/0/2

[SwitchA-Ten-GigabitEthernet1/0/2] port access vlan 2

# 为了不影响镜像功能的正常使用，需要将出端口Ten-GigabitEthernet1/0/2上的生成树协议关闭。

[SwitchC-Ten-GigabitEthernet1/0/2] undo stp enable

[SwitchA-Ten-GigabitEthernet1/0/2] quit

2. Switch B的配置（中间设备）

# 创建VLAN 2。

<SwitchB> system-view

[SwitchB] vlan 2

[SwitchB-vlan2] quit

# 配置端口Ten-GigabitEthernet 1/0/1的端口类型为Trunk端口，允许VLAN 2的报文通过。

[SwitchB] interface Ten-GigabitEthernet 1/0/1

[SwitchB-Ten-GigabitEthernet1/0/1] port link-type trunk

[SwitchB-Ten-GigabitEthernet1/0/1] port trunk permit vlan 2

[SwitchB-Ten-GigabitEthernet1/0/1] quit

# 配置端口Ten-GigabitEthernet 1/0/2的端口类型为Trunk端口，允许VLAN 2的报文通过。

[SwitchB] interface Ten-GigabitEthernet 1/0/2

[SwitchB-Ten-GigabitEthernet1/0/2] port link-type trunk

[SwitchB-Ten-GigabitEthernet1/0/2] port trunk permit vlan 2

[SwitchB-Ten-GigabitEthernet1/0/2] quit

3. Switch C和Switch D的配置（源设备）

# 创建远程源镜像组。

<SwitchC> system-view

[SwitchC] mirroring-group 1 remote-source

# 创建VLAN 2。

[SwitchC] vlan 2

[SwitchC-vlan2] quit

# 为远程源镜像组配置远程镜像VLAN、源端口和出端口。

[SwitchC] mirroring-group 1 remote-probe vlan 2

[SwitchC] mirroring-group 1 mirroring-port Ten-GigabitEthernet 1/0/1 inbound

[SwitchC] mirroring-group 1 monitor-egress Ten-GigabitEthernet 1/0/2

# 配置端口Ten-GigabitEthernet 1/0/2的端口类型为Trunk端口，允许VLAN 2的报文通过。

[SwitchC] interface Ten-GigabitEthernet 1/0/2

[SwitchC-Ten-GigabitEthernet1/0/2] port link-type trunk

[SwitchC-Ten-GigabitEthernet1/0/2] port trunk permit vlan 2

# 为了不影响镜像功能的正常使用，需要将出端口Ten-GigabitEthernet1/0/2上的生成树协议、MAC地址学习功能关闭。

[SwitchC-Ten-GigabitEthernet1/0/2] undo stp enable

[SwitchC-Ten-GigabitEthernet1/0/2] undo mac-address mac-learning enable

[SwitchC-Ten-GigabitEthernet1/0/2] quit

 

1.3.5  验证配置

# 在完成上述配置后，在SwitchC上显示镜像组1的配置信息。

[SwitchC] display mirroring-group 1

Mirroring group 1:                                                             

    Type: Remote source                                                        

    Status: Active                                                             

    Mirroring port:                                                            

        Ten-GigabitEthernet1/0/1  Inbound                                      

    Monitor egress port: Ten-GigabitEthernet1/0/2                              

    Remote probe VLAN: 2

# 在SwitchA上显示镜像组1的配置信息。

[SwitchA] display mirroring-group 1

Mirroring group 1:                                                             

    Type: Remote destination                                                   

    Status: Active                                                              

    Monitor port: Ten-GigabitEthernet1/0/2                                     

    Remote probe VLAN: 2

1.3.6  配置文件

·     设备Switch A：

#

 mirroring-group 1 remote-destination

 mirroring-group 1 remote-probe vlan 2

#

vlan 2

#

interface Ten-GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 1 to 2

#

interface Ten-GigabitEthernet1/0/2

 port access vlan 2

 undo stp enable

 mirroring-group 1 monitor-port

#

interface Ten-GigabitEthernet1/0/3

 port link-type trunk

 port trunk permit vlan 1 to 2

·     设备Switch B：

#

vlan 2

#

interface Ten-GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 1 to 2

#

interface Ten-GigabitEthernet1/0/2

 port link-type trunk

 port trunk permit vlan 1 to 2

#

·     设备Switch C：

#

 mirroring-group 1 remote-source

 mirroring-group 1 remote-probe vlan 2

#

vlan 2

#

interface Ten-GigabitEthernet1/0/1

 mirroring-group 1 mirroring-port inbound

#

interface Ten-GigabitEthernet1/0/2

 port link-type trunk

 port trunk permit vlan 1 to 2

 undo stp enable

 undo mac-address mac-learning enable

 mirroring-group 1 monitor-egress

#

1.4  本地流镜像典型指导

1.4.1  适用产品和版本

表3 适用产品和版本

产品	软件版本
S5830V2&S5820V2系列以太网交换机	Release 2208P01，Release 2210

 

