13-镜像配置
本章节下载: 13-镜像配置 (422.69 KB)
目 录
端口镜像是将指定端口(源端口)的报文复制一份到其它端口(目的端口),目的端口会与数据监测设备相连,用户利用这些数据监测设备来分析复制到目的端口的报文,进行网络监控和故障排除。
为了更好地理解后面的内容,首先介绍一下端口镜像中涉及的基本概念。
源端口是被监控的端口,用户可以对通过该端口的报文进行监控和分析。
目的端口也可称为监控端口,该端口将接收到的报文转发到数据监测设备,以便对报文进行监控和分析。
端口镜像的方向分为三种:
l 入方向:仅对从源端口收到的报文进行镜像。
l 出方向:仅对从源端口发出的报文进行镜像。
l 双向:对从源端口收到和发出的报文都进行镜像。
根据使用范围的不同,端口镜像可分为以下三种类型:
l 本地端口镜像:可以将设备源端口上的报文复制到本设备的目的端口,用于监控和分析这些报文。
l 二层远程端口镜像:可以将本设备源端口上的报文通过二层网络复制到另一台设备的目的端口,用于监控和分析这些报文。
l 三层远程端口镜像:可以将本设备源端口上的报文通过三层网络复制到另一台设备的目的端口,用于监控和分析源这些报文。三层远程端口镜像可以实现不同网络甚至不同地域间的镜像功能,极大扩展了镜像功能监测的范围,并通过隧道方式保证了镜像报文的安全。适用于在通过隧道连接的不同站点间进行数据采集和分析。
由于一个目的端口可以同时监视多个源端口,在某些配置情况下,目的端口会收到同一个报文的多个复制报文。例如,目的端口Port 1同时监控源端口Port 2和Port 3接收和发送的所有报文(Port 2和Port 3在同一台设备上),如果一个报文从Port 2进入设备又从Port 3发送出去,那么这个报文将被复制两次送到目的端口Port 1。
端口镜像通过镜像组的方式实现,镜像组可以分为本地镜像组、远程源镜像组和远程目的镜像组三类。
本地端口镜像可以对所有报文(包括协议报文和数据报文)进行镜像,它通过本地镜像组的方式实现,即源端口和目的端口在同一个本地镜像组中,设备将源端口的报文复制一份并转发到目的端口。
如图1-1所示,源端口的报文被镜像到目的端口,这样,连接目的端口的数据监测设备就可以对这些报文进行监控和分析。
本地镜像组支持跨板镜像,即目的端口和源端口可以在同一设备的不同单板上。
二层远程端口镜像可以对协议报文之外的所有报文进行镜像,它通过远程源镜像组和远程目的镜像组互相配合的方式实现。
如图1-2所示,各设备的作用如下:
l 源设备:源端口所在的设备,用户需要在源设备上创建远程源镜像组。源设备负责将源端口的报文复制一份,然后通过出端口将报文在远程镜像VLAN中进行广播,传输给中间设备或目的设备。
l 中间设备:网络中处于源设备和目的设备之间的设备。中间设备负责将镜像报文传输给下一个中间设备或目的设备。如果源设备与目的设备直接相连,则不存在中间设备。用户需要确保远程镜像VLAN内源设备到目的设备间二层网络的互通性。
l 目的设备:远程镜像目的端口所在的设备,用户需要在目的设备上创建远程目的镜像组。目的设备收到报文后,如果其VLAN ID与远程目的镜像组的远程镜像VLAN的VLAN ID相同,则将其通过镜像目的端口转发给数据监测设备。
l 由于源端口的报文将被在源设备的远程镜像VLAN中广播,因此可通过把源设备上的其它端口加入远程镜像VLAN的方式,实现本地端口镜像的功能。
l 在一个镜像组中对同一个端口收发的报文进行双向镜像时,需要在源设备、中间设备和目的设备上通过mac-address mac-learning disable命令用来关闭远程镜像VLAN的MAC地址学习功能,以保证镜像功能的正常进行。关于mac-address mac-learning disable命令的详细信息,请参见“系统分册”中的“MAC地址表管理”。
在镜像报文离开源设备到达远程目的设备过程中,用户应确保镜像报文中VLAN ID的正确性,如果该VLAN ID被修改或删除,二层远程镜像功能将失效。
三层远程端口镜像可以对协议报文之外的所有报文进行镜像,它通过远程源镜像组、远程目的镜像组和GRE隧道互相配合的方式实现。
如图1-3所示,在源设备上,源端口/的报文被镜像到Tunnel接口(作为其目的端口),然后通过GRE隧道发送至目的设备,目的设备在通过Tunnel接口(作为其源端口)将报文转发至其目的端口。这样,目的设备上连接目的端口的数据监测设备就可以对源设备上源端口的报文进行监控和分析。
l 有关GRE隧道的详细介绍,请参见“IP业务分册”中的“隧道配置”。
l 仅有SD、EB系列单板支持三层远程端口镜像功能。
本地端口镜像的配置需要在同一台设备上进行。
首先创建一个本地镜像组,然后为该镜像组配置源端口和目的端口。
表1-1 本地端口镜像配置任务简介
配置任务 |
说明 |
详细配置 |
创建本地镜像组 |
必选 |
|
配置源端口 |
必选 |
|
配置目的端口 |
必选 |
l 除了在SD、EB系列单板上,同一个端口可以作为两个镜像组的源端口之外,其余情况下,一个端口只能加入到一个镜像组。
l 源端口不能再被用作本镜像组或其它镜像组的出端口或目的端口。
表1-2 创建本地镜像组
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建本地镜像组 |
mirroring-group group-id local |
必选 缺省情况下,不存在任何镜像组 |
配置源端口目的端口后,本地镜像组才能生效。
可以在系统视图下为指定镜像组配置一个或多个源端口,也可以在端口视图下将当前端口配置为指定镜像组的源端口,二者的配置效果相同。
表1-3 在系统视图下配置源端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
为本地镜像组配置源端口 |
mirroring-group group-id mirroring-port mirroring-port-list { both | inbound | outbound } |
必选 缺省情况下,镜像组没有源端口 |
表1-4 在端口视图下配置源端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入端口视图 |
interface interface-type interface-numbe
|
- |
