城域網(wǎng)常見(jiàn)交換機(jī)端口與遠(yuǎn)程鏡像

1、城域網(wǎng)常見(jiàn)交換機(jī)端口及遠(yuǎn)程鏡像郭銳雄一、 案例描述鏡像即將一個(gè)端口的流量復(fù)制到另一個(gè)端口，以便抓包處理，鏡像分三種：1、本地端口鏡像：即將一個(gè)端口流量鏡像到同一交換機(jī)的另一端口。2、二層端口鏡像（rspan）：將鏡像流量轉(zhuǎn)到某一個(gè)vlan內(nèi)，雖然流量是單播，但一般設(shè)備對(duì)未知單播都會(huì)做廣播處理，故任何一個(gè)加入該vlan的端口均可抓到該鏡像流量。3、三層流量接口（erspan）：將流量鏡像到遠(yuǎn)程的三層接口，需要有到該端口的路由。4、流鏡像：流鏡像是指在設(shè)備上配置一定的規(guī)則，將符合規(guī)則的特定業(yè)務(wù)流復(fù)制到觀察端口進(jìn)行分析和監(jiān)控。二、 常見(jiàn)交換機(jī)鏡像配置一、華為S9312端口鏡像：1、本地鏡像（本例是配

2、置M:N的鏡像，即將M個(gè)鏡像端口的報(bào)文復(fù)制到N個(gè)不同的觀察端口，這里講接口改成一個(gè)就是普通的端口鏡像）：a) 配置觀察端口：Switch observe-port 1 interface-range gigabitethernet 1/0/4 gigabitethernet 1/0/5（如果是單個(gè)接口就interface ，不帶range）b)配置鏡像端口：Switch-GigabitEthernet1/0/1port-mirroringto observe-port 1 inbound /將接口GE1/0/1的入方向綁定到索引為1的觀察端口上c) 查看觀察端口和鏡像端口 display ob

3、serve-port display port-mirroringe) 本地流鏡像在Switch上配置接口GE1/0/2為本地觀察端口：Switch observe-port 1 interface gigabitethernet 1/0/2在Switch上創(chuàng)建流分類(lèi)c1，并配置流分類(lèi)規(guī)則匹配以下兩類(lèi)報(bào)文：源地址為10.1.1.0/24，目的TCP端口號(hào)為80的端口號(hào)；Switch acl number 3000 Switch-acl-adv-3000 rule permit tcp source 10.1.1.0 0.0.0.255 destination-port eq 80Switch-

4、acl-adv-3000 quitSwitch traffic classifier c1 operator or Switch-classifier-c1 if-match acl 3000在Switch上創(chuàng)建流行為b1，并配置流行為是流鏡像，將指定報(bào)文流鏡像到本地觀察端口GE1/0/2。Switch traffic behavior b1 Switch-behavior-b1 mirroring to observe-port 1Switch-behavior-b1 quit在Switch上創(chuàng)建流策略p1，將流分類(lèi)和對(duì)應(yīng)的流行為進(jìn)行綁定，并將流策略應(yīng)用到接口GE1/0/1的入方向上Swit

5、ch traffic policy p1 Switch-trafficpolicy-p1 classifier c1 behavior b1Switch-trafficpolicy-p1 quitSwitch interface gigabitethernet 1/0/1Switch-GigabitEthernet1/0/1traffic-policy p1 inboundf)查看流分類(lèi)配置信息 display traffic classifier user-defined c12、 二層端口鏡像a) 在SwitchA上配置觀察端口 在SwitchA上配置接口GE1/0/2為二層遠(yuǎn)程觀察端口，

6、綁定的VLAN為VLAN10，觀察端口會(huì)將鏡像報(bào)文向VLAN10進(jìn)行轉(zhuǎn)發(fā)，不需要在觀察端口下進(jìn)行接口加入VLAN的操作。SwitchAobserve-port 1 interface gigabitethernet1/0/2 vlan 10b) 在SwitchA上配置鏡像端口在SwitchA上配置接口GE1/0/1為鏡像端口，將其入方向綁定到二層遠(yuǎn)程觀察端口，即將鏡像端口接收到的報(bào)文復(fù)制一份到二層遠(yuǎn)程觀察端口。SwitchA interface gigabitethernet 1/0/1SwitchA-GigabitEthernet1/0/1 port-mirroring to observe

