目  录

1 TAP

1.1 TAP简介

1.1.1 TAP工作机制

1.1.2 TAP设备部署方式

1.2 TAP配置限制和指导

1.3 TAP配置任务简介

1.4 TAP配置准备

1.5 开启全局TAP模式

1.6 定义类

1.7 定义流行为

1.7.1 M:N复制

1.7.2 重新标记报文的VLAN Tag

1.7.3 删除报文的外层VLAN Tag

1.7.4 添加报文的外层VLAN Tag

1.7.5 重新标记报文的IP/MAC地址

1.8 定义TAP策略

1.9 接口入方向上应用TAP策略

1.10 TAP显示和维护

1.11 TAP典型配置举例

1.11.1 M:N复制基本组网配置举例

1.11.2 M:N复制到聚合接口配置举例

1.11.3 重新标记报文的VLAN Tag

1.11.4 删除报文的外层VLAN Tag

1.11.5 添加报文的外层VLAN Tag

1.11.6 重新标记报文的目的MAC地址

 

1 TAP

1.1  TAP简介

数据中心网络日益庞大，对网络的安全和性能要求也越来越高，如何深入网络内部提取与监控流量，成为了亟待解决的问题。TAP技术应运而生。

TAP（Test Access Point）也叫分路器，它能够在不中断网络正常流量的情况下，实时获取网络流量，并进行高速复制与转发。TAP将收到的流量进行汇总，复制成多份后同时发送给多台监控设备，以便监控设备进行用户上网行为分析、异常流量监测和网络应用监控等。

1.1.1  TAP工作机制

TAP功能通过QoS策略实现，我们将TAP类型的QoS策略简称为TAP策略。TAP策略中通过配置流分类规则对报文进行标记，配置流行为动作对被标记报文进行编辑和重定向到监控组。其中，监控组中可以配置多个成员接口，报文被复制成多份，由多个成员接口发出。

1. 报文编辑动作

TAP策略支持的报文编辑动作包括：

·     重新标记报文的IP或MAC地址

·     添加、删除或重新标记报文的VLAN Tag

2. TAP处理流程

报文进入TAP设备后的处理流程如图1-1所示：

图1-1 TAP处理流程

 

1.1.2  TAP设备部署方式

TAP设备可以直路部署和旁路部署在网络中：

·     直路部署：TAP设备串联在用户网络中，可以在不影响用户流量正常收发的前提下，对用户流量直接进行复制，并将复制后的流量发送给监控设备，供其进行流量分析与监测。此模式下，TAP仅可以配置重定向到监控组动作，不可以配置报文编辑动作。

·     旁路部署：TAP设备旁挂在用户网络上，由用户网络设备负责将待处理流量送至TAP设备，TAP设备将收到的流量发送给监控设备，供其进行流量分析与监测。此模式下，TAP可以按需配置报文编辑动作。

图1-2 部署模式示意图

 

1.2  TAP配置限制和指导

在TAP策略中，流行为中必须配置重定向到监控组动作，其他报文编辑动作可以根据需求配置。当同一个流行为中配置了多个动作时，命中规则的报文会被执行所有的报文编辑动作，然后执行重定向到监控组动作。

开启全局TAP模式后，收到的未知三层报文无法转发，收到的已知三层报文可以正常转发。

应用TAP策略之前，需要先取消该设备上IRF端口与物理端口的绑定关系，否则TAP策略将下发失败。关于IRF端口的详细介绍，请参见“虚拟化技术”中的“IRF配置”。

TAP策略通过QoS策略实现，部分QoS命令的详细介绍请参见“ACL和QoS命令参考”中的“QoS”。

1.3  TAP配置任务简介

TAP配置任务如下：

(1)     开启全局TAP模式

(2)     定义类

(3)     定义流行为

¡     M:N复制

¡     重新标记报文的VLAN Tag

¡     删除报文的外层VLAN Tag

¡     添加报文的外层VLAN Tag

¡     重新标记报文的IP/MAC地址

(4)     定义TAP策略

(5)     接口入方向上应用TAP策略

1.4  TAP配置准备

配置重定向到监控组时，请先定义监控组。有关监控组的详细介绍，请参见“网络管理和监控配置指导”中的“镜像”。

1.5  开启全局TAP模式

1. 功能简介

当设备连接在生产网络和监控设备之间仅作为TAP使用时，请开启全局TAP模式。开启全局TAP模式后，设备将会关闭二层报文转发功能，防止环路和广播风暴的产生。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启全局TAP模式。

tap enable

缺省情况下，全局TAP模式处于关闭状态。

1.6  定义类

(1)     进入系统视图。

system-view

(2)     创建一个类，并进入类视图。

traffic classifier classifier-name [ operator { and | or } ]