配置本端口为本地镜像组的源端口 |
[ mirroring-group group-id ] mirroring-port { both | inbound | outbound } |
必选 缺省情况下,端口不是任何镜像组的源端口 |
一个镜像组内可以配置多个源端口。
可以在系统视图下为指定镜像组配置目的端口,也可以在端口视图下将当前端口配置为指定镜像组的目的端口,二者的配置效果相同。
表1-5 在系统视图下配置目的端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
为本地镜像组配置目的端口 |
mirroring-group group-id monitor-port monitor-port-id |
必选 缺省情况下,镜像组没有目的端口 |
表1-6 在接口视图下配置目的端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入接口视图 |
interface interface-type interface-number |
- |
配置本端口为本地镜像组的目的端口 |
[ mirroring-group group-id ] monitor-port |
必选 缺省情况下,端口不是任何镜像组的目的端口 |
l 一个镜像组内只能配置一个目的端口。
l 请不要在目的端口上使能STP、MSTP和RSTP,否则会影响镜像功能的正常使用。
l 目的端口收到的报文包括复制自源端口的报文和来自其它端口的正常转发报文。为了保证数据监测设备只对源端口的报文进行分析,请将目的端口只用于端口镜像,不作其它用途。
l 镜像组的目的端口不能配置为已经接入RRPP环的端口。
二层远程端口镜像的配置需要分别在源设备和目的设备上进行。
l 除了在SD、EB系列单板上,同一个端口可以作为两个镜像组的源端口之外,其余情况下,一个端口只能加入到一个镜像组。
l 源端口不能再被用作本镜像组或其它镜像组的出端口或目的端口。
l 如果用户在设备上启用了GVRP(GARP VLAN Registration Protocol,GARP VLAN注册协议)功能,GVRP可能将远程镜像VLAN注册到不希望的端口上,此时在目的端口就会收到很多不必要的报文。有关GVRP的详细介绍,请参见“接入分册”中的“GVRP配置”。
首先在源设备上为远程源镜像组配置源端口、出端口和远程镜像VLAN,然后在目的设备上为远程目的镜像组配置远程镜像VLAN和目的端口。
表1-7 二层远程端口镜像配置任务简介
配置任务 |
说明 |
详细配置 |
|
配置远程源镜像组 |
创建远程源镜像组 |
必选 |
|
配置源端口 |
必选 |
||
配置出端口 |
必选 |
||
配置远程镜像VLAN |
必选 |
||
配置远程目的镜像组 |
创建远程目的镜像组 |
必选 |
|
配置目的端口 |
必选 |
||
配置远程镜像VLAN |
必选 |
||
将目的端口加入远程镜像VLAN |
必选 |
在配置二层远程端口镜像之前,需完成以下任务:
l 配置远程镜像VLAN所使用的静态VLAN
源设备上的远程源镜像组和目的设备上的远程目的镜像组必须使用相同的远程镜像VLAN。
请在源设备上进行如下配置。
表1-8 创建远程源镜像组
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建远程源镜像组 |
mirroring-group group-id remote-source |
必选 缺省情况下,不存在任何镜像组 |
可以在系统视图下为指定镜像组配置一个或多个源端口,也可以在端口视图下将当前端口配置为指定镜像组的源端口,二者的配置效果相同。
(1) 在系统视图下配置源端口
表1-9 在系统视图下配置源端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
为远程源镜像组配置源端口 |
mirroring-group group-id mirroring-port mirroring-port-list { both | inbound | outbound } |
必选 缺省情况下,镜像组没有源端口 |
(2) 在端口视图下配置源端口
表1-10 在接口视图下配置源端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入端口视图 |
interface interface-type interface-number |
- |
配置本端口为远程源镜像组的源端口 |
[ mirroring-group group-id ] mirroring-port { both | inbound | outbound } |
必选 缺省情况下,端口不是任何镜像组的源端口 |
l 一个镜像组内可以配置多个源端口。
l 请不要将源端口加入到远程镜像VLAN中,否则会影响镜像功能的正常使用。
可以在系统视图下为指定镜像组配置出端口,也可以在端口视图下将当前端口配置为指定镜像组的出端口,二者的配置效果相同。
(1) 在系统视图下配置出端口
表1-11 在系统视图下配置出端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
为远程源镜像组配置出端口 |
mirroring-group group-id monitor-egress monitor-egress-port |
必选 缺省情况下,镜像组没有出端口 |
(2) 在端口视图下配置出端口
表1-12 在接口视图下配置出端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入端口视图 |
interface interface-type interface-number |
- |
配置本端口为远程源镜像组的出端口 |
mirroring-group group-id monitor-egress |
必选 缺省情况下,端口不是任何镜像组的出端口 |
l 一个镜像组内只能配置一个出端口。
l 出端口不能是现有镜像组的成员端口。
l 请不要在出端口上配置下列功能:STP、MSTP、RSTP、802.1X、IGMP Snooping、静态ARP和MAC地址学习,否则会影响镜像功能的正常使用。
表1-13 配置远程镜像VLAN