7、-port 1 inbound c) 在SwitchB上創(chuàng)建VLAN10，將接口GE1/0/1和GE1/0/2加入VLAN10，圖中的server便能收到鏡像報(bào)文。d) 驗(yàn)證配置結(jié)果的命令和本地鏡像一樣，這里不做贅述。3、 有時(shí)候配置二層遠(yuǎn)程端口鏡像需要關(guān)閉MAC學(xué)習(xí)功能. 由于鏡像報(bào)文的目的MAC與原始報(bào)文目的MAC相同，不是監(jiān)控設(shè)備的MAC，也就是說(shuō)，鏡像報(bào)文不能通過(guò)MAC表進(jìn)行轉(zhuǎn)發(fā)，而是依賴(lài)未知單播的處理流程廣播方式進(jìn)行轉(zhuǎn)發(fā)。假設(shè)用于走鏡像流量的VLAN為vlan10，只要VLAN10對(duì)應(yīng)的MAC表中不包含鏡像報(bào)文目的MAC對(duì)應(yīng)的表項(xiàng)，鏡像報(bào)文就可以通過(guò)廣播方式轉(zhuǎn)發(fā)到Server。特別注

8、意做二層鏡像的時(shí)候最好不要同時(shí)抓同一端口的出入兩個(gè)方向的包，以上圖中抓HostA和HostB的通信包為例，如果在SwitchA的GE1/0/1口同時(shí)抓出、入兩個(gè)方向的包，因?yàn)镚E1/0/1的入方向就有以MacA為源MAC地址，以MacB為目的MAC地址的數(shù)據(jù)流，而GE1/0/1的出方向就會(huì)有以MacB源MAC地址、以MacB為目的MAC地址的數(shù)據(jù)流，因?yàn)榻粨Q機(jī)端口會(huì)主動(dòng)學(xué)習(xí)數(shù)據(jù)包的源MAC地址，所以當(dāng)出、入兩個(gè)方向被鏡像的報(bào)文流到達(dá)SwitchB的GE1/0/2口時(shí)，SwitchB的GE1/0/2口就會(huì)在vlan10內(nèi)同時(shí)學(xué)習(xí)到MacA和MacB地址，見(jiàn)圖中SwitchB的mac表，又因?yàn)閺腟

9、witchA鏡像過(guò)來(lái)的數(shù)據(jù)流的目的MAC也正好是MacA和MacB，所以鏡像過(guò)來(lái)的報(bào)文SwitchB便不再認(rèn)為是未知單播報(bào)文，而是認(rèn)為是普通單播報(bào)文從SwitchB的GE1/0/2口在vlan10內(nèi)發(fā)送出去，導(dǎo)致本地Server抓不到包。如果一定要同時(shí)抓兩個(gè)方向的包，則要關(guān)閉用于鏡像的vlan內(nèi)的mac地址學(xué)習(xí)功能。另外，如果vlan10內(nèi)通過(guò)某種其他方式學(xué)習(xí)到了目的MAC（比如鏡像端口加入了vlan10，還有一些更復(fù)雜的情況可以參看華為S9312文檔里二層遠(yuǎn)程端口鏡像需要關(guān)閉MAC學(xué)習(xí)功能的案例），則此時(shí)也需要關(guān)閉該vlan內(nèi)的MAC學(xué)習(xí)功能，但不推薦這么做，一般配置二層遠(yuǎn)程端口鏡像時(shí)不建議

10、用同一個(gè)VLAN轉(zhuǎn)發(fā)普通業(yè)務(wù)流量和鏡像流量。e) 二層端口的流鏡像配置和本地流鏡像基本一致，類(lèi)推一下就可以了，這里不再贅述。4、配置三層遠(yuǎn)程端口鏡像在Switch上進(jìn)行如下配置，實(shí)現(xiàn)Server遠(yuǎn)程監(jiān)控研發(fā)部訪問(wèn)IInternet的流量：1、配置接口GE1/0/2為三層遠(yuǎn)程觀察端口，指定封裝鏡像報(bào)文的目的地址是監(jiān)控設(shè)備的地址，源地址為Switch上的接口地址。2、配置接口GE1/0/1為鏡像端口，將研發(fā)部訪問(wèn)Internet的流量復(fù)制一份到三層遠(yuǎn)程觀察端口。a)配置觀察端口 在Switch上配置接口GE1/0/2為三層遠(yuǎn)程觀察端口，指定封裝鏡像報(bào)文的目的地址是10.2.1.1，源地址是10.1