(3)     定义匹配数据包的规则。

if-match match-criteria

缺省情况下，未定义匹配数据包的规则。

if-match命令的介绍，请参见“ACL和QoS命令参考”中的“QoS”。

1.7  定义流行为

1.7.1  M:N复制

1. 功能简介

在某些网络场景中，需要将M个接口流入设备的报文转发给N个监控设备。此时，需要配置TAP的M:N复制功能。

图1-3 M:N复制组网模型

 

2. 配置限制和指导

通过创建M个TAP类型QoS策略，且每个策略的流行为中均配置重定向到同一个监控组，监控组中配置N个成员接口作为流量出接口，然后将M个策略分别应用到M个接口上，最终实现将M个入接口接收的报文复制给N个出接口。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建一个流行为，并进入流行为视图。

traffic behavior behavior-name

(3)     配置重定向到监控组动作。

redirect monitoring-group group-id

缺省情况下，未配置重定向到监控组动作。

1.7.2  重新标记报文的VLAN Tag

1. 功能简介

在某些网络场景中，监控设备需要对报文流入设备的具体接口进行区分。此时可通过配置TAP的重新标记报文的VLAN Tag功能实现此目的。设备对不同接口收到的报文标记不同的VLAN Tag后，发送给监控设备，监控设备可以通过VLAN Tag识别报文的入接口。

图1-4 重新标记报文的VLAN Tag组网模型

 

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建一个流行为，并进入流行为视图。

traffic behavior behavior-name

(3)     配置重新标记报文的VLAN Tag动作。请至少选择其中一项进行配置。

¡     重新标记报文的CVLAN。

remark customer-vlan-id vlan-id

缺省情况下，未配置重新标记报文的CVLAN。

¡     重新标记报文的SVLAN。

remark service-vlan-id vlan-id

缺省情况下，未配置重新标记报文的SVLAN。

(4)     配置重定向到监控组动作。

redirect monitoring-group group-id

缺省情况下，未配置重定向到监控组动作。

1.7.3  删除报文的外层VLAN Tag

1. 功能简介

在某些网络场景中，监控设备需要接收不携带VLAN Tag或携带单层VLAN Tag的报文。此时，需要配置TAP的删除报文的外层VLAN Tag功能。

图1-5 删除报文的外层VLAN Tag组网模型

 

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建一个流行为，并进入流行为视图。

traffic behavior behavior-name

(3)     配置删除报文的外层VLAN Tag动作。

strip-header top-most-vlan

缺省情况下，未配置删除报文的外层VLAN Tag动作。

(4)     配置重定向到监控组动作。

redirect monitoring-group group-id

缺省情况下，未配置重定向到监控组动作。

1.7.4  添加报文的外层VLAN Tag

1. 功能简介

在某些网络场景中，设备不同接口接收到的报文可能携带各自的CVLAN，监控设备需要接收携带统一SVLAN的报文。此时，需要配置TAP的添加报文的外层VLAN Tag功能。

图1-6 添加报文的外层VLAN Tag组网模型

 

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建一个流行为，并进入流行为视图。

traffic behavior behavior-name

(3)     配置添加报文的外层VLAN Tag动作。

nest top-most vlan vlan-id [ dot1p 802.1p ]

缺省情况下，未配置添加报文的外层VLAN Tag动作。

(4)     配置重定向到监控组动作。

redirect monitoring-group group-id

缺省情况下，未配置重定向到监控组动作。

1.7.5  重新标记报文的IP/MAC地址

1. 功能简介

在某些网络场景中，监控设备需要接收目的地址为自己的报文，或根据源地址信息识别流量入接口。此时，通过配置TAP的重新标记报文的IP/MAC地址功能，可以对报文的源、目的IP地址及源、目的MAC地址进行修改，进而实现需求。