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
为远程源镜像组配置远程镜像VLAN |
mirroring-group group-id remote-probe vlan rprobe-vlan-id |
必选 缺省情况下,镜像组没有远程镜像VLAN |
l 一个VLAN只能被一个镜像组使用。
l 请将远程镜像VLAN只用于端口镜像,不作其它用途。
l 被配置成远程镜像VLAN后,该VLAN不能直接删除,必须先删除远程镜像VLAN的配置才能够删除这个VLAN。
l 如果镜像组生效后,远程镜像VLAN被取消,那么该镜像组将失效。
请在目的设备上进行如下配置。
表1-14 创建远程目的镜像组
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建远程目的镜像组 |
mirroring-group group-id remote-destination |
必选 缺省情况下,不存在任何镜像组 |
可以在系统视图下为指定镜像组配置目的端口,也可以在端口视图下将当前端口配置为指定镜像组的目的端口,二者的配置效果相同。
(1) 在系统视图下配置目的端口
表1-15 在系统视图下配置目的端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
为远程目的镜像组配置目的端口 |
mirroring-group group-id monitor-port monitor-port-id |
必选 缺省情况下,镜像组没有目的端口 |
(2) 在端口视图下配置目的端口
表1-16 在接口视图下配置目的端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入端口视图 |
interface interface-type interface-number |
- |
配置本端口为远程目的镜像组的目的端口 |
[ mirroring-group group-id ] monitor-port |
必选 缺省情况下,端口不是任何镜像组的目的端口 |
l 一个镜像组内只能配置一个目的端口。
l 请不要在目的端口上使能STP、MSTP和RSTP,否则会影响镜像功能的正常使用。
l 目的端口收到的报文包括复制自源端口的报文和来自其它端口的正常转发报文。为了保证数据监测设备只对源端口的报文进行分析,请将目的端口只用于端口镜像,不作其它用途。
l 镜像组的目的端口不能配置为已经接入RRPP环的端口。
表1-17 配置远程镜像VLAN
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
为远程目的镜像组配置远程镜像VLAN |
mirroring-group group-id remote-probe vlan rprobe-vlan-id |
必选 缺省情况下,镜像组没有远程镜像VLAN |
l 一个VLAN只能被一个镜像组使用。
l 请将远程镜像VLAN只用于端口镜像,不作其它用途。
l 被配置成远程镜像VLAN后,该VLAN不能直接删除,必须先删除远程镜像VLAN的配置才能够删除这个VLAN。
l 如果镜像组生效后,远程镜像VLAN被取消,那么该镜像组将失效。
表1-18 将目的端口加入远程镜像VLAN
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入目的接口视图 |
interface interface-type interface-number |
- |
|
将目的端口加入远程镜像VLAN |
目的端口为Access端口 |
port access vlan vlan-id |
三者必选其一 |
目的端口为Trunk端口 |
port trunk permit vlan vlan-id |
||
目的端口为Hybrid端口 |
port hybrid vlan vlan-id { tagged | untagged } |
有关port access vlan、port trunk permit vlan和port hybrid vlan命令的详细介绍,请参见“接入分册”中的“VLAN命令”。
三层远程端口镜像的配置需要分别在源设备和目的设备上进行。
分别在源设备和目的设备上先创建一个本地镜像组,然后为该镜像组配置源端口和目的端口,不同的是:
l 在源设备上,需要将源端口指定为待监控的端口,目的端口指定为Tunnel接口;
l 在目的设备上,需要将源端口指定为Tunnel接口对应的物理端口,目的端口指定为连接数据监测设备的端口。
表1-19 三层远程端口镜像配置任务简介
配置任务 |
说明 |
详细配置 |
|
源设备上的配置 |
创建本地镜像组 |
必选 |
|
配置源端口 |
必选 |
||
配置目的端口 |
必选 |
||
目的设备上的配置 |
创建本地镜像组 |
必选 |
|
配置源端口 |
必选 |
||
配置目的端口 |
必选 |
l 除了在SD、EB系列单板上,同一个端口可以作为两个镜像组的源端口之外,其余情况下,一个端口只能加入到一个镜像组。
l 源端口不能再被用作本镜像组或其它镜像组的出端口或目的端口。
在配置三层远程端口镜像之前,需完成以下任务:
l 配置GRE隧道
请分别在源设备和目的设备上进行如下配置。
表1-20 创建本地镜像组
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建本地镜像组 |
mirroring-group group-id local |
必选 缺省情况下,不存在任何镜像组 |
在源设备上,请将源端口指定为待监控的端口;而在目的设备上,请将源端口指定为Tunnel接口对应的物理端口。
可以在系统视图下为指定镜像组配置一个或多个源端口,也可以在端口视图下将当前端口配置为指定镜像组的源端口,二者的配置效果相同。
表1-21 在系统视图下配置源端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
为本地镜像组配置源端口 |
mirroring-group group-id mirroring-port mirroring-port-list { both | inbound | outbound } |
