H3C SecPath TAP8000-XE50 产品

典型配置

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

目录

1 流量复制配置举例··· 1

1.1 简介·· 1

1.2 配置前提·· 1

1.3 适用产品和版本·· 1

1.4 组网需求·· 1

1.5 流量复制配置思路·· 1

1.6 流量复制配置步骤·· 2

1.7 流量复制验证配置·· 3

2 流量汇聚配置举例··· 4

2.1 简介·· 4

2.2 配置前提·· 4

2.3 适用产品和版本·· 4

2.4 组网需求·· 4

2.5 流量汇聚配置思路·· 5

2.6 流量汇聚配置步骤·· 5

2.7 流量汇聚验证配置·· 6

3 VLANtag标签配置举例··· 7

3.1 简介·· 7

3.2 配置前提·· 7

3.3 适用产品和版本·· 7

3.4 组网需求·· 7

3.5 VLANTAG标签功能思路·· 8

3.6 VLANTAG标签功能配置步骤·· 8

3.7 VLANTAG标签功能验证配置·· 10

4 不同来源区域的数据分别去重配置举例··· 10

4.1 简介·· 10

4.2 配置前提·· 11

4.3 适用产品和版本·· 11

4.4 组网需求·· 11

4.5 去重高级功能思路·· 11

4.6 去重高级功能配置步骤·· 12

4.7 不同来源区域的数据去重验证截图·· 17

5 流量过滤功能配置举例··· 18

5.1 简介·· 18

5.2 配置前提·· 18

5.3 适用产品和版本·· 19

5.4 组网需求·· 19

5.5 流量过滤功能思路·· 19

5.6 流量过滤配置步骤·· 19

5.7 流量过滤功能验证配置截图·· 21

6 报文截短功能配置举例··· 22

6.1 简介·· 22

6.2 配置前提·· 22

6.3 适用产品和版本·· 23

6.4 组网需求·· 23

6.5 报文截短高级功能思路·· 23

6.6 报文截短高级功能配置步骤·· 23

6.7 报文截短高级功能验证截图·· 25

7 流量负载均衡+过滤功能配置举例··· 26

7.1 简介·· 26

7.2 配置前提·· 26

7.3 适用产品和版本·· 27

7.4 组网需求·· 27

7.5 流量负载均衡与过滤思路·· 27

7.6 流量负载均衡与过滤配置步骤·· 27

7.7 流量负载均衡与过滤功能验证配置截图·· 32

8 隧道终结及GRE剥离配置举例··· 35

8.1 简介·· 35

8.2 配置前提·· 35

8.3 适用产品和版本·· 35

8.4 组网需求·· 35

8.5 隧道终结及GRE剥离功能思路·· 36

8.6 隧道终结及GRE剥离功能配置步骤·· 36

8.7 GRE标签剥离高级功能验证截图·· 38

9 复杂多功能集合配置举例··· 40

9.1 简介·· 40

9.2 配置前提·· 40

9.3 适用产品和版本·· 40

9.4 组网需求·· 41

9.5 复杂多功能集合配置思路·· 41

9.6 复杂多功能集合配置步骤·· 41

9.7 复杂多功能集合配置截图·· 58

 

1 流量复制配置举例

1.1  简介

流量复制/汇聚是H3C SecPath TAP8000-XE50流量可视化设备的基础流量处理功能。可以对原始输入流量和预处理后流量按1路信号复制到N路信号或者N路信号汇聚后复制到M路信号的10GE线速转发，完美的解决了网络中同时部署两台以上的多端口监听旁路设备的需求。

1.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

1.3  适用产品和版本

本文档适用于E6601P01及以上版本。

1.4  组网需求

如图1-1-1所示用户有两台监控分析设备，功能不同，一台是专用流量分析仪，另一台是IDS设备。用户希望能对设备上去往和来自Internet的流量同时进行流量综合分析和入侵检测。

图1-1 组网图

 

1.5  流量复制配置思路

按照组网图组网。

(1)     创建组播组。

(2)     流量复制功能步骤

(3)     流量复制功能验证截图

1.6  流量复制配置步骤

1. 创建流量复制功能

如图所示，点击“基础流量处理”中“组播组”，组播组ID填写1，选择XGE0/1口-XGE0/4作为组内成员，即为输出接口，点击新增。

图1-2 创建组播组输出

如图所示，点击‘基础流量处理’中‘输入策略’，点击‘新建单条规则’