1.4.2  组网需求

如图3所示，某公司内部各部门使用不同网段的IP地址，其中研发部使用10.1.1.1/24网段，市场部使用12.1.1.0/24网段，公共服务器群使用14.1.1.0/24网段。现要求通过配置本地流镜像功能，使用数据监测设备对以下两种数据进行镜像：

·     研发部主机访问Internet时发送的HTTP流量

·     在工作日的非工作时间段（工作时间段为8:30至18:00），市场部Host A主机从公共服务器群接收到的报文

图3 本地流镜像组网示意图

 

1.4.3  配置思路

配置本地流镜像功能时，首先需要根据报文特点制定需要镜像报文的分类规则，然后，在设备上对以上分类的报文采用镜像到指定端口（连接数据监测设备的端口）的动作，即可以实现组网需求。

1.4.4  配置步骤

(1)     定义对研发部上网流量进行镜像的QoS策略

# 创建ACL 3000，匹配研发部的上网流量。

<SwitchA> system-view

[SwitchA] acl number 3000

[SwitchA-acl-adv-3000] rule permit tcp destination-port eq 80 source 10.1.1.0 0.0.0.255

[SwitchA-acl-adv-3000] quit

# 创建流分类classifier_research，匹配ACL 3000。

[SwitchA] traffic classifier classifier_research

[SwitchA-classifier-classifier_research] if-match acl 3000

[SwitchA-classifier-classifier_research] quit

# 定义流行为behavior_research，动作为镜像至端口Ten-GigabitEthernet 1/0/2。

[SwitchA] traffic behavior behavior_research

[SwitchA-behavior-behavior_research] mirror-to interface Ten-GigabitEthernet 1/0/2

[SwitchA-behavior-behavior_research] quit

# 定义策略policy_research，为类classifier_research指定流行为behavior_research。

[SwitchA] qos policy policy_research

[SwitchA-qospolicy-policy_research] classifier classifier_research behavior behavior_research

[SwitchA-qospolicy-policy_research] quit

(2)     定义对市场部Host A主机从公共服务器获取的数据进行镜像的QoS策略

# 定义两个非工作时间段，分别为工作日的0:00至8:30和18:00至24:00，并分别命名为“off-work1”和“off-work2”。

[SwitchA] time-range off-work1 0:00 to 8:30 working-day

[SwitchA] time-range off-work2 18:00 to 24:00 working-day

# 创建ACL 3001，通过两条规则来匹配公共服务器在非工作时间段发往Host A主机的数据。

[SwitchA] acl number 3001

[SwitchA-acl-adv-3001] rule permit ip destination 12.1.1.1 0.0.0.0 source 14.1.1.0 0.0.0.255 time-range off-work1

[SwitchA-acl-adv-3001] rule permit ip destination 12.1.1.1 0.0.0.0 source 14.1.1.0 0.0.0.255 time-range off-work2

[SwitchA-acl-adv-3001] quit

# 创建流分类classifier_market，匹配ACL 3001。

[SwitchA] traffic classifier classifier_market

[SwitchA-classifier-classifier_market] if-match acl 3001

[SwitchA-classifier-classifier_market] quit

# 定义流行为behavior_market，动作为镜像至端口Ten-GigabitEthernet 1/0/2。

[SwitchA] traffic behavior behavior_market

[SwitchA-behavior-behavior_market] mirror-to interface Ten-GigabitEthernet 1/0/2

[SwitchA-behavior-behavior_market] quit

# 定义策略policy_market，为类classifier_market指定流行为behavior_market。

[SwitchA] qos policy policy_market

[SwitchA-qospolicy-policy_market] classifier classifier_market behavior behavior_market

[SwitchA-qospolicy-policy_market] quit

(3)     应用QoS策略

# 将policy_research策略应用到Ten-GigabitEthernet1/0/1端口的入方向。

[SwitchA] interface Ten-GigabitEthernet 1/0/1

[SwitchA-Ten-GigabitEthernet1/0/1] qos apply policy policy_research inbound

# 将policy_market策略应用到Ten-GigabitEthernet1/0/1端口的出方向。

[SwitchA-Ten-GigabitEthernet1/0/1] qos apply policy policy_market outbound

[SwitchA-Ten-GigabitEthernet1/0/1] quit

1.4.5  验证配置

# 在完成上述配置后，在SwitchA上验证流镜像的配置信息。

[SwitchA] display qos policy interface Ten-GigabitEthernet 1/0/1                 

                                                                               