必选 缺省情况下,镜像组没有源端口 |
表1-22 在接口视图下配置源端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入端口视图 |
interface interface-type interface-number |
- |
配置本端口为本地镜像组的源端口 |
[ mirroring-group group-id ] mirroring-port { both | inbound | outbound } |
必选 缺省情况下,端口不是任何镜像组的源端口 |
一个镜像组内可以配置多个源端口。
在源设备上,请将目的端口指定为Tunnel接口;而在目的设备上,请将目的端口指定为连接数据监测设备的端口。
可以在系统视图下为指定镜像组配置目的端口,也可以在端口/Tunnel接口视图下将当前端口/Tunnel接口配置为指定镜像组的目的端口,二者的配置效果相同。
表1-23 在系统视图下配置目的端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
为本地镜像组配置目的端口 |
mirroring-group group-id monitor-port monitor-port-id |
必选 缺省情况下,镜像组没有目的端口 |
表1-24 在接口视图下配置目的端口
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入端口/Tunnel接口视图 |
interface interface-type interface-number |
- |
配置本端口/Tunnel接口为本地镜像组的目的端口 |
[ mirroring-group group-id ] monitor-port |
必选 缺省情况下,端口/Tunnel接口不是任何镜像组的目的端口 |
l 一个镜像组内只能配置一个目的端口。
l 请不要在目的端口上使能STP、MSTP和RSTP,否则会影响镜像功能的正常使用。
l 目的端口收到的报文包括复制自源端口的报文和来自其它端口的正常转发报文。为了保证数据监测设备只对源端口的报文进行分析,请将目的端口只用于端口镜像,不作其它用途。
l 镜像组的目的端口不能配置为已经接入RRPP环的端口。
当S7600系列交换机配备了OLT业务板后,便可以作为EPON系统中的OLT设备进行工作。有关EPON系统的详细介绍,请参见接入分册中“EPON-OLT”部分的介绍。
在EPON环境中,OLT设备可以对ONU设备进行远程的管理和维护。S7600交换机支持对ONU设备进行本地端口镜像的配置,可以将ONU设备上某个UNI端口接收或发送的数据镜像至另一个UNI端口。
表1-25 配置ONU设备的本地端口镜像
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入ONU端口视图 |
interface interface-type interface-number |
- |
配置源端口及镜像的方向 |
uni uni-number mirroring-port { both | inbound | outbound } |
必选 |
配置目的端口 |
uni uni-number monitor-port |
必选 |
l 当配置UNI端口为镜像的目的端口时,建议将该端口的VLAN操作模式配置成VLAN透传模式,以确保镜像报文原封不动地从该端口转发出去,相关操作请参见接入分册中的“EPON-OLT”部分。
l 目的端口收到的报文包括复制自源端口的报文和来自其它端口的正常转发报文。为了保证数据监测设备只对源端口的报文进行分析,请将目的端口只用于端口镜像,不作其它用途。
在完成上述配置后,在任意视图下执行display命令可以显示配置后镜像组的运行情况,通过查看显示信息验证配置的效果。
表1-26 端口镜像显示和维护
操作 |
命令 |
显示镜像组的配置信息 |
display mirroring-group { group-id | all | local | remote-destination | remote-source } |
l Device A通过端口GigabitEthernet2/0/1和GigabitEthernet2/0/2分别连接市场部和技术部,并通过端口GigabitEthernet2/0/3连接Server。
l 通过配置源端口方式的本地端口镜像,使Server可以监控所有进、出市场部和技术部的报文。
(1) 配置本地镜像组
# 创建本地镜像组1。
<DeviceA> system-view
[DeviceA] mirroring-group 1 local
# 配置本地镜像组1的源端口为GigabitEthernet2/0/1和GigabitEthernet2/0/2,目的端口为GigabitEthernet2/0/3。
[DeviceA] mirroring-group 1 mirroring-port gigabitethernet 2/0/1 gigabitethernet 2/0/2 both
[DeviceA] mirroring-group 1 monitor-port gigabitethernet 2/0/3
(2) 检验配置效果
# 显示所有镜像组的配置信息。
[DeviceA] display mirroring-group all
mirroring-group 1:
type: local
status: active
mirroring port:
GigabitEthernet2/0/1 both
GigabitEthernet2/0/2 both
monitor port: GigabitEthernet2/0/3
配置完成后,用户可以通过Server监控所有进、出市场部和技术部的报文。
l 在一个二层网络中,Device A通过端口GigabitEthernet2/0/1连接市场部,并通过Trunk端口GigabitEthernet2/0/2与Device B的Trunk端口GigabitEthernet2/0/1相连;Device C通过端口GigabitEthernet2/0/2连接Server,并通过Trunk端口GigabitEthernet2/0/1与Device B的Trunk端口GigabitEthernet2/0/2相连。