图1-7 重新标记报文的IP/MAC地址组网模型

 

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建一个流行为，并进入流行为视图。

traffic behavior behavior-name

(3)     配置重新标记报文的IP/MAC地址动作。请至少选择其中一项进行配置。

¡     重新标记报文的目的IPv4地址。

remark destination-ip ipv4-address

缺省情况下，未配置重新标记报文的目的IPv4地址动作。

¡     重新标记报文的目的MAC地址。

remark destination-mac mac-address

缺省情况下，未配置重新标记报文的目的MAC地址动作。

¡     重新标记报文的源MAC地址。

remark source-mac mac-address

缺省情况下，未配置重新标记报文的源MAC地址动作。

(4)     配置重定向到监控组动作。

redirect monitoring-group group-id

缺省情况下，未配置重定向到监控组动作。

1.8  定义TAP策略

(1)     进入系统视图。

system-view

(2)     创建一个TAP策略，并进入TAP策略视图。

qos tap policy policy-name

(3)     在TAP策略中为类指定采用的流行为。

classifier classifier-name behavior behavior-name

缺省情况下，未指定类对应的流行为。

1.9  接口入方向上应用TAP策略

1. 配置限制和指导

暂不支持在三层以太网接口/三层聚合接口上应用TAP策略。

2. 配置步骤

(1)     进入接口视图。

interface interface-type interface-number

(2)     在接口入方向上应用已创建的TAP策略。

qos apply tap policy policy-name inbound [ inner-match ]

缺省情况下，未在接口入方向上应用TAP策略。

1.10  TAP显示和维护

在任意视图下执行display命令可以显示TAP策略的运行情况，通过查看显示信息验证配置的效果。

表1-1 TAP显示和维护

操作	命令
显示类的配置信息	display traffic classifier user-defined [ classifier-name ] [ slot slot-number ] （有关本命令的详细介绍，请参见“ACL和QoS命令参考”中的“QoS”）
显示流行为的配置信息	display traffic behavior user-defined [ behavior-name ] [ slot slot-number ] （有关本命令的详细介绍，请参见“ACL和QoS命令参考”中的“QoS”）
显示监控组的配置信息	display monitoring-group { group-id | all } （有关本命令的详细介绍，请参见“网络管理和监控命令参考”中的“镜像”）
显示TAP策略的配置信息	display qos policy user-defined tap [ policy-name [ classifier classifier-name ] ] [ slot slot-number ]
显示接口上TAP策略的配置信息和运行情况	display qos tap policy interface [ interface-type interface-number [ inbound ] [ slot slot-number ]

‌

1.11  TAP典型配置举例

1.11.1  M:N复制基本组网配置举例

1. 组网需求

Device D为TAP设备，现需要将接口GigabitEthernet1/0/1、GigabitEthernet1/0/2和GigabitEthernet1/0/3接收的所有报文均复制成两份，分别通过接口GigabitEthernet1/0/4和GigabitEthernet1/0/5发送给Server A和Server B。

2. 组网图

图1-8 M:N复制组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceD> system-view

[DeviceD] tap enable

(2)     定义监控组

# 创建监控组1，并配置监控组的成员接口为GigabitEthernet1/0/4和GigabitEthernet1/0/5。

[DeviceD] monitoring-group 1

[DeviceD-monitoring-group-1] monitoring-port gigabitethernet 1/0/4 to gigabitethernet 1/0/5