  Interface: Ten-GigabitEthernet1/0/1                                            

                                                                               

  Direction: Inbound                                                           

                                                                                

  Policy: policy_research                                                      

   Classifier: classifier_research                                             

     Operator: AND                                                              

     Rule(s) : If-match acl 3000                                               

     Behavior: behavior_research                                               

      Mirroring:                                                               

        Mirror to the interface: Ten-GigabitEthernet1/0/2                      

                                                                               

  Direction: Outbound                                                          

                                                                               

  Policy: policy_market                                                        

   Classifier: classifier_market                                               

     Operator: AND                                                             

     Rule(s) : If-match acl 3001                                               

     Behavior: behavior_market                                                  

      Mirroring:                                                               

        Mirror to the interface: Ten-GigabitEthernet1/0/2

1.4.6  配置文件

#

 time-range off-work1 00:00 to 08:30 working-day

 time-range off-work2 18:00 to 24:00 working-day

#

acl number 3000

 rule 0 permit tcp source 10.1.1.0 0.0.0.255 destination-port eq www

acl number 3001

 rule 0 permit ip source 14.1.1.0 0.0.0.255 destination 12.1.1.1 0 time-range off-work1

 rule 5 permit ip source 14.1.1.0 0.0.0.255 destination 12.1.1.1 0 time-range off-work2

#

traffic classifier classifier_research operator and

 if-match acl 3000

traffic classifier classifier_market operator and

 if-match acl 3001

#

traffic behavior behavior_research

 mirror-to interface Ten-GigabitEthernet1/0/2

traffic behavior behavior_market

 mirror-to interface Ten-GigabitEthernet1/0/2

#

qos policy policy_research

 classifier classifier_research behavior behavior_research

qos policy policy_market

 classifier classifier_market behavior behavior_market

#

interface Ten-GigabitEthernet1/0/1

 qos apply policy policy_research inbound

 qos apply policy policy_market outbound

1.5  远程流镜像典型配置指导

1.5.1  适用产品和版本

表4 适用产品和版本

产品	软件版本
S5830V2&S5820V2系列以太网交换机	Release 2208P01，Release 2210

 

1.5.2  组网需求

如图4所示，某公司内部各部门使用不同网段的IP地址，其中研发部使用10.1.1.1/24网段，市场部使用12.1.1.0/24网段，公共服务器群使用14.1.1.0/24网段。现要求通过配置远程流镜像功能，使用数据监测设备对以下两种数据进行镜像：

·     研发部主机访问Internet时发送的HTTP流量

·     在工作日的非工作时间段（工作时间段为8:30至18:00），市场部Host A主机从公共服务器群接收到的报文

图4 远程流镜像组网示意图

 

1.5.3  配置思路

接收和发送待镜像流量的设备没有与数据监测设备直连时，需要使用远程流镜像的方法实现该需求。

 

1.5.4  配置注意事项

远程流镜像功能是通过本地流镜像和二层远程端口镜像配合使用来实现的，相关的配置注意事项请参见1.3  和1.4  小节中相应的配置注意事项部分。

1.5.5  配置步骤

1. Switch A的配置

# 创建ACL 3000，匹配研发部的上网流量。

<SwitchA> system-view

[SwitchA] acl number 3000

[SwitchA-acl-adv-3000] rule permit tcp destination-port eq 80 source 10.1.1.0 0.0.0.255

[SwitchA-acl-adv-3000] quit

# 创建流分类classifier_research，匹配ACL 3000。

[SwitchA] traffic classifier classifier_research

[SwitchA-classifier-classifier_research] if-match acl 3000

[SwitchA-classifier-classifier_research] quit

# 定义流行为behavior_research，动作为镜像至端口Ten-GigabitEthernet 1/0/4。

[SwitchA] traffic behavior behavior_research

[SwitchA-behavior-behavior_research] mirror-to interface Ten-GigabitEthernet 1/0/4

[SwitchA-behavior-behavior_research] quit

# 定义策略policy_research，为类classifier_research指定流行为behavior_research。

[SwitchA] qos policy policy_research

[SwitchA-qospolicy-policy_research] classifier classifier_research behavior behavior_research