图1-3 新增转发规则

如图所示，创建策略号1，源输入端口选择“XGE0/0”，动作类型选择“组播组”，组播组ID选择1，点击“确定”。

图1-4 新增策略配置

1.7  流量复制验证配置

如图所示，切换到‘系统状态’中‘流量监控’界面，观察被测设备和测试仪收包情况。

图1-5 查看接口流量信息

2 流量汇聚配置举例

2.1  简介

流量复制/汇聚是H3C SecPath TAP8000-XE50流量可视化设备的基础流量处理功能。可以对原始输入流量和预处理后流量按1路信号复制到N路信号或者N路信号汇聚后复制到M路信号的10GE线速转发，完美的解决了网络中同时部署两台以上的多端口监听旁路设备的需求。

2.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

2.3  适用产品和版本

本文档适用于E6601P01及以上版本。

2.4  组网需求

如图1-1-1所示用户有两台监控分析设备，功能不同，一台是专用流量分析仪，另一台是IDS设备。用户希望能对设备上去往和来自Internet的流量同时进行流量综合分析和入侵检测。

图2-1 组网图

 

2.5  流量汇聚配置思路

 

按照组网图组网。

(1)     多对一映射创建流量汇聚步骤。

(2)     流量汇聚功能验证截图

 

2.6  流量汇聚配置步骤

1. 多对一映射创建流量汇聚步骤

如下图所示，在被测设备WEB界面，选择“基础流量处理”中“输入策略”，点击“新建单条规则，”策略号输入“2”，源输入端口选择“XGE0/2-XGE0/4”，动作类型选择“单播”，目的输出端口选择“XGE0/32”,点击“确认”。

图2-2 建立汇聚策略规则

2.7  流量汇聚验证配置

观察‘系统状态’中‘流量监控’流量转发情况

3 VLANtag标签配置举例

3.1  简介

Vlan tag是H3C SecPath TAP8000-XE50流量可视化设备的基础流量处理功能。可对不同输入端口的数据流打上一层或双层vlan tag标记；同时，可支持对输入端口带有原始vlan的标签值进行修改或剥离操作，可根据用户配置决定实施流量输出策略。

注意：该功能的使用与否，取决于用户部署的后端监控分析系统使用需求。如：某些用户只需要把镜像原始流量发送到后端系统，那么就不会涉及使用该功能；而某些用户部署的后端监控分析系统想要区分流量来自于哪个交换机，那么就需要对镜像流量在输入到tap的时候打上指定的vlan标签，从而当某个ip流量出现异常时就可以根据vlan标签号找到这部分流量是来自哪个交换机，方便用户进行故障排查。

3.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

 

3.3  适用产品和版本

本文档适用于E6601P01及以上版本。

3.4  组网需求

如图1-1-1所示用户有两台监控分析设备，功能不同，一台是专用流量分析仪，另一台是IDS设备。用户希望能对设备上去往和来自Internet的流量同时进行流量综合分析和入侵检测。

图3-1 组网图

 

3.5  VLANTAG标签功能思路

按照组网图组网。

(1)     端口可基于2-7层规则选择打VLAN标签，也可不选择打VLAN标签；

(2)     VLAN TAG功能验证截图

3.6  VLANTAG标签功能配置步骤

1. 端口可选择打VLAN标签，也可不选择打VLAN标签

如下图所示，登录被测设备WEB界面，点击‘vlan策略’页面中‘新建单条规则’，填写策略号1、源输入端口选择XGE0/47、外层vlan选择 add，外层vlan id填入1000、内层vlan选择 add，内层vlan id填入2000。（此步骤用于把47口的流量先打上vlan）

图3-2 添加vlan策略

如下图所示，点击‘输入策略’页面中‘新建单条规则’，填写策略号为3、源输入端口选择XGE0/47、动作类型选择“单播”，目的输出端口选择XGE0/0。（此步骤用于把47口的流量转发到0口）,点击“确定”创建转发规则成功。

图3-3 添加转发规则策略  

3.7  VLANTAG标签功能验证配置

通过测试仪端发送不带vlan标签数据流，并抓取数据包，查看发送和接收数据包一致并且已经外层为1000、内层为2000的Vlan Tag。

4 不同来源区域的数据分别去重配置举例

4.1  简介

报文去重是H3C SecPath TAP8000-XE50流量可视化设备的智能流量处理功能。基于端口或策略级的统计粒度对多个采集源数据进行对比，在规定时间窗口内对采集到的相同数据包去重复；用户可选择不同的报文标识（dst.ip 、src.port、dst.port、tcp.seq、tcp.ack、dst.mac、src.mac、vlan.id、dscp、ttl、分项配置ID），进行比对后实现去重复；设备默认根据ipid、sip报文标识进行去重，可确保部分应用监控系统收到数据包的准确性、可靠性。

关于分项配置ID是否需要勾选，举例说明如下，用户可根据需要进行配置。

XGE0/0,XGE0/1去重策略1转发到XGE0/2

XGE0/3,XGE0/4去重策略2转发到XGE0/5

若去重策略未勾选分项配置ID，则是XGE0/0,XGE0/1,XGE0/3,XGE0/4四个端口流量一起去重

若上述两个去重策略1和2都勾选了分项配置ID，则是XGE0/0,XGE0/1两个端口流量一起去重，XGE0/3,XGE0/4两个端口流量去重，下文具体说明此种方式的去重。

