14-镜像配置

1 端口镜像

· 二层镜像组不支持跨板镜像，三层镜像组支持跨板镜像。跨板镜像即目的端口和源端口可以在同一设备的不同单板上。

· 不支持在CPOS接口视图下配置源端口。

· 不支持聚合端口作为目的端口。

· SIC-4FSW模块、DSIC-9FSW模块、MSR 20-1X和MSR 20-21固定二层以太网接口不支持跨VLAN镜像。配置镜像组之前，请保证镜像组的所有端口在同一个VLAN中；镜像组配置成功之后，若有端口离开镜像的VLAN，则镜像功能可能不生效，须删除原镜像组再重新配置镜像组。

1.1 端口镜像简介

端口镜像通过将指定端口的报文复制到与数据监测设备相连的端口，使用户可以利用数据监测设备分析这些复制过来的报文，以进行网络监控和故障排除。

1.1.1 端口镜像的基本概念

1. 镜像源

镜像源是指被监控的对象，经由该对象收发的报文会被复制一份到与数据监测设备相连的端口，用户就可以对这些报文（称为镜像报文）进行监控和分析了。被监控的端口，我们将之称为源端口，所在的设备就称为源设备。

2. 镜像目的

镜像目的是指镜像报文所要到达的目的地，即与数据监测设备相连的那个端口，我们称之为目的端口，目的端口所在的设备就称为目的设备。目的端口会将镜像报文转发给与之相连的数据监测设备。

由于一个目的端口可以同时监控多个镜像源，因此在某些组网环境下，目的端口可能收到对同一报文的多份拷贝。例如，目的端口Port 1同时监控同一台设备上的源端口Port 2和Port 3收发的报文，如果某报文从Port 2进入该设备后又从Port 3发送出去，那么该报文将被复制两次给Port 1。

3. 镜像方向

镜像方向是指在镜像源上可复制哪些方向的报文：

· 入方向：是指仅复制镜像源收到的报文。

· 出方向：是指仅复制镜像源发出的报文。

· 双向：是指对镜像源收到和发出的报文都进行复制。

4. 本地镜像组

本地镜像组是在端口镜像的实现过程中用到的一个逻辑上的概念，镜像源和镜像目的都要属于某一个镜像组。

1.1.2 端口镜像的分类和实现方式

根据镜像源与镜像目的是否位于同一台设备上，可以将端口镜像分为本地端口镜像和远程端口镜像两大类。

1. 本地端口镜像

当镜像源和镜像目的位于同一台设备上时，称为本地端口镜像。本地端口镜像的配置有两种方法：一种是通过配置本地镜像组mirroring-group命令，另一种是通过配置直接镜像mirror命令。两种配置方法的实现方式不同：

· mirroring-group命令是在网络层将报文镜像，而mirror命令是在物理层将报文镜像，mirror命令镜像出的报文信息更加全面。

· mirroring-group命令不支持对Aux、Bridge-Aggregation、Cellular、Encrypt、NULL、WLAN-BSS、WLAN-Ethernet的镜像，而mirror命令可以支持路由器上的所有端口。

2. 远程端口镜像

当镜像源和镜像目的位于不同设备上时，称为远程端口镜像。远程端口镜像由mirror命令实现，即将镜像源的物理层报文复制一份至远端目的设备，然后由目的设备将镜像报文转发至数据监测设备。远程端口镜像支持对路由器上所有端口的镜像。

mirror命令在语音接口视图下的配置有所不同，具体配置请参见“语音配置指导”中的“模拟语音用户线”和“数字语音用户线”。

1.2 配置本地端口镜像

1.2.1 通过本地镜像组方式配置本地端口镜像

1. 配置任务简介

首先创建一个本地镜像组，然后为该镜像组配置源端口和目的端口。

表1-1 配置任务简介

配置任务	说明	详细配置
创建本地镜像组	必选	1.2.1 2.
配置源端口	必选	1.2.1 3.
配置目的端口	必选	1.2.1 4.