[SwitchA-qospolicy-policy_research] quit

# 定义两个非工作时间段，分别为工作日的0:00至8:30和18:00至24:00，并分别命名为“off-work1”和“off-work2”。

[SwitchA] time-range off-work1 0:00 to 8:30 working-day

[SwitchA] time-range off-work2 18:00 to 24:00 working-day

# 创建ACL 3001，通过两条规则来匹配公共服务器在非工作时间段发往Host A主机的数据。

[SwitchA] acl number 3001

[SwitchA-acl-adv-3001] rule permit ip destination 12.1.1.1 0.0.0.0 source 14.1.1.0 0.0.0.255 time-range off-work1

[SwitchA-acl-adv-3001] rule permit ip destination 12.1.1.1 0.0.0.0 source 14.1.1.0 0.0.0.255 time-range off-work2

[SwitchA-acl-adv-3001] quit

# 创建流分类classifier_market，匹配ACL 3001。

[SwitchA] traffic classifier classifier_market

[SwitchA-classifier-classifier_market] if-match acl 3001

[SwitchA-classifier-classifier_market] quit

# 定义流行为behavior_market，动作为镜像至端口Ten-GigabitEthernet 1/0/4。

[SwitchA] traffic behavior behavior_market

[SwitchA-behavior-behavior_market] mirror-to interface Ten-GigabitEthernet 1/0/4

[SwitchA-behavior-behavior_market] quit

# 定义策略policy_market，为类classifier_market指定流行为behavior_market。

[SwitchA] qos policy policy_market

[SwitchA-qospolicy-policy_market] classifier classifier_market behavior behavior_market

[SwitchA-qospolicy-policy_market] quit

# 将policy_research策略应用到Ten-GigabitEthernet1/0/1端口的入方向。

[SwitchA] interface Ten-GigabitEthernet 1/0/1

[SwitchA-Ten-GigabitEthernet1/0/1] qos apply policy policy_research inbound

[SwitchA-Ten-GigabitEthernet1/0/1] quit

# 将policy_market策略应用到Ten-GigabitEthernet1/0/2端口的出方向。

[SwitchA] interface Ten-GigabitEthernet 1/0/2

[SwitchA-Ten-GigabitEthernet1/0/2] qos apply policy policy_market outbound

[SwitchA-Ten-GigabitEthernet1/0/2] quit

# 创建远程源镜像组。

[SwitchA] mirroring-group 1 remote-source

# 将任意未使用的VLAN（此处以新创建VLAN2为例）作为远程镜像VLAN。

[SwitchA] vlan 2

[SwitchA-vlan2] quit

[SwitchA] mirroring-group 1 remote-probe vlan 2

# 指定任意未使用的端口作为镜像源端口（此处以Ten-GigabitEthernet1/0/10为例），将Ten-GigabitEthernet 1/0/4配置为镜像出端口。

[SwitchA] mirroring-group 1 mirroring-port Ten-GigabitEthernet 1/0/10 inbound

[SwitchA] mirroring-group 1 monitor-egress Ten-GigabitEthernet 1/0/4

 

# 配置端口Ten-GigabitEthernet 1/0/4的端口类型为Trunk端口，允许VLAN 2的报文通过。

[SwitchA] interface Ten-GigabitEthernet 1/0/4

[SwitchA-Ten-GigabitEthernet1/0/4] port link-type trunk

[SwitchA-Ten-GigabitEthernet1/0/4] port trunk permit vlan 2

[SwitchA-Ten-GigabitEthernet1/0/4] quit

2. Switch B的配置

# 配置端口Ten-GigabitEthernet 1/0/1端口类型为Trunk端口，允许VLAN 2的报文通过。

<SwitchB> system-view

[SwitchB] interface Ten-GigabitEthernet 1/0/1

[SwitchB-Ten-GigabitEthernet1/0/1] port link-type trunk

[SwitchB-Ten-GigabitEthernet1/0/1] port trunk permit vlan 2

[SwitchB-Ten-GigabitEthernet1/0/1] quit

# 创建远程目的镜像组。

[SwitchB] mirroring-group 1 remote-destination

# 配置与Switch A相同的远程镜像VLAN。

[SwitchB] vlan 2

[SwitchB-vlan2] quit

[SwitchB] mirroring-group 1 remote-probe vlan 2

# 将Ten-GigabitEthernet1/0/2配置为远程目的镜像组的目的端口。

[SwitchB] mirroring-group 1 monitor-port Ten-GigabitEthernet 1/0/2

# 将镜像目的端口加入远程镜像VLAN。将镜像数据发送给监测设备时，不需要携带远程镜像VLAN的VLAN Tag，因此将该端口配置为Access端口。

[SwitchB] interface Ten-GigabitEthernet 1/0/2

[SwitchB-Ten-GigabitEthernet1/0/2] port access vlan 2

[SwitchB-Ten-GigabitEthernet1/0/2] quit

1.5.6  验证配置

# 在完成上述配置后，在SwitchA上验证流镜像的配置信息。

[SwitchA] display qos policy interface

                                                                               