4.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

4.3  适用产品和版本

本文档适用于E6601P01及以上版本。

4.4  组网需求

如下图所示用户有两台监控分析设备，功能不同，一台是专用流量分析仪，另一台是IDS设备。用户希望能对设备上去往和来自Internet的流量同时进行流量综合分析和入侵检测，同时流量分析仪只需要来自于核心SW1的去重后的数据，而IDS只需要核心SW2去重后的数据。

图4-1组网图

 

4.5  去重高级功能思路

按照组网图组网。

(1)     去重功能配置

(1)     智能转发规则配置

(2)     不同来源区域的数据去重验证截图

4.6  去重高级功能配置步骤

1. 核心SW1去重功能配置

如下图所示，登录被测设备WEB界面，点击“智能流量引擎配置>全局配置”，设置去重时间开关，点击‘分项配置’，点击‘新增’输入‘配置ID’如1后开始配置去重参数，打开‘去重开关’，勾选‘分项配置ID’，点击‘确定’。

图4-2添加去重策略

2. 核心SW2去重功能配置

如下图所示，登录被测设备WEB界面，点击“智能流量引擎配置>全局配置”，设置去重时间开关，点击‘分项配置’，点击‘新增’输入‘配置ID’如2后开始配置去重参数，打开‘去重开关’，勾选‘分项配置ID’，点击‘确定’。

图4-3添加去重策略

3. 去重转发规则配置

如下图所示，“基础流量处理>输入策略”，点击“新增单条规则”名称如‘核心sw1去重’，勾选输入接口：XGE0/16，动作类型选择“单播”，在目的输出端口中选择“XGE0/17”，智能流量引擎选择“enable”，并选择配置ID为“1”，点击‘确定’，此处为核心SW1的去重转发配置。

图4-4添加去重转发策略

如下图所示，“基础流量处理>输入策略”，点击“新增单条规则”名称如‘核心sw2去重’，勾选输入接口：XGE0/18，动作类型选择“单播”，在目的输出端口中选择“XGE0/19”，智能流量引擎选择“enable”，并选择配置ID为“2”，点击‘确定’，此处为核心SW2的去重转发配置。

图5-5添加去重转发策略

4.7  不同来源区域的数据去重验证截图

图4-6核心SW1的去重流量展示

图4-7核心SW2的去重流量展示

 

通过“系统状态”---“流量监控”可查看所有端口的流量统计信息，如下图所示：

 

5 流量过滤功能配置举例

5.1  简介

流量分流/过滤是H3C SecPath TAP8000-XE50流量可视化设备的基础流量处理功能。可对输入接口和输出接口的数据流进行精确分类，将不同数据业务按白名单或黑名单规则，丢弃或转发至多个接口输出。支持基于以太网类型、vlan标记、TTL、IP七元组、IP碎片、tcp标识位、报文特征等元素灵活组合，进一步满足各类网络安全设备、协议分析、信令分析等流量监控部署需求。

5.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

5.3  适用产品和版本

本文档适用于E6601P01及以上版本。

5.4  组网需求

如图1-1所示用户有两台监控分析设备，功能不同，一台是专用流量分析仪，另一台是IDS设备。用户希望能对设备上去往和来自Internet的流量同时进行流量综合分析和入侵检测。

图5-1 组网图

 

 

5.5  流量过滤功能思路

按照组网图组网。

(1)     支持基于7元组（源/目的IP地址及掩码，源/目的TCP端口号及端口范围，源目的Mac地址，协议号）流量过滤功能

(2)     流量过滤功能验证截图

5.6  流量过滤配置步骤

1. 流量过滤功能

如下图所示，在被测设备WEB界面，选择“基础流量处理”中“输入策略”，点击“新建单条规则，”策略号输入“10”，源输入端口选择“XGE0/20”，过滤条件填写源IP地址填写10.10.10.0，源ip掩码填写255.255.255.0、目的ip地址填写20.20.20.0，目的IP掩码填写255.255.255.0、源端口范围填写1024-1024，目的端口范围填写1024-1024、IP协议号填写6，动作类型选择“单播”，目的输出端口选择“XGE0/8”,点击“确定”。

图5-2 流量过滤规则添加

5.7  流量过滤功能验证配置截图

观察‘系统状态’中‘流量监控’查看流量转发情况（20口输入流量经过滤后，将指定流量输出到8口）

过滤前流量截图

过滤后流量截图

 