l 通过配置远程端口镜像,使Server可以穿越二层网络监控所有进、出市场部的报文。
图1-5 二层远程端口镜像配置组网图
(1) 配置Device A
# 创建远程源镜像组1。
<DeviceA> system-view
[DeviceA] mirroring-group 1 remote-source
# 创建VLAN 2。
[DeviceA] vlan 2
[DeviceA-vlan2] quit
# 配置远程源镜像组1的远程镜像VLAN为VLAN 2,源端口为GigabitEthernet2/0/1,出端口为GigabitEthernet2/0/2。
[DeviceA] mirroring-group 1 remote-probe vlan 2
[DeviceA] mirroring-group 1 mirroring-port gigabitethernet 2/0/1 both
[DeviceA] mirroring-group 1 monitor-egress gigabitethernet 2/0/2
# 配置端口GigabitEthernet2/0/2为Trunk口,并允许VLAN 2的报文通过。
[DeviceA] interface gigabitethernet 2/0/2
[DeviceA-GigabitEthernet2/0/2] port link-type trunk
[DeviceA-GigabitEthernet2/0/2] port trunk permit vlan 2
[DeviceA-GigabitEthernet2/0/2] quit
(2) 配置Device B
# 配置端口GigabitEthernet2/0/1为Trunk口,并允许VLAN 2的报文通过。
<DeviceB> system-view
[DeviceB] interface gigabitethernet 2/0/1
[DeviceB-GigabitEthernet2/0/1] port link-type trunk
[DeviceB-GigabitEthernet2/0/1] port trunk permit vlan 2
[DeviceB-GigabitEthernet2/0/1] quit
# 配置端口GigabitEthernet2/0/2为Trunk口,并允许VLAN 2的报文通过。
[DeviceB-GigabitEthernet2/0/1] quit
[DeviceB] interface gigabitethernet 2/0/2
[DeviceB-GigabitEthernet2/0/2] port link-type trunk
[DeviceB-GigabitEthernet2/0/2] port trunk permit vlan 2
[DeviceB-GigabitEthernet2/0/2] quit
(3) 配置Device C
# 配置端口GigabitEthernet2/0/1为Trunk口,并允许VLAN 2的报文通过。
<DeviceC> system-view
[DeviceC] interface gigabitethernet 2/0/1
[DeviceC-GigabitEthernet2/0/1] port link-type trunk
[DeviceC-GigabitEthernet2/0/1] port trunk permit vlan 2
[DeviceC-GigabitEthernet2/0/1] quit
# 创建远程目的镜像组1。
[DeviceC] mirroring-group 1 remote-destination
# 创建VLAN 2。
[DeviceC] vlan 2
[DeviceC-vlan2] quit
# 配置远程目的镜像组1的远程镜像VLAN为VLAN 2,目的端口为GigabitEthernet2/0/2,并将端口GigabitEthernet2/0/2加入VLAN 2。
[DeviceC] mirroring-group 1 remote-probe vlan 2
[DeviceC] interface gigabitethernet 2/0/2
[DeviceC-GigabitEthernet2/0/2] mirroring-group 1 monitor-port
[DeviceC-GigabitEthernet2/0/2] port access vlan 2
[DeviceC-GigabitEthernet2/0/2] quit
(4) 检验配置效果
配置完成后,用户可以通过Server监控所有进、出市场部的报文。
l 在一个三层网络中,Device A通过端口GigabitEthernet2/0/1连接市场部,并通过端口GigabitEthernet2/0/2与Device B的端口GigabitEthernet2/0/1相连;Device C通过接口GigabitEthernet2/0/2连接Server,并通过接口GigabitEthernet2/0/1与Device B的接口GigabitEthernet2/0/2相连。
l 通过配置远程端口镜像,使Server可以通过GRE隧道穿越三层网络监控所有进、出市场部的报文。
(1) 配置IP地址
请按照图1-6配置VLAN,并将相应端口加入VLAN,配置各接口的IP地址和子网掩码,具体配置过程略。
(2) 配置Device A
# 创建接口Tunnel0,并为其配置IP地址和掩码。
<DeviceA> system-view
[DeviceA] interface tunnel 0
[DeviceA-Tunnel0] ip address 50.1.1.1 24
# 配置Tunnel0接口采用GRE隧道模式,并为该接口指定源地址和目的地址。
[DeviceA-Tunnel0] tunnel-protocol gre
[DeviceA-Tunnel0] source 20.1.1.1
[DeviceA-Tunnel0] destination 30.1.1.2
[DeviceA-Tunnel0] quit
# 创建并配置业务环回组1,服务类型为tunnel。
[DeviceA] service-loopback group 1 type tunnel