  Interface: Ten-GigabitEthernet1/0/1                                             

                                                                               

  Direction: Inbound                                                           

                                                                                

  Policy: policy_research                                                      

   Classifier: classifier_research                                             

     Operator: AND                                                             

     Rule(s) : If-match acl 3000                                               

     Behavior: behavior_research                                               

      Mirroring:                                                           

        Mirror to the interface: Ten-GigabitEthernet1/0/4                             

                                                                               

  Interface: Ten-GigabitEthernet1/0/2                                            

                                                                               

  Direction: Outbound                                                          

                                                                               

  Policy: policy_market                                                        

   Classifier: classifier_market                                               

     Operator: AND                                                             

     Rule(s) : If-match acl 3001                                               

     Behavior: behavior_market                                                 

      Mirroring:                                                           

        Mirror to the interface: Ten-GigabitEthernet1/0/4                             

# 在SwitchA上验证镜像组1的配置信息。

[SwitchA] display mirroring-group 1

Mirroring group 1:                                                             

    Type: Remote source                                                        

    Status: Active                                                             

    Mirroring port:                                                            

        Ten-GigabitEthernet1/0/10  Inbound                                     

    Monitor egress port: Ten-GigabitEthernet1/0/4                             

    Remote probe VLAN: 2

# 在SwitchB上验证镜像组1的配置信息。

[SwitchB] display mirroring-group 1

Mirroring group 1:                                                              

    Type: Remote destination                                                   

    Status: Active                                                             

    Monitor port: Ten-GigabitEthernet1/0/2                                     

    Remote probe VLAN: 2

1.5.7  配置文件

·     设备Switch A

#

 mirroring-group 1 remote-source

 mirroring-group 1 remote-probe vlan 2

#

 time-range off-work1 00:00 to 08:30 working-day

 time-range off-work2 18:00 to 24:00 working-day 

#

acl number 3000

 rule 0 permit tcp source 10.1.1.0 0.0.0.255 destination-port eq www

acl number 3001

 rule 0 permit ip source 14.1.1.0 0.0.0.255 destination 12.1.1.1 0 time-range off-work1

 rule 5 permit ip source 14.1.1.0 0.0.0.255 destination 12.1.1.1 0 time-range off-work2

#

vlan 2 

#

traffic classifier classifier_research operator and

 if-match acl 3000

traffic classifier classifier_market operator and

 if-match acl 3001

#

traffic behavior behavior_research

 mirror-to interface Ten-GigabitEthernet1/0/4

traffic behavior behavior_market

 mirror-to interface Ten-GigabitEthernet1/0/4

#

qos policy policy_market

 classifier classifier_market behavior behavior_market

qos policy policy_research

 classifier classifier_research behavior behavior_research

#

interface Ten-GigabitEthernet1/0/1

 qos apply policy policy_research inbound

#

interface Ten-GigabitEthernet1/0/2

 qos apply policy policy_market outbound

#

interface Ten-GigabitEthernet1/0/4

 port link-type trunk

 port trunk permit vlan 1 to 2

 mirroring-group 1 monitor-egress 

#

interface Ten-GigabitEthernet1/0/10

 mirroring-group 1 mirroring-port inbound

#

·     设备Switch B

#

 mirroring-group 1 remote-destination

 mirroring-group 1 remote-probe vlan 2

#

vlan 2 

interface Ten-GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 1 to 2

#

interface Ten-GigabitEthernet1/0/2

 port access vlan 2

 mirroring-group 1 monitor-port 

#

1.6  灵活控制镜像的输出内容

1.6.1  适用产品和版本

产品	软件版本
S5830V2&S5820V2系列以太网交换机	Release 2208P01，Release 2210

 

1.6.2  组网需求

如图5所示，某公司内部各部门使用不同网段的IP地址，其中研发部使用10.1.1.1/24网段，市场部使用12.1.1.0/24网段，公共服务器使用14.1.1.0/24网段。现要求通过配置流镜像，使用数据监测设备对网络中的流量进行监测，以达到如下需求：