2. 创建本地镜像组

表1-2 创建本地镜像组

操作	命令	说明
进入系统视图	system-view	-
创建本地镜像组	mirroring-group group-id local	必选缺省情况下，不存在任何本地镜像组

操作

命令

说明

进入系统视图

system-view

创建本地镜像组

mirroring-group group-id local

必选

缺省情况下，不存在任何本地镜像组

在完成源端口和目的端口的配置之后，本地镜像组才能生效。

MSR系列路由器各款型对于本节所描述的特性支持情况有所不同，详细差异信息如下：

型号	命令	描述
MSR800	创建本地镜像组	可以创建1～5个
MSR 900
MSR900-E
MSR 930
MSR 20-1X
MSR 20
MSR 30
MSR 50		可以创建1～10个
MSR 2600		可以创建1～5个
MSR3600-51F		可以创建1～5个

3. 配置源端口

可以在系统视图下为指定镜像组配置一个或多个源端口，也可以在接口视图下将当前接口配置为指定镜像组的源端口，二者的配置效果相同。

表1-3 配置源端口

操作		命令	说明
进入系统视图		system-view	-
通过在系统视图下配置源端口或者通过在接口视图下配置源端口（两者必选其一）	在系统视图下配置源端口	mirroring-group group-id mirroring-port mirroring-port-list { both \| inbound \| outbound }	必选缺省情况下，本地镜像组没有源端口
	在接口视图下配置源端口	interface interface-type interface-number	-
	在接口视图下配置源端口	mirroring-group group-id mirroring-port { both \| inbound \| outbound }	必选缺省情况下，端口不是任何本地镜像组的源端口

· 一个镜像组内可以配置多个源端口。

· 通常，一个端口只能被一个镜像组使用；而在支持多目的端口的设备上，一个端口可被多个镜像组用作源端口，但源端口不能再被用作本镜像组或其它镜像组的目的端口。

4. 配置目的端口

可以在系统视图下为指定镜像组配置目的端口，也可以在接口视图下将当前接口配置为指定镜像组的目的端口，二者的配置效果相同。

表1-4 配置目的端口

操作		命令	说明
进入系统视图		system-view	-
通过在系统视图下配置目的端口或者通过在接口视图下配置目的端口（两者必选）	在系统视图下配置目的端口	mirroring-group group-id monitor-port monitor-port-id	必选缺省情况下，本地镜像组没有目的端口
	在接口视图下配置目的端口	interface interface-type interface-number	-
	在接口视图下配置目的端口	[ mirroring-group group-id ] monitor-port	必选缺省情况下，端口不是任何本地镜像组的目的端口

请不要在目的端口上使能生成树协议，否则会影响镜像功能的正常使用。

· 一个镜像组内只能配置一个目的端口。

· 从目的端口发出的报文包括镜像报文和其它端口正常转发来的报文。为了保证数据监测设备只对镜像报文进行分析，请将目的端口只用于端口镜像，不作其它用途。

· 目前设备进行三层端口镜像时，只能镜像三层以上的报文内容；对于报文的二层内容不能进行镜像；源MAC固定填为本设备的MAC，而目的MAC固定填写为00-0F-E2-41-5E-5B。

1.2.2 通过直接镜像方式配置本地端口镜像

表1-5 通过直接镜像方式配置端口镜像

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
将该端口镜像到本地另一端口	mirror number number { all \| in \| out} to local-interface interface-type interface-number [mac H-H-H]	必选缺省情况下，通过该端口的报文不被镜像

1.3 配置远程端口镜像

表1-6 通过直接镜像方式配置端口镜像

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
将该端口镜像到远程主机	mirror number number { all \| in \| out} to remote-ip ip-address [ port port ]	必选缺省情况下，通过该端口的报文不被镜像

1.4 端口镜像显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后镜像组的运行情况，通过查看显示信息验证配置的效果。

表1-7 端口镜像显示和维护

操作	命令
显示镜像组的配置信息	display mirroring-group { group-id \| all \| local } [ \| { begin \| exclude \| include } regular-expression ]

1.5 本地端口镜像配置举例

1. 组网需求

· Device A通过端口Ethernet1/1和Ethernet1/2分别连接市场部和技术部，并通过端口Ethernet1/3连接Server。

· 通过配置源端口方式的本地端口镜像，使Server可以监控所有进、出市场部和技术部的报文。

2. 组网图

图1-1 本地端口镜像配置组网图（源端口方式）

3. 配置步骤

(1) 配置本地镜像组

# 创建本地镜像组1。

<DeviceA> system-view

[DeviceA] mirroring-group 1 local

# 配置本地镜像组1的源端口为Ethernet1/1和Ethernet1/2，目的端口为Ethernet1/3。

[DeviceA] mirroring-group 1 mirroring-port ethernet 1/1 ethernet 1/2 both

[DeviceA] mirroring-group 1 monitor-port ethernet 1/3

# 在目的端口Ethernet1/3上关闭生成树协议。

[DeviceA] interface ethernet 1/3

[DeviceA-Ethernet1/3] undo stp enable

[DeviceA-Ethernet1/3] quit

(2) 检验配置效果

# 显示所有镜像组的配置信息。

[DeviceA] display mirroring-group all

mirroring-group 1:

type: local

status: active

mirroring port:

