端口鏡像如何配置.doc

端口鏡像如何配置（H3C部分）我的工作是系統(tǒng)集成工程師，經(jīng)常要配置一些路由器、交換機(jī)、防火墻等，最近要給一些單位安裝防火墻與入侵檢測(cè)系統(tǒng)（IDS），IDS要檢測(cè)內(nèi)部局域網(wǎng)與外部網(wǎng)絡(luò)之間的通信數(shù)據(jù)，這就需要IDS串接至一臺(tái)能夠配置端口鏡像的交換機(jī)，具體步驟請(qǐng)參考其它資料。呵呵，端口鏡像也是一個(gè)經(jīng)常用到的功能，所以今天我想把在網(wǎng)上收集到的和自己用過(guò)的一些常用的交換機(jī)的端口鏡像命令寫(xiě)出來(lái)，讓大家看一看。希望大家喜歡，有人的捧人場(chǎng)，有錢的捧錢場(chǎng)呀哈哈。華為3COM部分8016交換機(jī)1.假設(shè)8016交換機(jī)鏡像端口為E1/0/15，被鏡像端口為E1/0/0，設(shè)置端口1/0/15為端口鏡像的觀測(cè)端口。SwitchA port monitor ethernet 1/0/152.設(shè)置端口1/0/0為被鏡像端口，對(duì)其輸入輸出數(shù)據(jù)都進(jìn)行鏡像。SwitchA port mirroring ethernet 1/0/0 both ethernet 1/0/15也可以通過(guò)兩個(gè)不同的端口，對(duì)輸入和輸出的數(shù)據(jù)分別鏡像1.設(shè)置E1/0/15和E2/0/0為鏡像（觀測(cè)）端口SwitchA port monitor ethernet 1/0/152.設(shè)置端口1/0/0為被鏡像端口，分別使用E1/0/15和E1/0/14對(duì)輸入和輸出數(shù)據(jù)進(jìn)行鏡像。SwitchA port mirroring gigabitethernet 1/0/0 ingress ethernet 1/0/15SwitchA port mirroring gigabitethernet 1/0/0 egress ethernet 1/0/14基于流鏡像的數(shù)據(jù)流程基于流鏡像的交換機(jī)針對(duì)某些流進(jìn)行鏡像，每個(gè)連接都有兩個(gè)方向的數(shù)據(jù)流，對(duì)于交換機(jī)來(lái)說(shuō)這兩個(gè)數(shù)據(jù)流是要分開(kāi)鏡像的。3500/3026E/3026F/3050交換機(jī)基于三層流的鏡像1.定義一條擴(kuò)展訪問(wèn)控制列表ACLSwitchAacl num 1002.定義一條規(guī)則報(bào)文源地址為1.1.1.1/32去往所有目的地址SwitchA-acl-adv-101rule 0 permit ip source 1.1.1.1 0 destination any3.定義一條規(guī)則報(bào)文源地址為所有源地址目的地址為1.1.1.1/32SwitchA-acl-adv-101rule 1 permit ip source any destination 1.1.1.1 04.將符合上述ACL規(guī)則的報(bào)文鏡像到E0/8端口SwitchAmirrored-to ip-group 100 interface e0/8基于二層流的鏡像1.定義一個(gè)ACLSwitchAacl num 2002.定義一個(gè)規(guī)則從E0/1發(fā)送至其它所有端口的數(shù)據(jù)包SwitchArule 0 permit ingress interface Ethernet0/1 egress interface Ethernet0/23.定義一個(gè)規(guī)則從其它所有端口到E0/1端口的數(shù)據(jù)包SwitchArule 1 permit ingress interface Ethernet0/2 egress interface Ethernet0/14.將符合上述ACL的數(shù)據(jù)包鏡像到E0/8SwitchAmirrored-to link-group 200 interface e0/8QuiWay系列交換機(jī)方法1：1.配置鏡像端口system-viewH3C monitor-port Ethernet 0/242.配置被鏡像端口H3C port mirror Ethernet 0/1 to Ethernet 0/8方法2：H3C port mirror Ethernet 0/1 to Ethernet 0/8 observing-port Ethernet 0/24S3100系列交換機(jī)system-viewH3C mirroring-group 1 localH3C mirroring-group 1 monitor-port Ethernet 1/0/4H3C mirroring-group 1 mirroring-port Ethernet 1/0/1 bothS3600系列交換機(jī)在端口視圖下配置1：system-viewH3C mirroring-group 1 localH3C interface gigabitEthernet 1/1/4H3C-GigabitEthernet1/1/4 monitor-portH3C-GigabitEthernet1/1/4 quitH3C interface gigabitEthernet 1/1/1H3C-GigabitEthernet1/1/1 mirroring-port both在端口視圖下配置2：system-viewH3C mirroring-group 1 localH3C interface GigabitEthernet 1/1/4H3C-GigabitEthernet1/1/4 mirroring-group 1 monitor-portH3C-GigabitEthernet1/1/4 quitH3C interface GigabitEthernet 1/1/1H3C-GigabitEthernet1/1/1 mirroring-group 1 mirroring-port both在系統(tǒng)視圖下配置：system-viewH3C mirroring-group 1 localH3C mirroring-group 1 monitor-port GigabitEthernet 1/1/4H3C mirroring-group 1 mirroring-port GigabitEthernet 1/1/1 bothS6500/S7500系列交換機(jī)1.以太網(wǎng)端口視圖下配置端口鏡像1) 創(chuàng)建端口鏡像組 system-viewSWITCH mirroring-group 1 local2) 進(jìn)入鏡像目的端口的以太網(wǎng)端口視圖SWITCH interface GigabitEthernet 1/0/23) 定義當(dāng)前端口為鏡像目的端口SWITCH-GigabitEthernet1/0/2 mirroring-group 1 monitor-port4) 進(jìn)入鏡像源端口的以太網(wǎng)端口視圖SWITCH interface GigabitEthernet 1/0/15) 配置鏡像源端口，同時(shí)指定被鏡像報(bào)文的方向SWITCH-GigabitEthernet1/0/1 mirroring-group 1 mirroring-port both2.系統(tǒng)視圖下配置端口鏡像1) 創(chuàng)建端口鏡像組。 system-viewSWITCH mirroring-group 1 local2) 配置鏡像目的端口