·     通过Switch A上连接的监测设备收集公共服务器群发给各客户端的所有数据，由于文件服务器提供的服务数据较多，因此仅在工作日的非工作时间进行监测（工作时间为8:30至18:00）。

·     通过Switch A上连接的监测设备收集市场部主机上网时发送的数据，但对于经理办公室的主机发送的内容不作收集。

·     通过Switch B上连接的数据监测设备监控由研发部工作站向外发送的所有报文，对于研发对外服务器发送的报文，仅在工作日的非工作时间进行监测。

图5 灵活控制镜像的输出内容组网示意图

 

1.6.3  配置思路

为了过滤同一类数据源中特定源的数据，可以使用镜像和包过滤功能进行配合，或者通过QoS策略的配置技巧，使特定源的数据不作镜像或是不输出到数据监测设备。目前可以采取以下三种方式来进行配置：

·     对特定源数据首先采用filter permit动作，并先于镜像动作下发，使特定源数据不作镜像。

·     在镜像数据的出端口采用filter deny动作的QoS策略，过滤掉特定源数据，使其不被监测设备接收。

·     在镜像数据的出端口上使用packet-filter命令，过滤掉特定源数据，使其不被监测设备接收。

1.6.4  配置步骤

1. Switch A的配置

(1)     配置Switch A对于公共服务器发送的数据进行镜像

·     创建并应用对公共服务器发送的所有数据进行镜像的QoS策略

# 创建ACL 2000，匹配公共服务器网段（14.1.1.0/24）发送的所有数据。

<SwitchA> system-view

[SwitchA] acl number 2000

[SwitchA-acl-basic-2000] rule permit source 14.1.1.0 0.0.0.255 

[SwitchA-acl-basic-2000] quit

# 创建流分类classifier_servers匹配ACL 2000。

[SwitchA] traffic classifier classifier_servers

[SwitchA-classifier-classifier_servers] if-match acl 2000

[SwitchA-classifier-classifier_servers] quit

# 定义流行为behavior_servers，动作为镜像至端口Ten-GigabitEthernet 1/0/3。

[SwitchA] traffic behavior behavior_servers

[SwitchA-behavior-behavior_servers] mirror-to interface Ten-GigabitEthernet 1/0/3

[SwitchA-behavior-behavior_servers] quit

# 定义策略policy_servers，为类classifier_servers指定流行为behavior_servers。

[SwitchA] qos policy policy_servers

[SwitchA-qospolicy-policy_servers] classifier classifier_servers behavior behavior_servers

[SwitchA-qospolicy-policy_servers] quit

# 将策略policy_servers应用到Ten-GigabitEthernet 1/0/4端口的入方向

[SwitchA] interface Ten-GigabitEthernet 1/0/4

[SwitchA-Ten-GigabitEthernet1/0/4] qos apply policy policy_servers inbound

[SwitchA-Ten-GigabitEthernet1/0/4] quit

·     通过QoS策略过滤文件服务器在工作时间发送的数据

# 定义一个ACL生效时间段，为工作日的8:30至18:00，并命名为“work-time”。

[SwitchA] time-range work-time 8:30 to 18:00 working-day

# 创建ACL 2001，创建规则来匹配文件服务器（14.1.1.10）在工作时间段发送的数据。

[SwitchA] acl number 2001

[SwitchA-acl-basic-2001] rule permit source 14.1.1.10 0.0.0.0 time-range work-time

[SwitchA-acl-basic-2001] quit

# 创建流分类classifier_fileserver，匹配ACL 2001。

[SwitchA] traffic classifier classifier_fileserver

[SwitchA-classifier-classifier_fileserver] if-match acl 2001

[SwitchA-classifier-classifier_fileserver] quit

# 定义流行为behavior_fileserver，动作为拒绝通过。

[SwitchA] traffic behavior behavior_fileserver

[SwitchA-behavior-behavior_fileserver] filter deny

[SwitchA-behavior-behavior_fileserver] quit

# 定义策略policy_fileserver，为类classifier_fileserver指定流行为behavior_fileserver。

[SwitchA] qos policy policy_fileserver

[SwitchA-qospolicy-policy_fileserver] classifier classifier_fileserver behavior behavior_fileserver

