• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

端口镜像配置举例

端口镜像配置举例

 

H3C_彩色.emf

 



简介

本文档介绍通过端口镜像进行数据监控的典型配置举例。

在端口镜像的实际应用中,可以通过灵活配置实现不同的组网需求,比如一个源端口的数据可以镜像到多个目的端口,或者多个源端口的数据镜像到一个目的端口。

配置前提

本文档不严格与具体软、硬件版本对应,如果使用过程中与产品实际情况有差异,请参考相关产品手册,或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解端口镜像特性。

多个目的端口配置举例

3.1  组网需求

1所示,用户有两台监控分析设备,一台是分析仪,另一台是IDSIntrusion Detection System,入侵检测系统)设备。用户希望能对来自互联网的流量同时进行分析和入侵检测。本组网中的Device设备不支持一个端口被多个本地镜像组用作源端口。

图1 多个目的端口配置组网图

 

3.2  配置思路

本例中的一个源端口和两个目的端口都位于同一台设备上,所以应优先考虑采用本地端口镜像方式。但一个本地镜像组内不允许有两个目的端口,所以需配置两个本地镜像组,而一个源端口又不能同时属于两个本地镜像组,所以此方式无法实现本例的需求。

在这种情况下,可借助二层远程端口镜像的反射端口方式实现需求:利用反射端口会在远程镜像VLAN中广播镜像报文的原理,将两个目的端口都加入远程镜像VLAN即可。

3.3  配置步骤

(1)      配置远程源镜像组

# 创建远程源镜像组。

<Device> system-view

[Device] mirroring-group 1 remote-source

# 创建VLAN 2

[Device] vlan 2

[Device-vlan2] quit

# 为远程源镜像组配置远程镜像VLAN、源端口和反射口。

[Device] mirroring-group 1 remote-probe vlan 2

[Device] mirroring-group 1 mirroring-port ethernet 1/1 inbound

[Device] mirroring-group 1 reflector-port ethernet 1/2

(2)      在远程镜像VLAN中添加监控端口

# 将端口Ethernet1/3加入远程镜像VLAN

[Device] interface ethernet 1/3

[Device-Ethernet1/3] port access vlan 2

[Device-Ethernet1/3] quit

# 将端口Ethernet1/4加入远程镜像VLAN

[Device] interface ethernet 1/4

[Device-Ethernet1/4] port access vlan 2

3.4  验证配置

用户在两台监控分析设备上可以同时收到来自互联网的流量,镜像功能生效。这样,用户就可以对互联网的流量分别进行综合分析和入侵检测了。

3.5  配置文件

#

 mirroring-group 1 remote-source

 mirroring-group 1 remote-probe vlan 2

#

vlan 1

#

vlan 2

#

interface Ethernet1/1

 port link-mode bridge

 mirroring-group 1 mirroring-port inbound

#

interface Ethernet1/2

 port link-mode bridge

 mirroring-group 1 reflector-port

#

interface Ethernet1/3

 port link-mode bridge

 port access vlan 2

#

interface Ethernet1/4

 port link-mode bridge

 port access vlan 2

#

多台源设备镜像配置举例

4.1  组网需求

2所示,用户只有一台分析仪,但希望能够监控分析来自互联网和局域网的流量。使用的三台Device均为二层设备。为实现对流量的准确分析,要求避免来自互联网和局域网的流量互相影响。

图2 多台源设备镜像配置组网图

 

4.2  配置思路

由于是跨设备镜像,且源设备与目的设备都为二层设备,因此必须配置二层远程端口镜像。为了防止互联网和局域网的流量互相影响,Device ADevice B要使用不同的远程镜像VLAN

Device C上,Device ADevice B的不同远程镜像VLAN对应同一个目的端口。由于一个远程镜像组只能配置一个远程镜像VLAN,并且同一个目的端口不能配置在两个镜像组内。因此在Device C上,不能通过配置远程镜像组将不同远程镜像VLAN的流量送至分析器,而要通过配置连接分析仪的端口允许不同远程镜像VLAN通过来达到该目的。

