目  录

第1章 镜像配置... 1-1

1.1 镜像简介.. 1-1

1.1.1 流镜像.. 1-1

1.1.2 端口镜像.. 1-1

1.1.3 远程端口镜像－RSPAN. 1-1

1.2 S3600支持的镜像.. 1-3

1.3 S3600-EI镜像配置.. 1-4

1.3.1 配置流镜像.. 1-4

1.3.2 配置端口镜像.. 1-6

1.3.3 配置RSPAN. 1-8

1.3.4 镜像的显示.. 1-14

1.4 S3600-SI镜像配置.. 1-14

1.4.1 配置流镜像.. 1-14

1.4.2 配置端口镜像.. 1-14

1.4.3 镜像的显示.. 1-15

第1章  镜像配置

1.1  镜像简介

镜像一般是将符合指定规则的报文复制到镜像目的端口。一般镜像目的端口会接入数据检测设备，用户利用这些设备对镜像过来的报文进行分析，进行网络监控和故障排除等。

图1-1 镜像示意图

1.1.1  流镜像

流镜像就是将匹配ACL规则的业务流复制到指定的目的端口，用于报文分析和监视。在配置流镜像前用户需要先定义符合需求的ACL规则，设备会引用这些ACL规则进行流识别。

1.1.2  端口镜像

端口镜像，即将指定端口接收或者发送的报文复制到镜像目的端口。

1.1.3  远程端口镜像－RSPAN

RSPAN（Remote Switched Port Analyzer，远程交换端口分析），即远程端口镜像，突破了被镜像端口和镜像端口必须在同一台交换机上的限制，使被镜像端口和镜像端口可以跨越网络中的多个设备，从而方便网管人员对远程交换机设备进行管理。

RSPAN的应用示意图如下所示。

图1-2 RSPAN应用示意图

实现了RSPAN功能的交换机分为三种：

l              源交换机：被监测的端口所在的交换机，负责将需要镜像的流量在Remote-probe VLAN上做二层转发，转发给中间交换机或目的交换机。

l              中间交换机：网络中处于源交换机和目的交换机之间的交换机，通过Remote-probe VLAN把镜像流量传输给下一个中间交换机或目的交换机。如果源交换机与目的交换机直接相连，则不存在中间交换机。

l              目的交换机：远程镜像目的端口所在的交换机，将从Remote-probe VLAN接收到的镜像流量通过镜像目的端口转发给监控设备。

各个交换机上参与镜像的端口如表1-1所示。

表1-1 交换机上参与镜像的端口

为了实现远程端口镜像功能，需要定义一个特殊的VLAN，称之为Remote-probe VLAN。所有被镜像的报文通过该VLAN从源交换机传递到目的交换机的镜像端口，实现在目的交换机上对源交换机的远程端口的报文进行监控的功能。Remote-probe VLAN具有以下特点：