# 将设备上的任意端口(此处以GigabitEthernet2/0/3为例)加入业务环回组1。
[DeviceA] interface GigabitEthernet 2/0/3
[DeviceA-GigabitEthernet2/0/3] undo stp enable
[DeviceA-GigabitEthernet2/0/3] port service-loopback group 1
# 在Tunnel接口视图下指定隧道引用的业务环回组1。
[DeviceA-GigabitEthernet2/0/3] quit
[DeviceA] interface tunnel 0
[DeviceA-Tunnel0] service-loopback-group 1
[DeviceA-Tunnel0] quit
# 配置OSPF协议。
[DeviceA] ospf 1
[DeviceA-ospf-1] area 0
[DeviceA-ospf-1-area-0.0.0.0] network 10.1.1.0 0.0.0.255
[DeviceA-ospf-1-area-0.0.0.0] network 20.1.1.0 0.0.0.255
[DeviceA-ospf-1-area-0.0.0.0] network 50.1.1.0 0.0.0.255
[DeviceA-ospf-1-area-0.0.0.0] quit
[DeviceA-ospf-1] quit
# 创建本地镜像组1。
[DeviceA] mirroring-group 1 local
# 配置本地镜像组1的源端口为GigabitEthernet2/0/1,目的端口为Tunnel0。
[DeviceA] mirroring-group 1 mirroring-port gigabitethernet 2/0/1 both
[DeviceA] mirroring-group 1 monitor-port tunnel 0
(3) 配置Device B
# 配置OSPF协议。
<DeviceB> system-view
[DeviceB] ospf 1
[DeviceB-ospf-1] area 0
[DeviceB-ospf-1-area-0.0.0.0] network 20.1.1.0 0.0.0.255
[DeviceB-ospf-1-area-0.0.0.0] network 30.1.1.0 0.0.0.255
[DeviceB-ospf-1-area-0.0.0.0] quit
[DeviceB-ospf-1] quit
(4) 配置Device C
# 创建接口Tunnel0,并为其配置IP地址和掩码。
<DeviceC> system-view
[DeviceC] interface tunnel 0
[DeviceC-Tunnel0] ip address 50.1.1.2 24
# 配置Tunnel0接口采用GRE隧道模式,并为该接口指定源地址和目的地址。
[DeviceC-Tunnel0] tunnel-protocol gre
[DeviceC-Tunnel0] source 30.1.1.2
[DeviceC-Tunnel0] destination 20.1.1.1
[DeviceC-Tunnel0] quit
# 创建并配置业务环回组1,服务类型为tunnel。
[DeviceC] service-loopback group 1 type tunnel
# 将设备上的任意端口(此处以GigabitEthernet2/0/3为例)加入业务环回组1。
[DeviceC] interface GigabitEthernet 2/0/3
[DeviceC-GigabitEthernet2/0/3] undo stp enable
[DeviceC-GigabitEthernet2/0/3] port service-loopback group 1
# 在Tunnel接口视图下指定隧道引用的业务环回组1。
[DeviceC-GigabitEthernet2/0/3] quit
[DeviceC] interface tunnel 0
[DeviceC-Tunnel0] service-loopback-group 1
[DeviceC-Tunnel0] quit
# 配置OSPF协议。
[DeviceC] ospf 1
[DeviceC-ospf-1] area 0
[DeviceC-ospf-1-area-0.0.0.0] network 30.1.1.0 0.0.0.255
[DeviceC-ospf-1-area-0.0.0.0] network 40.1.1.0 0.0.0.255
[DeviceC-ospf-1-area-0.0.0.0] network 50.1.1.0 0.0.0.255
[DeviceC-ospf-1-area-0.0.0.0] quit
[DeviceC-ospf-1] quit
# 创建本地镜像组1。
[DeviceC] mirroring-group 1 local
# 配置本地镜像组1的源端口为GigabitEthernet2/0/1,目的端口为GigabitEthernet2/0/2。
[DeviceC] mirroring-group 1 mirroring-port gigabitethernet 2/0/1 inbound
[DeviceC] mirroring-group 1 monitor-port gigabitethernet 2/0/2
(5) 检验配置效果
配置完成后,用户可以通过Server监控所有进、出市场部的报文。
用户网络描述如下:
l Device A(S7600以太网交换机)的Olt3/0/1端口下连接了一台ONU设备,对应的ONU端口为Onu3/0/1:1,该ONU设备上连接有终端主机以及Server(数据监测设备)。
l 终端主机连接在ONU设备的UNI1和UNI2端口下,Server连接在ONU设备的UNI3端口下。
l 在DeviceA上远程配置ONU设备的本地端口镜像功能,将UNI1端口接收到的报文镜像至UNI3端口,使Server能够对HostA主机发出的所有报文进行收集。
图1-7 配置本地端口镜像组网图
# 进入系统视图。
<DeviceA> system-view