6 报文截短功能配置举例

6.1  简介

报文截短是H3C SecPath TAP8000-XE50流量可视化设备的基础流量处理功能。可对原始数据进行基于策略级的截短（64-1518字节可选），可根据用户配置决定实施流量输出策略，达到分析系统在获取IP报文头部快速分析效率。

6.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解端口镜像特性。

6.3  适用产品和版本

本文档适用于E6601P01及以上版本。

6.4  组网需求

如图1-1所示用户有两台监控分析设备，功能不同，一台是专用流量分析仪，另一台是IDS设备。用户希望能对设备上去往和来自Internet的流量同时进行流量综合分析和入侵检测。

图6-1 组网图

 

6.5  报文截短高级功能思路

按照组网图组网。

(1)     支持对数据包进行指定长度的截短处理

(2)     流量截短功能验证截图

 

6.6  报文截短高级功能配置步骤

1. 截短功能打开并配置保留长度

如图所示，“智能流量处理>分项配置”，点击“新建单条规则”，填写策略号2，报文截短切换为enable，保留长度填入128，点击<确认>按钮。

图6-2 添加截短策略

2. 转发策略配置

如图所示，点击‘输入策略’页面中‘新建单条规则’，填写策略号为20、源输入端口选择XGE0/20、动作类型选择“单播”，目的输出端口选择XGE0/9，智能流量引擎处选择“enable”，配置ID选择2（2为分项配置创建的截短策略id），点击“确定”创建转发规则并引用去重策略成功。

图6-3 转发策略并引用截短策略

6.7  报文截短高级功能验证截图

截短结果截图（设备截短设置值为128字节，抓包工具显示为132字节，多出来的4字节是CRC校验）

7 流量负载均衡+过滤功能配置举例

7.1  简介

流量负载均衡和过滤是H3C SecPath TAP8000-XE50流量可视化设备的基础流量处理功能。可对输入接口和输出接口的数据流进行精确分类，将不同数据业务按白名单或黑名单规则，丢弃或转发至多个接口输出。支持基于以太网类型、vlan标记、IP五元组、tcp标识位、报文特征等元素灵活组合，进一步满足各类网络安全设备、协议分析、信令分析、等流量监控部署需求。

7.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。客户需求如：如客户输入流量有10个输入口10G，总带宽约为90G，需要将这份流量做三种过滤处理，过滤1 过滤2 过滤3，其中过滤1和过滤2无重叠，过滤3和过滤1 过滤2均有重叠，且过滤3过滤之后的流量在20G-30G之间，需要负载均衡输出

7.3  适用产品和版本

本文档适用于E6601P01及以上版本。

7.4  组网需求

如下图所示用户有3台监控分析设备，功能不同，一台是专用流量分析仪，另一台是IDS设备，还有一台NPM设备。用户希望能对设备上去往和来自Internet的流量同时进行流量综合分析、入侵检测和网络性能分析。

图7-1 组网图

7.5  流量负载均衡与过滤思路

按照组网图组网。

(1)     针对需要分流输出的端口创建负载均衡组；

(2)     针对有重叠过滤的输出端口创建组播组；

(3)     根据过滤需求创建7元组（源/目的IP地址及掩码，源/目的TCP端口号及端口范围，源目的Mac地址，协议号）过滤策略；

(4)     流量负载均衡与过滤功能验证截图；

7.6  流量负载均衡与过滤配置步骤

1. 创建负载均衡组

根据需求，如下图所示，输出到NPM的端口为XGE0/40,XGE0/41,XGE0/42,在“基础流量处理”的“负载均衡组”新增负载均衡组分流组ID设置为1，在“组所属端口列表”选择XGE0/40,XGE0/41,XGE0/42。

图7-2 负载均衡组

 

2. 创建组播组

根据需求，如下图所示，输出到IDS的端口为XGE0/45,输出到流量分析仪的端口为XGE0/46，由于有重叠过滤的流量同时需要到IDS和NPM，则创建组播组ID 为1，其中包含XGE0/45，分流组ID 1的端口。另外有重叠过滤的流量同时需要到流量分析仪和NPM，则创建组播组ID为2，其中包含XGE0/46，分流组ID 1的端口。创建组播组的配置依次点击“基础流量处理”---“组播组”---选择“组所属端口列表”---“新增”

图7-3 组播组

3. 按需求创建过滤策略

根据需求，如下图所示，输入端口为10个，分别为XGE0/0, XGE0/1, XGE0/2, XGE0/3, XGE0/4, XGE0/5, XGE0/6, XGE0/7, XGE0/8, XGE0/47,针对IDS和NPM过滤的数据为 1.192.193.48，掩码24位，针对流量分析仪和NPM过滤的数据为13.107.5.93，掩码32位。创建转发策略依次在“基础流量处理”---“输入策略”---“新建单条规则”，源输入端口选择上述10个端口，动作类型选择组播组，在组播组ID处选择之前创建组播组即可。