Ethernet1/1 both

Ethernet1/2 both

monitor port: Ethernet1/3

配置完成后，用户可以通过Server监控所有进、出市场部和技术部的报文。

2 流镜像

MSR系列路由器各款型对于本节所描述的特性支持情况有所不同，详细差异信息如下：

型号	特性	描述
MSR800	流镜像配置	不支持
MSR 900		支持
MSR900-E		不支持
MSR 930		不支持
MSR 20-1X		不支持
MSR 20		不支持
MSR 30		支持
MSR 50		支持
MSR 2600		不支持
MSR3600-51F		支持

2.1 流镜像简介

流镜像是指将指定报文复制到指定目的地，用于报文的分析和监控。流镜像通过QoS策略来实现，即使用流分类技术为待镜像报文定义匹配条件，再通过配置流行为将符合条件的报文镜像至指定目的地。其优势在于用户通过流分类技术可以灵活地制订匹配条件，从而对报文类型进行精细区分，以获取更加精确的统计信息。目前设备支持流镜像到接口，即将符合要求的报文复制一份并转发到指定接口。

有关QoS策略、流分类和流行为的详细介绍，请参见“ACL和QoS配置指导”中的“QoS配置方式”。

2.2 流镜像配置任务简介

表2-1 流镜像配置任务简介

配置任务		说明	详细配置
配置报文匹配规则		必选	2.3.1
配置流镜像类型	配置流镜像到接口	必选	2.3.2
配置QoS策略		必选	2.3.3
应用QoS策略		必选	2.3.4

对于部分二层接口，流镜像与其某些动作（譬如重定向和镜像等）可能出现资源竞争或配置冲突。

2.3 配置流镜像

2.3.1 配置报文匹配规则

表2-2 配置报文匹配规则

操作	命令	说明
进入系统视图	system-view	-
定义流分类，并进入流分类视图	traffic classifier tcl-name [ operator { and \| or } ]	必选缺省情况下，不存在任何流分类
配置报文匹配规则	if-match [ not ] match-criteria	必选缺省情况下，流分类中不存在任何报文匹配规则

有关traffic classifier和if-match命令的详细介绍，请参见“ACL和QoS命令参考”中的“QoS策略”。

2.3.2 配置流镜像到接口

表2-3 配置流镜像到接口

操作	命令	说明
进入系统视图	system-view	-
定义流行为，并进入流行为视图	traffic behavior behavior-name	必选缺省情况下，不存在任何流行为
配置流镜像到指定接口	mirror-to interface interface-type interface-number	必选缺省情况下，流行为中未配置任何流镜像

有关traffic behavior命令的详细介绍，请参见“ACL和QoS命令参考”中的“QoS策略”。

2.3.3 配置QoS策略

表2-4 配置QoS策略

操作	命令	说明
进入系统视图	system-view	-
定义QoS策略，并进入QoS策略视图	qos policy policy-name	必选缺省情况下，不存在任何策略
为流分类指定采用的流行为	classifier tcl-name behavior behavior-name	必选缺省情况下，没有为流分类指定采用的流行为

有关qos policy和classifier behavior命令的详细介绍，请参见“ACL和QoS命令参考”中的“QoS策略”。

2.3.4 应用QoS策略

有关应用QoS策略的详细介绍，请参见“ACL和QoS配置指导”中的“QoS配置方式”。

将QoS策略应用到某二层接口，可以对该接口指定方向上的流量进行镜像。一个QoS策略可以应用于多个接口，而接口在每个方向上只能应用一个QoS策略。

表2-5 基于二层接口应用

操作	命令	说明
进入系统视图	system-view	-
进入二层接口视图	interface interface-type interface-number	必选接口视图下的配置只对当前接口生效
应用QoS策略到接口	qos apply policy policy-name { inbound \| outbound }	必选

有关qos apply policy命令的详细介绍，请参见“ACL和QoS命令参考”中的“QoS策略”。

2.4 流镜像显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后流镜像的运行情况，通过查看显示信息验证配置的效果。

表2-6 流镜像显示和维护

操作	命令
显示用户自定义流行为的配置信息	display traffic behavior user-defined [ behavior-name ] [ \| { begin \| exclude \| include } regular-expression ]
显示用户自定义策略的配置信息	display qos policy user-defined [ policy-name [ classifier tcl-name ] ] [ \| { begin \| exclude \| include } regular-expression ]

有关display traffic behavior和display qos policy命令的详细介绍，请参见“ACL和QoS命令参考”中的“QoS策略”。