l              建议将该VLAN中的设备互连端口都配置为Trunk端口；

l              不能将缺省VLAN、管理VLAN设置成Remote-probe vlan；

l              需要通过配置保证Remote-probe VLAN从源交换机到目的交换机的二层互通性。

  注意：

建议用户不要在Remote-probe VLAN上进行以下操作，否则可能影响报文镜像效果：

l      将镜像源端口配置到本镜像组所使用的Remote-probe VLAN中；

l      配置Remote-probe VLAN的三层接口；

l      运行其他协议报文，承载其他的业务报文；

l      将Remote-probe VLAN用作其他特殊类型的VLAN，如voice VLAN、协议VLAN；

l      配置其他与VLAN相关的功能。

1.2  S3600支持的镜像

表1-2 S3600-EI系列交换机支持的镜像功能及相关命令

表1-3 S3600-SI系列交换机支持的镜像功能及相关命令

1.3  S3600-EI镜像配置

镜像的介绍请参见1.1  镜像简介。

1.3.1  配置流镜像

1. 配置准备

l              定义了进行流识别的ACL。关于定义ACL的描述请参见本手册“ACL”模块的描述

l              确定了镜像目的端口

l              确定需要进行流镜像配置的端口和被镜像流的方向

2. 配置过程

表1-4 配置流镜像

acl-rule：下发的ACL，可以是多种ACL的组合。组合方式说明如下。

表1-5 组合下发ACL的方式

3. 配置举例

组网需求：

l              交换机的GigabitEthernet 1/1/1接入了10.1.1.1/24网段

l              镜像来自10.1.1.1/24网段的报文到镜像目的端口GigabitEthernet 1/1/4

配置步骤：

<H3C> system-view

[H3C] acl number 2000

[H3C-acl-basic-2000] rule permit source 10.1.1.1 0.0.0.255

[H3C-acl-basic-2000] rule deny source any

[H3C-acl-basic-2000] quit

[H3C] interface gigabitEthernet 1/1/4

[H3C-GigabitEthernet1/1/4] monitor-port

[H3C-GigabitEthernet1/1/4] quit

[H3C] interface gigabitEthernet 1/1/1

[H3C-GigabitEthernet1/1/1] mirrored-to inbound ip-group 2000 monitor-interface

1.3.2  配置端口镜像

1. 配置准备

l              确定了镜像源端口，确定了被镜像报文的方向：inbound表示仅对端口接收的报文进行镜像，outbound表示仅对端口发送的报文进行镜像，both表示同时对端口接收和发送的报文进行镜像

l              确定了镜像目的端口

l              确定了镜像组的组号

2. 在以太网端口视图下配置端口镜像

表1-6 在以太网端口视图下配置端口镜像（一）

&  说明：

若不创建镜像组而直接在以太网端口下指定镜像目的端口和镜像源端口，则设备自动创建镜像组1。

表1-7 在以太网端口视图下配置端口镜像（二）

3. 在系统视图下配置端口镜像

表1-8 在系统视图下配置端口镜像

&  说明：

l      表1-6列出的配置没有指定镜像组，只能在以太网端口视图下为镜像组1添加镜像配置；

l      表1-7列出的配置可以在以太网端口视图下为任何已定义的镜像组添加镜像配置；

l      表1-8列出了系统视图下的配置，所以在配置步骤中必须指定镜像组编号与端口编号。

4. 配置举例

l              镜像源端口为GigabitEthernet 1/1/1，对端口接收和发送的报文都进行镜像

l              镜像目的端口为GigabitEthernet 1/1/4

配置1：

<H3C> system-view

[H3C] mirroring-group 1 local

[H3C] interface gigabitEthernet 1/1/4

[H3C-GigabitEthernet1/1/4] monitor-port

[H3C-GigabitEthernet1/1/4] quit

[H3C] interface gigabitEthernet 1/1/1

[H3C-GigabitEthernet1/1/1] mirroring-port both

配置2：

<H3C> system-view

[H3C] mirroring-group 1 local

[H3C] interface GigabitEthernet 1/1/4

[H3C-GigabitEthernet1/1/4] mirroring-group 1 monitor-port

[H3C-GigabitEthernet1/1/4] quit

[H3C] interface GigabitEthernet 1/1/1

[H3C-GigabitEthernet1/1/1] mirroring-group 1 mirroring-port both

配置3：

<H3C> system-view

[H3C] mirroring-group 1 local

[H3C] mirroring-group 1 monitor-port GigabitEthernet 1/1/4

[H3C] mirroring-group 1 mirroring-port GigabitEthernet 1/1/1 both

1.3.3  配置RSPAN

1. 配置准备

l              确定了源交换机、中间交换机、目的交换机

l              确定了镜像源端口、反射端口、镜像目的端口、Remote-probe VLAN

l              通过配置保证了Remote-probe VLAN内从源交换机到目的交换机的二层互通性

l              确定了被监控报文的方向

l              启动了Remote-probe VLAN

2. 源交换机上的配置过程

表1-9 源交换机上的配置过程

&  说明：

l      反射端口无法作为正常的端口转发流量，所以建议用户将没有使用的处于DOWN状态的端口配置为反射端口，且不要在该端口上添加其它配置。

l      用户在一个属于某VLAN的端口上配置mac-address max-mac-count 0命令，建议用户不要把该VLAN配置成Remote-probe VLAN，否则远程镜像可能会失效。

l      不要在与中间交换机或目的交换机相连的端口上配置镜像源端口，否则可能引起网络内的流量混乱。

3. 中间交换机上的配置过程

表1-10 中间交换机上的配置过程

4. 目的交换机上的配置过程

表1-11 目的交换机上的配置过程

&  说明：

用户在一个属于某VLAN的端口上配置mac-address max-mac-count 0命令，建议用户不要把该VLAN配置成Remote-probe VLAN，否则远程镜像可能会失效。