图7-4 创建负载均衡及过滤转发策略

针对IDS和NPM过滤的数据为 1.192.193.48，掩码24位，为保证会话数据的完整性，需要创建两条策略，创建一条策略号为1，匹配过滤条件为源IP地址为1.192.193.48，源IP掩码为255.255.255.0的策略，另外创建1条策略号为2，匹配过滤条件为目的IP地址为1.192.193.48，目的IP掩码为255.255.255.0的策略，组播组ID选择1，如下图所示。

图7-5 过滤策略1和2

针对流量分析仪和NPM过滤的数据为13.107.5.93，掩码32位，为保证会话数据的完整性，需要创建两条策略，创建一条策略号为11，匹配过滤条件为源IP地址为13.107.5.93，源IP掩码为255.255.255.255的策略，另外创建一条策略号为12，匹配过滤条件为目的IP地址为13.107.5.93，目的IP掩码为255.255.255.255的策略，组播组ID选择2，如下图所示。

图7-6 过滤策略11和12

7.7  流量负载均衡与过滤功能验证配置截图

该例策略完整展示如下图：

通过“系统状态”---“流量监控”可查看所有端口的流量统计信息，如下图所示

通过查看数据包，可看到IDS只会有1.192.193.48，掩码24位的数据，流量分析仪只会有13.107.5.93，掩码32位的数据，而NPM则会有上述IP的数据。如下展示：

IDS收到的数据包：

流量分析仪收到的数据包：

NPM收到的数据包：

 

8 隧道终结及GRE剥离配置举例

8.1  简介

ERSPAN流量需要传输到H3C SecPath TAP8000-XE50流量可视化设备，在设备上配置接口IP地址用于接收此流量，同时对接收到的流量进行GRE标签剥离后输出。

 

8.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解端口镜像特性和ERSPAN流量特性。

8.3  适用产品和版本

本文档适用于E6601P01及以上版本。

8.4  组网需求

如图1-1-1所示用户有两台监控分析设备，功能不同，一台是专用流量分析仪，另一台是IDS设备。用户希望能对设备上去往和来自Internet的流量同时进行流量综合分析和入侵检测。流量采集通过ERSPAN的方式输入。

图8-1 组网图

 

8.5  隧道终结及GRE剥离功能思路

按照组网图组网。

(1)     支持接口配置IP进行ERSPAN流量接收

(2)     对ERSPAN流量进行GRE标签剥离后输出

 

8.6  隧道终结及GRE剥离功能配置步骤

1. 配置接口IP地址便于接收ERSPAN流量

如图所示，“基础流量处理>端口IP配置”，根据需求选择业务接口如XGE0/0，在端口IP/mask设置处，端口号处选择“XGE0/0”，填写IP 1.1.1.1和mask 255.255.255.0，并点击“添加”；在端口网关设置处，端口号选择“XGE0/0”，填写网关为1.1.1.254，并点击“添加”。 将ARP开关和ICMP开关设置为“enable”，并点击“确定”。

图8-2 接口配置IP并打开ARP及ICMP功能

2. 配置GRE标签剥离高级功能

如图所示，“智能流量处理>分项配置”，点击“新建单条规则”，设置策略号为1，选择GRE剥离为enable，点击“确认”。

图8-3 配置高级功能GRE标签剥离

3. 配置转发策略输出无GRE标签的流量

如图所示，点击‘输入策略’页面中‘新建单条规则’，填写策略号为20、源输入端口选择XGE0/0、动作类型选择“单播”，目的输出端口选择XGE0/9，智能流量引擎处选择“enable”，配置ID选择1（1为分项配置创建的GRE剥离策略id），点击“确定”创建转发规则并引用GRE剥离策略成功。

图8-4 转发策略并引用GRE剥离功能

8.7  GRE标签剥离高级功能验证截图

结果截图（配置接口IP用于接收ERSPAN流量，使用高级功能剥离GRE标签后输出）

输出没有GRE标签的数据

 

9 复杂多功能集合配置举例

9.1  简介

H3C SecPath TAP8000-XE50流量可视化设备可对输入接口和输出接口的数据流进行精确分类，将不同数据业务按白名单或黑名单规则，丢弃或转发至多个接口输出。支持基于以太网类型、vlan标记、IP五元组、tcp标识位、报文特征等元素灵活组合，支持数据去重等高级功能，多功能使用可进一步满足各类网络安全设备、协议分析、信令分析、等流量监控部署需求。

9.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。客户需求如：输入为9个口，流量做初步筛选/去重处理后20G-30G，然后分别做过滤处理，具体需求拆解如下，对于其中较多的IP过滤策略，可使用批量创建策略功能。

图9-1 需求拆解图

 