# 进入ONU端口视图。
[DeviceA] interface Onu 3/0/1:1
# 配置ONU设备的本地镜像源端口为UNI1端口,镜像方向为入方向。
[DeviceA-Onu3/0/1:1] uni 1 mirroring-port inbound
# 配置ONU设备的本地镜像目的端口为UNI3端口。
[DeviceA-Onu3/0/1:1] uni 3 monitor-port
配置完成后,用户就可以在Server上监控HostA发出的所有报文。
流镜像通过QoS策略实现,即使用流分类技术来定义需要被镜像的报文的匹配条件,再通过配置流行为将符合条件的报文镜像至指定的方向。
流镜像可以将数据镜像到以下两个方向:
l 流镜像到端口,将符合要求的数据包复制一份,然后发送到目的端口。
l 流镜像到CPU,是把符合要求的数据包复制一份,然后发送到CPU以供分析诊断,这里的CPU指的是配置了流镜像的端口所在单板上的CPU。
远程流镜像技术通过流镜像与远程端口镜像功能的配合,可以实现将本地符合流分类条件的报文通过远程镜像组镜像至远端设备上的指定目的端口。
远程流镜像的实现方法是:首先在本地设备配置流镜像功能,将符合条件的报文镜像至某个出端口;然后再配置远程源镜像组,并将出端口指定为流镜像中的目的端口,从而可以使流镜像至该目的端口的报文再通过远程镜像功能镜像至远端设备。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建类并进入类视图 |
traffic classifier classifier-name [ operator { and | or } ] |
必选 缺省情况下,类视图下各规则之间的关系为and,即逻辑与 |
配置匹配报文的规则 |
if-match match-criteria |
必选 |
退出至系统视图 |
quit |
- |
创建并进入流行为视图 |
traffic behavior behavior-name |
必选 |
配置流镜像 |
mirror-to { cpu | interface interface-type interface-number } |
必选 |
退出至系统视图 |
quit |
- |
创建策略并进入策略视图 |
qos policy policy-name |
- |
在策略中为类指定采用的流行为 |
classifier classifier-name behavior behavior-name |
必选 |
退出至系统视图 |
quit |
- |
应用QoS策略 |
请参见QoS分册中的“QoS配置” |
S7600交换机可以在端口、VLAN、全局、控制平面范围内应用QoS策略 |
在S7600交换机支持的单板中,SC、SD、EB系列单板可以支持对入方向和出方向的报文进行流镜像;SA系列单板仅支持对入方向的报文进行流镜像。
远程流镜像需要在源设备和目的设备上进行如下配置:
l 流镜像配置:在源设备上配置流镜像功能,将符合条件的报文镜像至连接目的设备的端口(假设为端口A)。配置步骤请参见表2-1。
l 远程源镜像组配置:在源设备上配置远程源镜像组,并将出端口配置为流镜像配置中的目的端口(即端口A)。配置步骤请参见1.3.3 。
用户需要任意指定一个端口作为源端口,建议指定为未使用的端口,以避免该端口收发的报文也通过远程镜像组被镜像至目的设备。
在目的设备上只需要配置远程目的镜像组即可,配置步骤请参见1.3.4 。
完成上述配置后,在任意视图下执行display命令,可以显示配置流镜像后的运行情况。通过查看显示信息,用户可以验证配置的效果。
表2-2 流镜像显示
操作 |
命令 |
显示流行为的配置信息 |
display traffic behavior user-defined behavior-name |
显示策略的配置信息 |
display qos policy user-defined [ policy-name [ classifier classifier-name ] ] |
用户网络描述如下:
l Host A(IP地址为192.168.0.1)和Host B通过端口GigabitEthernet 2/0/1接入交换机Switch;
l 数据监测设备连接在Switch的端口GigabitEthernet 2/0/2上。
要求通过数据监测设备对Host A发出的所有报文进行分析监控。
图2-1 配置流镜像组网图
# 进入系统视图。
<Sysname> system-view
# 配置基本IPv4 ACL 2000,匹配源IP地址为192.168.0.1的报文。
[Sysname] acl number 2000
[Sysname-acl-basic-2000] rule permit source 192.168.0.1 0
[Sysname-acl-basic-2000] quit
# 配置流分类规则,使用基本IPv4 ACL 2000进行流分类。
[Sysname] traffic classfier 1
[Sysname-classifier-1] if-match acl 2000
[Sysname-classifier-1] quit
# 配置流行为,定义流镜像到GigabitEthernet 2/0/2的动作。
[Sysname] traffic behavior 1
[Sysname-behavior-1] mirror-to interface GigabitEthernet 2/0/2
[Sysname-behavior-1] quit
# 配置QoS策略1,为流分类1指定流行为1。
[Sysname] qos policy 1
[Sysname-policy-1] classifier 1 behavior 1
[Sysname-policy-1] quit
# 将QoS策略应用到端口GigabitEthernet 2/0/1上。
[Sysname] interface GigabitEthernet 2/0/1
[Sysname-GigabitEthernet2/0/1] qos apply policy 1 inbound
完成上述配置后,用户可以在数据监测设备上对Host A发出的所有报文进行分析监控。
用户网络描述如下:
l SwitchA的GigabitEthernet2/0/2端口下连接有10.1.1.1/24网段的主机;