5. 配置举例

组网需求：

l              Switch A通过GigabitEthernet 1/1/2和数据检测设备相连

l              Switch A的Trunk端口GigabitEthernet 1/1/1和Switch B的Trunk端口GigabitEthernet 1/1/1相连

l              Switch B的Trunk端口GigabitEthernet 1/1/2和Switch C的Trunk端口GigabitEthernet 1/1/1相连

l              Switch C的端口GigabitEthernet 1/1/2和PC1相连

需求为通过数据检测设备对PC1发送的报文进行监控和分析。

使用RSPAN功能实现该需求，进行如下配置。

l              定义VLAN 10为Remote-probe VLAN

l              Switch A为目的交换机，连接数据监控设备的端口GigabitEthernet 1/1/2为镜像目的端口。GigabitEthernet 1/1/2必须为Access端口，并且不能使能STP及LACP。

l              Switch B为中间交换机

l              Switch C为源交换机，GigabitEthernet 1/1/2为镜像源端口，定义GigabitEthernet 1/1/3为反射端口。GigabitEthernet 1/1/3必须为Access端口，并且不能使能STP及LACP。

组网图：

图1-3 RSPAN组网示意图

配置步骤：

# Switch C的配置

<H3C> system-view

[H3C] vlan 10

[H3C-vlan10] remote-probe vlan enable

[H3C-vlan10] quit

[H3C] interface GigabitEthernet 1/1/1

[H3C-GigabitEthernet1/1/1] port link-type trunk

[H3C-GigabitEthernet1/1/1] port trunk permit vlan 10

[H3C-GigabitEthernet1/1/1] quit

[H3C] mirroring-group 1 remote-source

[H3C] mirroring-group 1 mirroring-port GigabitEthernet 1/1/2 inbound

[H3C] mirroring-group 1 reflector-port GigabitEthernet 1/1/3

[H3C] mirroring-group 1 remote-probe vlan 10

[H3C] display mirroring-group remote-source

mirroring-group 1:

    type: remote-source

    status: active

    mirroring port:

        GigabitEthernet1/1/2  outbound

    reflector port: GigabitEthernet1/1/3

    remote-probe vlan: 10

# Switch B的配置

<H3C> system-view

[H3C] vlan 10

[H3C-vlan10] remote-probe vlan enable

[H3C-vlan10] quit

[H3C] interface GigabitEthernet 1/1/1

[H3C-GigabitEthernet1/1/1] port link-type trunk

[H3C-GigabitEthernet1/1/1] port trunk permit vlan 10

[H3C-GigabitEthernet1/1/1] quit

[H3C] interface GigabitEthernet 1/1/2

[H3C-GigabitEthernet1/1/2] port link-type trunk

[H3C-GigabitEthernet1/1/2] port trunk permit vlan 10

# Switch A的配置

<H3C> system-view

[H3C] vlan 10

[H3C-vlan10] remote-probe vlan enable

[H3C-vlan10] quit

[H3C] interface GigabitEthernet 1/1/1

[H3C-GigabitEthernet1/1/1] port link-type trunk

[H3C-GigabitEthernet1/1/1] port trunk permit vlan 10

[H3C-GigabitEthernet1/1/1] quit

[H3C] mirroring-group 1 remote-destination

[H3C] mirroring-group 1 monitor-port GigabitEthernet 1/1/2

[H3C] mirroring-group 1 remote-probe vlan 10

[H3C] display mirroring-group remote-destination

mirroring-group 1:

    type: remote-destination

    status: active

    monitor port: GigabitEthernet1/1/2

    remote-probe vlan: 10

1.3.4  镜像的显示

在完成上述配置后，在任意视图下执行display命令都可以显示配置后镜像功能的运行情况。用户可以通过查看显示信息验证配置的效果。

表1-12 镜像的显示

1.4  S3600-SI镜像配置

镜像的介绍请参见1.1  镜像简介。

1.4.1  配置流镜像

S3600-SI流镜像配置与S3600-EI流镜像配置相同，请参见1.3.1  配置流镜像。

1.4.2  配置端口镜像

1. 配置准备

l              确定了镜像源端口，确定了被镜像报文的方向：inbound表示仅对端口接收的报文进行镜像，outbound表示仅对端口发送的报文进行镜像，both表示同时对端口接收和发送的报文进行镜像

l              确定了镜像目的端口

2. 配置过程

表1-13 配置端口镜像

3. 配置举例

l              镜像源端口为GigabitEthernet 1/1/1，对端口接收和发送的报文都进行镜像

l              镜像目的端口为GigabitEthernet 1/1/4

配置步骤：

<H3C> system-view

[H3C] interface gigabitEthernet 1/1/4

[H3C-GigabitEthernet1/1/4] monitor-port

[H3C-GigabitEthernet1/1/4] quit

[H3C] interface gigabitEthernet 1/1/1

[H3C-GigabitEthernet1/1/1] mirroring-port both

1.4.3  镜像的显示

在完成上述配置后，在任意视图下执行display命令都可以显示配置后镜像功能的运行情况。用户可以通过查看显示信息验证配置的效果。

表1-14 镜像的显示