[DeviceD-monitoring-group-1] quit

(3)     定义类

# 定义类classifier_tap，匹配所有数据包。

[DeviceD] traffic classifier classifier_tap

[DeviceD-classifier-classifier_tap] if-match any

[DeviceD-classifier-classifier_tap] quit

(4)     定义流行为

# 定义流行为behavior_tap，动作为重定向到监控组1。

[DeviceD] traffic behavior behavior_tap

[DeviceD-behavior-behavior_tap] redirect monitoring-group 1

[DeviceD-behavior-behavior_tap] quit

(5)     定义策略

# 定义TAP类型策略policy_tap，并为类指定流行为。

[DeviceD] qos tap policy policy_tap

[DeviceD-qospolicy-policy_tap] classifier classifier_tap behavior behavior_tap

[DeviceD-qospolicy-policy_tap] quit

(6)     应用策略

# 将TAP类型策略policy_tap应用到接口GigabitEthernet1/0/1的入方向上。

[DeviceD] interface gigabitethernet 1/0/1

[DeviceD-GigabitEthernet1/0/1] qos apply tap policy policy_tap inbound

[DeviceD-GigabitEthernet1/0/1] quit

# 将TAP类型策略policy_tap应用到接口GigabitEthernet1/0/2的入方向上。

[DeviceD] interface gigabitethernet 1/0/2

[DeviceD-GigabitEthernet1/0/2] qos apply tap policy policy_tap inbound

[DeviceD-GigabitEthernet1/0/2] quit

# 将TAP类型策略policy_tap应用到接口GigabitEthernet1/0/3的入方向上。

[DeviceD] interface gigabitethernet 1/0/3

[DeviceD-GigabitEthernet1/0/3] qos apply tap policy policy_tap inbound

[DeviceD-GigabitEthernet1/0/3] quit

1.11.2  M:N复制到聚合接口配置举例

1. 组网需求

Device B为TAP设备，网络环境如下：

·     Device A发往Device C的流量通过GigabitEthernet1/0/1进入Device B，并通过GigabitEthernet1/0/2发往Device C；

·     Device C发往Device A的流量通过GigabitEthernet1/0/2进入Device B，并通过GigabitEthernet1/0/1发往Device A。

要求通过配置Device B实现如下需求：

·     将GigabitEthernet1/0/1收到的流量重定向到监控组中的聚合接口，最终发往Device D；

·     将GigabitEthernet1/0/2收到的流量重定向到监控组中的聚合接口，最终发往Device D；

·     Device B的聚合负载分担类型为逐流负载分担，按照报文的源、目的IP地址区分流；

·     由于GigabitEthernet1/0/1和GigabitEthernet1/0/2接口收到的两种报文流的源、目的IP是相反的，聚合接口在进行聚合负载分担时，两种报文流会经不同成员链路发往Device D，所以需要通过配置全局采用的聚合负载分担HASH算法为1类型，保证两种报文流经同一条成员链路发往Device D。

2. 组网图

图1-9 M:N复制到聚合接口组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceB> system-view

[DeviceB] tap enable

(2)     定义聚合组

# 创建二层聚合组Bridge-Aggregation 1。

[DeviceB] interface bridge-aggregation 1

[DeviceB-Bridge-Aggregation1] quit

# 将二层以太网接口GigabitEthernet1/0/3、GigabitEthernet1/0/4和GigabitEthernet1/0/5加入聚合组Bridge-Aggregation 1中。

[DeviceB] interface gigabitethernet 1/0/3

[DeviceB-GigabitEthernet1/0/3] port link-aggregation group 1

[DeviceB-GigabitEthernet1/0/3] quit

[DeviceB] interface gigabitethernet 1/0/4

[DeviceB-GigabitEthernet1/0/4] port link-aggregation group 1

[DeviceB-GigabitEthernet1/0/4] quit

[DeviceB] interface gigabitethernet 1/0/5

[DeviceB-GigabitEthernet1/0/5] port link-aggregation group 1

[DeviceB-GigabitEthernet1/0/5] quit

(3)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Bridge-Aggregation 1

[DeviceB] monitoring-group 1

[DeviceB-monitoring-group-1] monitoring-port bridge-aggregation 1

[DeviceB-monitoring-group-1] quit

(4)     定义类

# 定义IPv4高级ACL 3001，并为其创建如下规则：匹配源IP为192.168.1.1、目的IP为192.168.2.1的数据包。

[DeviceB] acl advanced 3001

[DeviceB-acl-ipv4-adv-3001] rule permit ip source 192.168.1.1 0 destination 192.168.2.1 0