9.3  适用产品和版本

本文档适用于E6601P01及以上版本。

9.4  组网需求

如下图所示用户有3种监控分析设备，功能不同，一台是专用流量分析仪，另一台是IDS设备，还有一台NPM设备。用户希望能对设备上去往和来自Internet的核心区域的流量同时进行流量综合分析、入侵检测和网络性能分析。

图9-2 组网图

9.5  复杂多功能集合配置思路

按照组网图组网。

(1)     根据预处理的流量大小及输出系统个数，创建对应负载均衡组，加入组播组并开启端口回环功能，作为数据中转使用；

(2)     根据需求配置drop及去重策略；

(3)     根据过滤需求创建7元组（源/目的IP地址及掩码，源/目的TCP端口号及端口范围，源目的Mac地址，协议号）过滤策略，使用批量创建策略功能更便捷的配置完成；

(4)     流量负载均衡与过滤、去重功能验证截图；

9.6  复杂多功能集合配置步骤

1. 创建数据中转的负载均衡组和组播组并开启回环

根据需求，如图所示，输出到NPM的端口为XGE0/39,XGE0/40,XGE0/41作为数据中转使用,在“基础流量处理”的“负载均衡组”新增负载均衡组分流组ID设置为1，在“组所属端口列表”选择XGE0/39,XGE0/40,XGE0/41；输出到IDS的端口为XGE0/42,XGE0/43,XGE0/44作为数据中转使用,在“基础流量处理”的“负载均衡组”新增负载均衡组分流组ID设置为2，在“组所属端口列表”选择XGE0/42,XGE0/43,XGE0/44；输出到流量分析仪的端口为XGE0/45,XGE0/46,XGE0/47作为数据中转使用,在“基础流量处理”的“负载均衡组”新增负载均衡组分流组ID设置为3，在“组所属端口列表”选择XGE0/45,XGE0/46,XGE0/47。

 

图9-3 负载均衡组

根据需求，输出有3种分析系统，在去重和drop流量后输出大致在20G-30G的，每种分析系统需要3个10G端口作为数据中转使用，数据中转端口开启回环并在一个组播组中。开启回环操作在“基础流量处理”---“端口基本配置”，选择对应接口的回环。如图9-4所示，创建的分流组ID1，包括用于第一套分析系统NPM的数据中转端口XGE0/39、XGE0/40、XGE0/41，并开启回环功能；如图所示，创建的分流组ID2，包括用于第二套分析系统IDS的数据中转端口XGE0/42、XGE0/43、XGE0/44，并开启回环功能；如图所示，创建的分流组ID3，包括用于第三套分析系统流量分析仪的数据中转端口XGE0/45、XGE0/46、XGE0/47，并开启回环功能；如图所示，将创建的分流组ID1、2、3加入组播组中，组播组ID设置为1，创建组播组的配置依次点击“基础流量处理”---“组播组”---选择“组所属端口列表”---“新增”

图9-4 数据中转端口分流组ID1并开启回环

图9-5 数据中转端口分流组ID2并开启回环

图9-6 数据中转端口分流组ID3并开启回环

图9-7 数据中转端口分流组ID1、2、3加入组播组

2. 按需求创建drop及去重策略

根据需求，如图9-8所示，依次点击“智能流量处理”---“分项配置”---“新建单条规则”，在策略号出填写2，去重选择为enable，最后点击确认，创建去重策略成功。

图9-8 创建去重策略

根据需求，需要drop的流量包含IP  195.100.7.53和IP 195.100.7.55，并去重。如图9-9所示，依次点击“基础流量处理”---“输入策略”---“批量新建规则”， 起始策略号填写1，ACL ID间隔值填写5，动作类型选择丢弃，输入口列表选择XGE0/1-XGE0/9,在五元组批量创建配置中按照模板填(source_ip/ip_mask destination_ip/ip_mask s_port_low-s_port_high   d_port_low-d_port_high  protocol_number)写文本，如第一行填写195.100.7.53/32 0/0 0-0 0-0 0，第二行填写0/0 195.100.7.53/32 0-0 0-0 0,第三行填写195.100.7.55/32 0/0 0-0 0-0 0，第四行填写0/0 195.100.7.55/32 0-0 0-0 0。

图9-9 批量创建drop策略

如图9-10所示，依次点击“基础流量处理”---“新建单条规则”，策略号填写20，源输入端口选择XGE0/1-XGE0/9，动作类型选择组播组，智能流量引擎选择enable，配置ID选择2（2为创建的去重策略），组播组ID选择1（1为创建的数据中转的组播组）