4.3  配置步骤

4.3.1  Device A的配置

(1)      配置远程源镜像组

# 创建远程源镜像组1

<DeviceA> system-view

[DeviceA] mirroring-group 1 remote-source

# 创建VLAN 2

[DeviceA] vlan 2

[DeviceA-vlan2] quit

# 为远程源镜像组配置远程镜像VLAN、源端口和反射口。

[DeviceA] mirroring-group 1 remote-probe vlan 2

[DeviceA] mirroring-group 1 mirroring-port ethernet 1/1 inbound

[DeviceA] mirroring-group 1 reflector-port ethernet 1/2

(2)      配置连接Device C的端口

# 配置端口Ethernet1/3Trunk端口。

[DeviceA] interface ethernet 1/3

[DeviceA-Ethernet1/3] port link-type trunk

# 配置端口Ethernet1/3允许通过远程镜像VLAN

[DeviceA-Ethernet1/3] port trunk permit vlan 2

# 配置端口Ethernet1/3禁止通过默认VLAN

[DeviceA-Ethernet1/3] undo port trunk permit vlan 1

4.3.2  Device B的配置

(1)      配置远程源镜像组

# 创建远程源镜像组1

<DeviceB> system-view

[DeviceB] mirroring-group 1 remote-source

# 创建VLAN 3

[DeviceB] vlan 3

[DeviceB-vlan2] quit

# 为远程源镜像组配置远程镜像VLAN、源端口和反射口。

[DeviceB] mirroring-group 1 remote-probe vlan 3

[DeviceB] mirroring-group 1 mirroring-port ethernet 1/1 inbound

[DeviceB] mirroring-group 1 reflector-port ethernet 1/2

(2)      配置连接Device C的端口

# 配置端口Ethernet1/3Trunk端口。

[DeviceB] interface ethernet 1/3

[DeviceB-Ethernet1/3] port link-type trunk

# 配置端口Ethernet1/3允许通过远程镜像VLAN

[DeviceB-Ethernet1/3] port trunk permit vlan 3

# 配置端口Ethernet1/3禁止通过默认VLAN

[DeviceB-Ethernet1/3] undo port trunk permit vlan 1

4.3.3  Device C的配置

(1)      创建Device ADevice B的远程镜像VLAN

# 创建VLAN 2VLAN 3

<DeviceC> system-view

[DeviceC] vlan 2

[DeviceC-vlan2] quit

[DeviceC] vlan 3

[DeviceC-vlan3] quit

(2)      配置连接Device A的端口

# 配置端口Ethernet1/1Trunk端口。

[DeviceC] interface ethernet 1/1

[DeviceC-Ethernet1/1] port link-type trunk

# 配置端口Ethernet1/1允许通过Device A的远程镜像VLAN

[DeviceC-Ethernet1/1] port trunk permit vlan 2

# 配置端口Ethernet1/1禁止通过默认VLAN

[DeviceC-Ethernet1/1] undo port trunk permit vlan 1

[DeviceC-Ethernet1/1] quit

(3)      配置连接Device B的端口

# 配置端口Ethernet1/2Trunk端口。

[DeviceC] interface ethernet 1/2

[DeviceC-Ethernet1/2] port link-type trunk

# 配置端口Ethernet1/2允许通过Device B的远程镜像VLAN

[DeviceC-Ethernet1/2] port trunk permit vlan 3

# 配置端口Ethernet1/2禁止通过默认VLAN

[DeviceC-Ethernet1/2] undo port trunk permit vlan 1

[DeviceC-Ethernet1/2] quit

(4)      配置连接分析仪的端口

# 配置端口Ethernet1/3Trunk端口。

[DeviceC] interface ethernet 1/3

[DeviceC-Ethernet1/3] port link-type trunk

# 配置端口Ethernet1/3允许通过Device ADevice B的远程镜像VLAN

[DeviceC-Ethernet1/3] port trunk permit vlan 2 to 3

# 配置端口Ethernet1/3禁止通过默认VLAN

[DeviceC-Ethernet1/3] undo port trunk permit vlan 1

4.4  验证配置

在分析仪上通过VLAN 2VLAN 3可以分别观察到来自互联网和局域网的流量,表明镜像功能生效。

4.5  配置文件

·              Device A

#

 mirroring-group 1 remote-source

 mirroring-group 1 remote-probe vlan 2

#

vlan 1

#

vlan 2

#

interface Ethernet1/1

 port link-mode bridge

 mirroring-group 1 mirroring-port inbound

#

interface Ethernet1/2

 port link-mode bridge

 mirroring-group 1 reflector-port

#

interface Ethernet1/3

 port link-mode bridge

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 2

#

·              Device B

#

 mirroring-group 1 remote-source

 mirroring-group 1 remote-probe vlan 3

#

vlan 1

#

vlan 3

#

interface Ethernet1/1

 port link-mode bridge

 mirroring-group 1 mirroring-port inbound

#

interface Ethernet1/2

 port link-mode bridge

 mirroring-group 1 reflector-port

#

interface Ethernet1/3

 port link-mode bridge

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 3

#

·              Device C

#

vlan 1

#

vlan 2 to 3

#

interface Ethernet1/1

 port link-mode bridge

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 2

#

interface Ethernet1/2

 port link-mode bridge

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 3

#

interface Ethernet1/3

 port link-mode bridge

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 2 to 3

#

 

附件下载

新华三官网
联系我们