[DeviceB-acl-ipv4-adv-3001] quit

# 定义类classifier1，匹配ACL 3001。

[DeviceB] traffic classifier classifier1

[DeviceB-classifier-classifier1] if-match acl 3001

[DeviceB-classifier-classifier1] quit

# 定义IPv4高级ACL 3002，并为其创建如下规则：匹配源IP为192.168.2.1、目的IP为192.168.1.1的数据包。

[DeviceB] acl advanced 3002

[DeviceB-acl-ipv4-adv-3002] rule permit ip source 192.168.2.1 0 destination 192.168.1.1 0

[DeviceB-acl-ipv4-adv-3002] quit

# 定义类classifier2，匹配ACL 3002。

[DeviceB] traffic classifier classifier2

[DeviceB-classifier-classifier2] if-match acl 3002

[DeviceB-classifier-classifier2] quit

(5)     定义流行为

# 定义流行为behavior1，动作为重定向到监控组1。

[DeviceB] traffic behavior behavior1

[DeviceB-behavior-behavior1] redirect monitoring-group 1

[DeviceD-behavior-behavior1] quit

(6)     定义策略

# 定义TAP类型策略policy1，并为类classifier1指定流行为behavior1。

[DeviceB] qos tap policy policy1

[DeviceB-qospolicy-policy1] classifier classifier1 behavior behavior1

[DeviceB-qospolicy-policy1] quit

# 定义TAP类型策略policy2，并为类classifier2指定流行为behavior1。

[DeviceB] qos tap policy policy2

[DeviceB-qospolicy-policy2] classifier classifier2 behavior behavior1

[DeviceB-qospolicy-policy2] quit

(7)     应用策略

# 将TAP类型策略policy1应用到接口GigabitEthernet1/0/1的入方向上。

[DeviceB] interface gigabitethernet 1/0/1

[DeviceB-GigabitEthernet1/0/1] qos apply tap policy policy1 inbound

[DeviceB-GigabitEthernet1/0/1] quit

# 将TAP类型策略policy2应用到接口GigabitEthernet1/0/2的入方向上。

[DeviceB] interface gigabitethernet 1/0/2

[DeviceB-GigabitEthernet1/0/2] qos apply tap policy policy2 inbound

[DeviceB-GigabitEthernet1/0/2] quit

(8)     配置全局采用的聚合负载分担类型为按报文的源、目的IP地址进行聚合负载分担。

[DeviceB] link-aggregation global load-sharing mode source-ip destination-ip

(9)     配置聚合全局负载分担算法为1类型。

[DeviceB] link-aggregation global load-sharing algorithm 1

1.11.3  重新标记报文的VLAN Tag

1. 组网需求

Device C为TAP设备，现需要通过配置Device C实现如下需求：

·     对接口Ten-GigabitEthernet1/0/25接收的报文重新标记CVLAN为10；

·     对接口Ten-GigabitEthernet1/0/26接收的报文重新标记CVLAN为20；

·     将携带CVLAN 为10和20的报文通过接口Ten-GigabitEthernet1/0/27发送给Server，使得Server可以利用VLAN Tag区分报文在Device C上的入接口。

2. 组网图

图1-10 重新标记报文的VLAN Tag组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceC> system-view

[DeviceC] tap enable

(2)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Ten-GigabitEthernet1/0/27。