[SwitchA-qospolicy-policy_fileserver] quit

# 将策略policy_fileserver应用到Ten-GigabitEthernet 1/0/3端口的出方向

[SwitchA] interface Ten-GigabitEthernet 1/0/3

[SwitchA-Ten-GigabitEthernet1/0/3] qos apply policy policy_servers outbound

[SwitchA-Ten-GigabitEthernet1/0/3] quit

(2)     配置Switch A对市场部的上网报文进行镜像

·     创建对市场部所有上网报文进行镜像的流分类和流行为

# 创建ACL 3000，匹配市场部所在网段（12.1.1.0/24）的上网流量。

[SwitchA] acl number 3000

[SwitchA-acl-adv-3000] rule permit tcp destination-port eq 80 source 12.1.1.0 0.0.0.255

[SwitchA-acl-adv-3000] quit

# 创建流分类classifier_market，匹配ACL 3000。

[SwitchA] traffic classifier classifier_market

[SwitchA-classifier-classifier_market] if-match acl 3000

[SwitchA-classifier-classifier_market] quit

# 定义流行为behavior_market，动作为镜像至端口Ten-GigabitEthernet 1/0/3。

[SwitchA] traffic behavior behavior_market

[SwitchA-behavior-behavior_market] mirror-to interface Ten-GigabitEthernet 1/0/3

[SwitchA-behavior-behavior_market] quit

·     创建对市场部经理办公室主机的上网报文采取允许通过动作的流分类和流行为

# 创建ACL 3001，匹配市场部经理办公室的主机（12.1.1.100）的上网流量。

[SwitchA] acl number 3001

[SwitchA-acl-adv-3001] rule permit tcp destination-port eq 80 source 12.1.1.100 0.0.0.0

[SwitchA-acl-adv-3001] quit

# 创建流分类classifier_market_mgr，匹配ACL 3001。

[SwitchA] traffic classifier classifier_market_mgr

[SwitchA-classifier-classifier_market_mgr] if-match acl 3001

[SwitchA-classifier-classifier_market_mgr] quit

# 定义流行为behavior_market_mgr，动作为允许通过。

[SwitchA] traffic behavior behavior_market_mgr

[SwitchA-behavior-behavior_market_mgr] filter permit

[SwitchA-behavior-behavior_market_mgr] quit

·     创建QoS策略，将两组流分类和流行为分别进行关联

# 定义策略policy_market。

[SwitchA] qos policy policy_market

# 首先将为经理办公室主机配置的流分类和流行为进行关联。

[SwitchA-qospolicy-policy_market] classifier classifier_market_mgr behavior behavior_market_mgr

# 然后将对市场部上网报文进行镜像的流分类和流行为进行关联。

[SwitchA-qospolicy-policy_market] classifier classifier_market behavior behavior_market

# 显示当前策略下的流分类和流行为下发顺序。

[SwitchA-qospolicy-policy_market] display this

#

qos policy policy_market

 classifier classifier_market_mgr behavior behavior_market_mgr

 classifier classifier_market behavior behavior_market

#

return

[SwitchA-qospolicy-policy_market] quit

可以看到，对于经理办公室主机的流分类和流行为会先下发，因此该主机发送的上网报文将不会再执行镜像动作。

·     应用QoS策略

# 将策略policy_market应用到Ten-GigabitEthernet1/0/2端口的入方向

[SwitchA] interface Ten-GigabitEthernet 1/0/2

[SwitchA-Ten-GigabitEthernet1/0/2] qos apply policy policy_market inbound

[SwitchA-Ten-GigabitEthernet1/0/2] quit

2. Switch B的配置（对研发部发送的数据进行镜像）

·     在Switch B上配置本地镜像

# 创建本地镜像组。

<SwitchB> system-view

[SwitchB] mirroring-group 1 local

# 将Ten-GigabitEthernet1/0/1配置为镜像源端口，对这个端口接收的报文进行镜像。

[SwitchB] mirroring-group 1 mirroring-port Ten-GigabitEthernet 1/0/1 inbound

# 将Ten-GigabitEthernet1/0/2配置为镜像目的端口。

[SwitchB] mirroring-group 1 monitor-port Ten-GigabitEthernet 1/0/2

·     通过packet-filter功能过滤研发对外服务器在工作时间发送的数据

# 定义一个ACL生效时间段，为工作日的8:30至18:00，并命名为“work-time”。

[SwitchB] time-range work-time 8:30 to 18:00 working-day

# 创建ACL 2000，创建规则来匹配研发对外服务器（10.1.1.1）在工作时间段发送的数据。

[SwitchB] acl number 2000

[SwitchB-acl-basic-2000] rule permit source 10.1.1.1 0.0.0.0 time-range work-time