l SwitchC的GigabitEthernet2/0/2端口连接了数据监测设备。
l SwitchA通过SwitchB连接至SwitchC,各设备互连的端口如图2-2所示。
要求配置远程流镜像功能,将通过SwitchA的GigabitEthernet2/0/2端口接收到的来自10.1.1.1/24网段的报文镜像到数据监测设备。
l 配置Switch A:
# 配置基本IPv4 ACL 2000,匹配源IP地址为10.1.1.1/24网段的报文。
<SwitchA> system-view
[SwitchA] acl number 2000
[SwitchA-acl-basic-2000] rule permit source 10.1.1.1 255.255.255.0
[SwitchA-acl-basic-2000] quit
# 配置流分类规则,使用基本IPv4 ACL 2000进行流分类。
[SwitchA] traffic classfier 1
[SwitchA-classifier-1] if-match acl 2000
[SwitchA-classifier-1] quit
# 配置流行为,定义流镜像到端口GigabitEthernet 2/0/1的动作。
[SwitchA] traffic behavior 1
[SwitchA-behavior-1] mirror-to interface GigabitEthernet 2/0/1
[SwitchA-behavior-1] quit
# 配置QoS策略1,为流分类1指定流行为1。
[SwitchA] qos policy 1
[SwitchA-policy-1] classifier 1 behavior 1
[SwitchA-policy-1] quit
# 将QoS策略应用到端口GigabitEthernet 2/0/2上。
[SwitchA] interface GigabitEthernet 2/0/2
[SwitchA-GigabitEthernet2/0/2] qos apply policy 1 inbound
[SwitchA-GigabitEthernet2/0/2] quit
# 创建远程源镜像组1。
[SwitchA] mirroring-group 1 remote-source
# 创建VLAN 2。
[SwitchA] vlan 2
[SwitchA-vlan2] quit
# 为远程源镜像组配置远程镜像VLAN为2,源端口为GigabitEthernet2/0/48,出端口为GigabitEthernet2/0/1。
[SwitchA] mirroring-group 1 remote-probe vlan 2
[SwitchA] mirroring-group 1 mirroring-port GigabitEthernet 2/0/48 inbound
[SwitchA] mirroring-group 1 monitor-egress GigabitEthernet 2/0/1
# 配置端口GigabitEthernet2/0/1的端口类型为Trunk端口,允许VLAN 2的报文通过。
[SwitchA] interface GigabitEthernet 2/0/1
[SwitchA-GigabitEthernet2/0/1] port link-type trunk
[SwitchA-GigabitEthernet2/0/1] port trunk permit vlan 2
l 配置Switch B
# 配置端口GigabitEthernet2/0/1的端口类型为Trunk端口,允许VLAN 2的报文通过。
<SwitchB> system-view
[SwitchB] interface GigabitEthernet 2/0/1
[SwitchB-GigabitEthernet2/0/1] port link-type trunk
[SwitchB-GigabitEthernet2/0/1] port trunk permit vlan 2
[SwitchB-GigabitEthernet2/0/1] quit
# 配置端口GigabitEthernet2/0/2的端口类型为Trunk端口,允许VLAN 2的报文通过。
[SwitchB] interface GigabitEthernet 2/0/2
[SwitchB-GigabitEthernet2/0/2] port link-type trunk
[SwitchB-GigabitEthernet2/0/2] port trunk permit vlan 2
l 配置Switch C
# 配置端口GigabitEthernet2/0/1的端口类型为Trunk端口,允许VLAN 2的报文通过。
<SwitchC> system-view
[SwitchC] interface GigabitEthernet 2/0/1
[SwitchC-GigabitEthernet2/0/1] port link-type trunk
[SwitchC-GigabitEthernet2/0/1] port trunk permit vlan 2
[SwitchC-GigabitEthernet2/0/1] quit
# 创建远程目的镜像组。
[SwitchC] mirroring-group 1 remote-destination
# 创建VLAN 2。
[SwitchC] vlan 2
[SwitchC-vlan2] quit
# 为远程目的镜像组配置远程镜像VLAN和目的端口。
[SwitchC] mirroring-group 1 remote-probe vlan 2
[SwitchC] mirroring-group 1 monitor-port GigabitEthernet 2/0/2
[SwitchC] interface GigabitEthernet 2/0/2
[SwitchC-GigabitEthernet 2/0/2] port access vlan 2
配置完成后,用户就可以在数据监测设备上监控来自10.1.1.1/24网段的报文。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!