[DeviceC] monitoring-group 1

[DeviceC-monitoring-group-1] monitoring-port ten-gigabitethernet 1/0/27

[DeviceC-monitoring-group-1] quit

(3)     定义类

# 定义类classifier_tap，匹配所有数据包。

[DeviceC] traffic classifier classifier_tap

[DeviceC-classifier-classifier_tap] if-match any

[DeviceC-classifier-classifier_tap] quit

(4)     定义流行为

# 定义流行为behavior_tap1，并配置两个动作：重新标记报文的CVLAN为10和重定向到监控组1。

[DeviceC] traffic behavior behavior_tap1

[DeviceC-behavior-behavior_tap1] remark customer-vlan-id 10

[DeviceC-behavior-behavior_tap1] redirect monitoring-group 1

[DeviceC-behavior-behavior_tap1] quit

# 定义流行为behavior_tap2，并配置两个动作：重新标记报文的CVLAN为20和重定向到监控组1。

[DeviceC] traffic behavior behavior_tap2

[DeviceC-behavior-behavior_tap2] remark customer-vlan-id 20

[DeviceC-behavior-behavior_tap2] redirect monitoring-group 1

[DeviceC-behavior-behavior_tap2] quit

(5)     定义策略

# 定义TAP类型策略policy_tap1，并为类classifier_tap指定流行为behavior_tap1。

[DeviceC] qos tap policy policy_tap1

[DeviceC-qospolicy-policy_tap1] classifier classifier_tap behavior behavior_tap1

[DeviceC-qospolicy-policy_tap1] quit

# 定义TAP类型策略policy_tap2，并为类classifier_tap指定流行为behavior_tap2。

[DeviceC] qos tap policy policy_tap2

[DeviceC-qospolicy-policy_tap2] classifier classifier_tap behavior behavior_tap2

[DeviceC-qospolicy-policy_tap2] quit

(6)     应用策略

# 将TAP类型策略policy_tap1应用到接口Ten-GigabitEthernet1/0/25的入方向上。

[DeviceC] interface ten-gigabitethernet 1/0/25

[DeviceC-Ten-GigabitEthernet1/0/25] qos apply tap policy policy_tap1 inbound

[DeviceC-Ten-GigabitEthernet1/0/25] quit

# 将TAP类型策略policy_tap2应用到接口Ten-GigabitEthernet1/0/26的入方向上。

[DeviceC] interface ten-gigabitethernet 1/0/26

[DeviceC-Ten-GigabitEthernet1/0/26] qos apply tap policy policy_tap2 inbound

[DeviceC-Ten-GigabitEthernet1/0/26] quit

1.11.4  删除报文的外层VLAN Tag

1. 组网需求

Device C为TAP设备，接口Ten-GigabitEthernet1/0/25和Ten-GigabitEthernet1/0/26接收的报文均携带双层VLAN Tag。

现需要通过配置Device C，删除接口Ten-GigabitEthernet1/0/25和Ten-GigabitEthernet1/0/26接收报文的外层VLAN Tag，然后将报文通过接口Ten-GigabitEthernet1/0/27发送给Server。

2. 组网图

图1-11 删除报文的外层VLAN Tag组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceC> system-view

[DeviceC] tap enable

(2)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Ten-GigabitEthernet1/0/27。

[DeviceC] monitoring-group 1

[DeviceC-monitoring-group-1] monitoring-port ten-gigabitethernet 1/0/27

[DeviceC-monitoring-group-1] quit

(3)     定义类

# 定义类classifier_tap，匹配所有数据包。

[DeviceC] traffic classifier classifier_tap

[DeviceC-classifier-classifier_tap] if-match any

[DeviceC-classifier-classifier_tap] quit

(4)     定义流行为

# 定义流行为behavior_tap，并配置两个动作：删除报文的外层VLAN Tag和重定向到监控组1。

[DeviceC] traffic behavior behavior_tap

[DeviceC-behavior-behavior_tap] strip-header top-most-vlan

[DeviceC-behavior-behavior_tap] redirect monitoring-group 1

[DeviceC-behavior-behavior_tap] quit

(5)     定义策略

# 定义TAP类型策略policy_tap，并为类指定流行为。

[DeviceC] qos tap policy policy_tap

[DeviceC-qospolicy-policy_tap] classifier classifier_tap behavior behavior_tap

[DeviceC-qospolicy-policy_tap] quit

(6)     应用策略

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/25的入方向上。

[DeviceC] interface ten-gigabitethernet 1/0/25

[DeviceC-Ten-GigabitEthernet1/0/25] qos apply tap policy policy_tap inbound

[DeviceC-Ten-GigabitEthernet1/0/25] quit

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/26的入方向上。

[DeviceC] interface ten-gigabitethernet 1/0/26

[DeviceC-Ten-GigabitEthernet1/0/26] qos apply tap policy policy_tap inbound

[DeviceC-Ten-GigabitEthernet1/0/26] quit

1.11.5  添加报文的外层VLAN Tag

1. 组网需求

Device C为TAP设备， 接口Ten-GigabitEthernet1/0/25和Ten-GigabitEthernet1/0/26接收的报文均携带单层VLAN Tag。