[SwitchB-acl-basic-2000] quit

# 在Ten-GigabitEthernet1/0/2的出方向使用packet-filter功能，对匹配ACL 2000的报文进行过滤。

[SwitchB] interface Ten-GigabitEthernet1/0/2

[SwitchB-Ten-GigabitEthernet1/0/2] packet-filter 2000 outbound

[SwitchB-Ten-GigabitEthernet1/0/2] quit

1.6.5  验证配置

# 在完成上述配置后，在SwitchA上验证流镜像的配置信息。

[SwitchA] display qos policy interface                       

                                                                               

Interface: Ten-GigabitEthernet1/0/2                                            

                                                                                

  Direction: Inbound                                                           

                                                                               

  Policy: policy_market                                                         

   Classifier: classifier_market_mgr                                           

     Operator: AND                                                             

     Rule(s) : If-match acl 3001                                                

     Behavior: behavior_market_mgr                                             

      Filter enable: Permit                                                    

   Classifier: classifier_market                                               

     Operator: AND                                                             

     Rule(s) : If-match acl 3000                                               

     Behavior: behavior_market                                                 

      Mirroring:                                                               

        Mirror to the interface: Ten-GigabitEthernet1/0/3                      

                                                                               

Interface: Ten-GigabitEthernet1/0/3                                            

                                                                               

  Direction: Outbound                                                          

                                                                                

  Policy: policy_servers                                                       

   Classifier: classifier_servers                                              

     Operator: AND                                                              

     Rule(s) : If-match acl 2000                                               

     Behavior: behavior_servers                                                

      Mirroring:                                                                

        Mirror to the interface: Ten-GigabitEthernet1/0/3                      

                                                                               

Interface: Ten-GigabitEthernet1/0/4                                            

                                                                               

  Direction: Inbound                                                           

                                                                                

  Policy: policy_servers                                                       

   Classifier: classifier_servers                                              

     Operator: AND                                                              

     Rule(s) : If-match acl 2000                                               

     Behavior: behavior_servers                                                

      Mirroring:                                                                

        Mirror to the interface: Ten-GigabitEthernet1/0/3

# 在SwitchB上验证镜像组1的配置信息。

[SwitchB] display mirroring-group 1                                              

Mirroring group 1:                                                              

    Type: Local                                                                

    Status: Active                                                             

    Mirroring port:                                                             

        Ten-GigabitEthernet1/0/1  Inbound                                      

    Monitor port: Ten-GigabitEthernet1/0/2

1.6.6  配置文件

·     设备Switch A

#

 time-range work-time 08:30 to 18:00 working-day

#

acl number 2000

 rule 0 permit source 14.1.1.0 0.0.0.255

acl number 2001

 rule 0 permit source 14.1.1.10 0 time-range work-time

#

acl number 3000

 rule 0 permit tcp source 12.1.1.0 0.0.0.255 destination-port eq www

acl number 3001

 rule 0 permit tcp source 12.1.1.100 0 destination-port eq www

#

traffic classifier classifier_servers operator and

 if-match acl 2000

traffic classifier classifier_fileserver operator and

 if-match acl 2001

traffic classifier classifier_market operator and

 if-match acl 3000

traffic classifier classifier_market_mgr operator and

 if-match acl 3001

#

traffic behavior behavior_servers

 mirror-to interface Ten-GigabitEthernet1/0/3

traffic behavior behavior_fileserver

 filter deny

traffic behavior behavior_market

 mirror-to interface Ten-GigabitEthernet1/0/3

traffic behavior behavior_market_mgr

 filter permit

#

qos policy policy_fileserver

 classifier classifier_fileserver behavior behavior_fileserver

qos policy policy_market

 classifier classifier_market_mgr behavior behavior_market_mgr

 classifier classifier_market behavior behavior_market

qos policy policy_servers

 classifier classifier_servers behavior behavior_servers

#

interface Ten-GigabitEthernet1/0/2

 qos apply policy policy_market inbound

#

interface Ten-GigabitEthernet1/0/3

 qos apply policy policy_servers outbound

#

interface Ten-GigabitEthernet1/0/4

 qos apply policy policy_servers inbound

#

·     设备Switch B

#

 mirroring-group 1 local 

#

 time-range work-time 08:30 to 18:00 working-day

#

acl number 2000

 rule 0 permit source 10.1.1.1 0 time-range work-time

 

#

interface Ten-GigabitEthernet1/0/1

 mirroring-group 1 mirroring-port inbound

#

interface Ten-GigabitEthernet1/0/2

 packet-filter 2000 outbound

 mirroring-group 1 monitor-port     

#