图9-10 去重策略的引用

3. 创建对应的输出组播组

根据需求，第一套分析系统NPM对应输出的端口为XGE0/17和XGE0/18,需创建组播组ID 2；第二套分析系统IDS对应输出端口为XGE0/20和负载均衡组 ID 10（包含端口XGE0/19、XGE0/21和XGE0/22）,需创建组播组ID 3；第三套分析系统流量 对应输出端口XGE0/23、XGE0/24、XGE0/25、XGE0/26，需创建组播组ID 4.如图9-11所示，将XGE0/17和XGE0/18加入组播组中，组播组ID设置为2，创建组播组的配置依次点击“基础流量处理”---“组播组”---选择“组所属端口列表”---“新增”。如图9-12所示，在“基础流量处理”的“负载均衡组”新增负载均衡组分流组ID设置为10，在“组所属端口列表”选择XGE0/19,XGE0/21,XGE0/22，将XGE0/20和负载均衡组ID 10加入组播组中，组播组ID设置为3，创建组播组的配置依次点击“基础流量处理”---“组播组”---选择“组所属端口列表”---“新增”. 如图9-13所示，将XGE0/23、XGE0/24、XGE0/25、XGE0/26加入组播组中，组播组ID设置为4，创建组播组的配置依次点击“基础流量处理”---“组播组”---选择“组所属端口列表”---“新增”，

图9-11 创建输出组播组ID 2

图9-12 创建输出组播组ID 3

图9-13 创建输出组播组ID 4

4. 使用批量创建功能按需求创建输出过滤策略

根据需求，针对第一套分析系统NPM，输入端口选择数据中转端口XGE0/39、XGE0/40、XGE0/41，输出端口选择组播组 ID 2.过滤的IP地址为（10.33.128.0/19、10.33.160.0/24、10.33.32.0/19、10.33.64.0/22、10.209.32.0/21、10.209.48.0/21、10.200.104.0/21、10.200.96.0/21、10.200.112.0/21），如下图所示， 依次点击“基础流量处理”---“输入策略”---“批量新建规则”， 起始策略号填写30，ACL ID间隔值填写1，动作类型选择组播组，组播组ID选择2，输入口列表选择XGE0/39、XGE0/40、XGE0/41,在五元组批量创建配置中按照模板填(source_ip/ip_mask destination_ip/ip_mask s_port_low-s_port_high   d_port_low-d_port_high  protocol_number)写文本，点击“创建”，文本如下：

10.33.128.0/19 0/0 0-0 0-0 0

0/0 10.33.128.0/19 0-0 0-0 0

10.33.160.0/24 0/0 0-0 0-0 0

0/0 10.33.160.0/24 0-0 0-0 0

10.33.32.0/19 0/0 0-0 0-0 0

0/0 10.33.32.0/19 0-0 0-0 0

10.33.64.0/22 0/0 0-0 0-0 0

0/0 10.33.64.0/22 0-0 0-0 0

10.209.32.0/21 0/0 0-0 0-0 0

0/0 10.209.32.0/21 0-0 0-0 0

10.209.48.0/21 0/0 0-0 0-0 0

0/0 10.209.48.0/21 0-0 0-0 0

10.200.104.0/21 0/0 0-0 0-0 0

0/0 10.200.104.0/21 0-0 0-0 0

10.200.96.0/21 0/0 0-0 0-0 0

0/0 10.200.96.0/21 0-0 0-0 0

10.200.112.0/21 0/0 0-0 0-0 0

0/0 10.200.112.0/21 0-0 0-0 0

 

图9-14 批量创建第一套分析系统的过滤转发策略

根据需求，针对第二套分析系统IDS，输入端口选择数据中转端口XGE0/42、XGE0/43、XGE0/44，输出端口选择组播组 ID 3.过滤的IP地址为（192.168.1.0/24、192.168.28.0/24、192.168.52.0/24、192.168.60.0/24、192.168.62.0/23、192.168.64.0/23、192.168.66.0/24、192.168.70.0/24、192.168.73.0/24、192.168.78.0/24、10.254.254.0/24、10.254.200.0/24、192.168.168.0/24、172.20.0.0/24、172.28.11.0/24、172.28.201.0/24、172.32.1.0/24、172.16.10.0/24、195.100.7.0/24、195.100.8.0/24、195.100.10.0/24、192.168.80.0/24、172.28.202.0/23），如下图所示， 依次点击“基础流量处理”---“输入策略”---“批量新建规则”， 起始策略号填写50，ACL ID间隔值填写1，动作类型选择组播组，组播组ID选择3，输入口列表选择XGE0/42、XGE0/43、XGE0/44,在五元组批量创建配置中按照模板填(source_ip/ip_mask destination_ip/ip_mask s_port_low-s_port_high   d_port_low-d_port_high  protocol_number)写文本，点击“创建”，文本如下：