现需要通过配置Device C，对接口Ten-GigabitEthernet1/0/25和Ten-GigabitEthernet1/0/26接收报文添加外层的VLAN Tag为10，然后将报文通过接口Ten-GigabitEthernet1/0/27发送给Server。

2. 组网图

图1-12 添加报文的外层VLAN Tag组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceC> system-view

[DeviceC] tap enable

(2)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Ten-GigabitEthernet1/0/27。

[DeviceC] monitoring-group 1

[DeviceC-monitoring-group-1] monitoring-port ten-gigabitethernet 1/0/27

[DeviceC-monitoring-group-1] quit

(3)     定义类

# 定义类classifier_tap，匹配所有数据包。

[DeviceC] traffic classifier classifier_tap

[DeviceC-classifier-classifier_tap] if-match any

[DeviceC-classifier-classifier_tap] quit

(4)     定义流行为

# 定义流行为behavior_tap，并配置两个动作：添加报文的外层VLAN Tag为10和重定向到监控组1。

[DeviceC] traffic behavior behavior_tap

[DeviceC-behavior-behavior_tap] nest top-most vlan 10

[DeviceC-behavior-behavior_tap] redirect monitoring-group 1

[DeviceC-behavior-behavior_tap] quit

(5)     定义策略

# 定义TAP类型策略policy_tap，并为类指定流行为。

[DeviceC] qos tap policy policy_tap

[DeviceC-qospolicy-policy_tap] classifier classifier_tap behavior behavior_tap

[DeviceC-qospolicy-policy_tap] quit

(6)     应用策略

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/25的入方向上。

[DeviceC] interface ten-gigabitethernet 1/0/25

[DeviceC-Ten-GigabitEthernet1/0/25] qos apply tap policy policy_tap inbound

[DeviceC-Ten-GigabitEthernet1/0/25] quit

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/26的入方向上。

[DeviceC] interface ten-gigabitethernet 1/0/26

[DeviceC-Ten-GigabitEthernet1/0/26] qos apply tap policy policy_tap inbound

[DeviceC-Ten-GigabitEthernet1/0/26] quit

1.11.6  重新标记报文的目的MAC地址

1. 组网需求

Device B为TAP设备，现需要通过配置Device B，对接口Ten-GigabitEthernet1/0/25接收报文重新标记其目的MAC地址为Server的MAC地址，然后将报文通过接口Ten-GigabitEthernet1/0/26发送给Server。

2. 组网图

图1-13 重新标记报文的目的MAC地址组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceB> system-view

[DeviceB] tap enable

(2)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Ten-GigabitEthernet1/0/26。

[DeviceB] monitoring-group 1

[DeviceB-monitoring-group-1] monitoring-port ten-gigabitethernet 1/0/26

[DeviceB-monitoring-group-1] quit

(3)     定义类

# 定义类classifier_tap，匹配所有数据包。

[DeviceB] traffic classifier classifier_tap

[DeviceB-classifier-classifier_tap] if-match any

[DeviceB-classifier-classifier_tap] quit

(4)     定义流行为

# 定义流行为behavior_tap，并配置两个动作：重新标记报文的目的MAC地址为0050-ba27-bed3和重定向到监控组1。

[DeviceB] traffic behavior behavior_tap

[DeviceB-behavior-behavior_tap] remark destination-mac 0050-ba27-bed3

[DeviceB-behavior-behavior_tap] redirect monitoring-group 1

[DeviceB-behavior-behavior_tap] quit

(5)     定义策略

# 定义TAP类型策略policy_tap，并为类指定流行为。

[DeviceB] qos tap policy policy_tap

[DeviceB-qospolicy-policy_tap] classifier classifier_tap behavior behavior_tap

[DeviceB-qospolicy-policy_tap] quit

(6)     应用策略

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/25的入方向上。

[DeviceB] interface ten-gigabitethernet 1/0/25

[DeviceB-Ten-GigabitEthernet1/0/25] qos apply tap policy policy_tap inbound

[DeviceB-Ten-GigabitEthernet1/0/25] quit