192.168.1.0/24 0/0 0-0 0-0 0

0/0 192.168.1.0/24 0-0 0-0 0

192.168.28.0/24 0/0 0-0 0-0 0

0/0 192.168.28.0/24 0-0 0-0 0

192.168.52.0/24 0/0 0-0 0-0 0

0/0 192.168.52.0/24 0-0 0-0 0

192.168.60.0/24 0/0 0-0 0-0 0

0/0 192.168.60.0/24 0-0 0-0 0

192.168.62.0/23 0/0 0-0 0-0 0

0/0 192.168.62.0/23 0-0 0-0 0

192.168.64.0/23 0/0 0-0 0-0 0

0/0 192.168.64.0/23 0-0 0-0 0

192.168.66.0/24 0/0 0-0 0-0 0

0/0 192.168.66.0/24 0-0 0-0 0

192.168.70.0/24 0/0 0-0 0-0 0

0/0 192.168.70.0/24 0-0 0-0 0

192.168.73.0/24 0/0 0-0 0-0 0

0/0 192.168.73.0/24 0-0 0-0 0

192.168.78.0/24 0/0 0-0 0-0 0

0/0 192.168.78.0/24 0-0 0-0 0

10.254.254.0/24 0/0 0-0 0-0 0

0/0 10.254.254.0/24 0-0 0-0 0

10.254.200.0/24 0/0 0-0 0-0 0

0/0 10.254.200.0/24 0-0 0-0 0

192.168.168.0/24 0/0 0-0 0-0 0

0/0 192.168.168.0/24 0-0 0-0 0

172.20.0.0/24 0/0 0-0 0-0 0

0/0 172.20.0.0/24 0-0 0-0 0

172.28.11.0/24 0/0 0-0 0-0 0

0/0 172.28.11.0/24 0-0 0-0 0

172.28.201.0/24 0/0 0-0 0-0 0

0/0 172.28.201.0/24 0-0 0-0 0

172.32.1.0/24 0/0 0-0 0-0 0

0/0 172.32.1.0/24 0-0 0-0 0

172.16.10.0/24 0/0 0-0 0-0 0

0/0 172.16.10.0/24 0-0 0-0 0

195.100.7.0/24 0/0 0-0 0-0 0

0/0 195.100.7.0/24 0-0 0-0 0

195.100.8.0/24 0/0 0-0 0-0 0

0/0 195.100.8.0/24 0-0 0-0 0

195.100.10.0/24 0/0 0-0 0-0 0

0/0 195.100.10.0/24 0-0 0-0 0

192.168.80.0/24 0/0 0-0 0-0 0

0/0 192.168.80.0/24 0-0 0-0 0

172.28.202.0/23 0/0 0-0 0-0 0

0/0 172.28.202.0/23 0-0 0-0 0

图9-15 批量创建第二套分析系统的过滤转发策略

根据需求，针对第三套分析系统流量分析仪，输入端口选择数据中转端口XGE0/45、XGE0/46、XGE0/47，输出端口选择组播组 ID 4.过滤的IP地址为（192.168.60.216/32、192.168.60.217/32、192.168.60.218/32、192.168.60.219/32、192.168.60.220/32、192.168.60.51/32、192.168.60.52/32、192.168.60.54/32、192.168.60.68/32），如下图所示， 依次点击“基础流量处理”---“输入策略”---“批量新建规则”， 起始策略号填写100，ACL ID间隔值填写1，动作类型选择组播组，组播组ID选择4，输入口列表选择XGE0/45、XGE0/46、XGE0/47,在五元组批量创建配置中按照模板填(source_ip/ip_mask destination_ip/ip_mask s_port_low-s_port_high   d_port_low-d_port_high  protocol_number)写文本，点击“创建”，文本如下：

192.168.60.216/32 0/0 0-0 0-0 0

0/0 192.168.60.216/32 0-0 0-0 0

192.168.60.217/32 0/0 0-0 0-0 0

0/0 192.168.60.217/32 0-0 0-0 0

192.168.60.218/32 0/0 0-0 0-0 0

0/0 192.168.60.218/32 0-0 0-0 0

192.168.60.219/32 0/0 0-0 0-0 0

0/0 192.168.60.219/32 0-0 0-0 0

192.168.60.220/32 0/0 0-0 0-0 0

0/0 192.168.60.220/32 0-0 0-0 0

192.168.60.51/32 0/0 0-0 0-0 0

0/0 192.168.60.51/32 0-0 0-0 0

192.168.60.52/32 0/0 0-0 0-0 0

0/0 192.168.60.52/32 0-0 0-0 0

192.168.60.54/32 0/0 0-0 0-0 0

0/0 192.168.60.54/32 0-0 0-0 0

192.168.60.68/32 0/0 0-0 0-0 0

0/0 192.168.60.68/32 0-0 0-0 0

图9-16 批量创建第三套分析系统的过滤转发策略

9.7  复杂多功能集合配置截图

该例策略完整展示如下图：

通过“系统状态”---“流量监控”可查看所有端口的流量统计信息，如下图所示