11、.1.1（源地址可以任意指定本地地址，本例中使用loopback0）Switchobserve-port1interfacegigabitethernet1/0/2 destination-ip 10.2.1.1 source-ip 10.1.1.1 vlan 10配置完成后，觀察端口會(huì)在鏡像報(bào)文外層添加GRE隧道頭，再將其作為IP報(bào)文的數(shù)據(jù)部分，封裝在IP報(bào)文內(nèi)進(jìn)行轉(zhuǎn)發(fā)。注意，如果到目的地址路由的出接口是trunk口的話，一定要帶后面的vlan，否則不能成功遠(yuǎn)程鏡像，vlan為到目的地址路由所走的vlan。b)配置鏡像端口 在Switch上配置接口GE1/0/1為鏡像端口，將其入方向綁定到三

12、層遠(yuǎn)程觀察端口，即將鏡像端口接收到的報(bào)文復(fù)制一份到三層遠(yuǎn)程觀察端口。Switch interface gigabitethernet 1/0/1Switch-GigabitEthernet1/0/1 port-mirroring to observe-port 1 inbound c)驗(yàn)證配置結(jié)果的命令和本地鏡像一樣，這里不做贅述。f)三層鏡像的抓包結(jié)果是帶GRE頭的封裝的ERSPAN報(bào)文（如下圖的第一個(gè)包，這里目的IP就是截圖電腦的IP），如果wireshark不能直接解析的話，則需要強(qiáng)制解析成ERSPAN幀，如圖所示：解析完之后就能看到普通的帶GRE頭的源數(shù)據(jù)報(bào)文：e) 三層接口流鏡像三層

13、接口流鏡像的配置和本地接口也類(lèi)似，類(lèi)推即可。二、華為12808端口鏡像：華為12808的本地鏡像和二層鏡像配置和S9312的配置是一樣的，但三層鏡像的配置比較特殊，需要兩邊設(shè)備真正的建立GRE通道（S9312只需要鏡像端口所在設(shè)備配置GRE即可）。三層遠(yuǎn)端鏡像配置（如果12808的隧道是VXLAN，那么需要將設(shè)備的隧道模式改為GRE，改完后設(shè)備需重啟，所以可能實(shí)際用處不大）：IP，端口等配置如圖所示，兩邊路由互通，現(xiàn)需要講HOSTA的上聯(lián)流量鏡像到server，1、 在SwitchA和SwitchB之間配置GRE隧道將隧道模式改為GRESwitchA ip tunnel mode gre*Sw

14、itchA commitSwitchB ip tunnel mode gre*SwitchB commit配置完后需要重啟。配置GRE通道SwitchA interface Tunnel 1*SwitchA-Tunnel1 tunnel-protocol gre*SwitchA-Tunnel1 ip address 10.1.4.1 24*SwitchA-Tunnel1 source 10.1.2.2*SwitchA-Tunnel1 destination 10.1.3.2*SwitchA-Tunnel1 quit*SwitchA commitSwitchB interface Tunnel

15、1*SwitchB-Tunnel1 tunnel-protocol gre*SwitchB-Tunnel1 ip address 10.1.4.2 24*SwitchB-Tunnel1 source 10.1.3.2*SwitchB-Tunnel1 destination 10.1.2.2*SwitchB-Tunnel1 quit*SwitchB commit2、 配置SwitchA的遠(yuǎn)程觀察端口和鏡像端口。在SwitchA上配置接口Tunnel 1為遠(yuǎn)程觀察端口，配置接10GE1/0/1為鏡像端口。SwitchA observe-port 1 interface Tunnel 1*Switc

16、hA interface 10ge 1/0/1*SwitchA-10GE1/0/1 port-mirroring observe-port 1 inbound*SwitchA-10GE1/0/1 quit*SwitchA commit3、 配置SwitchB的本地觀察端口和鏡像端口。在SwitchB上配置接口10GE1/0/1為本地觀察端口，配置接口10GE1/0/2為鏡像端口SwitchB observe-port 1 interface 10ge 1/0/1*SwitchB interface 10ge 1/0/2*SwitchB-10GE1/0/2 port-mirroring obse

17、rve-port 1 inbound*SwitchB-10GE1/0/2 quit*SwitchB commit三、華為S2352交換機(jī)端口鏡像：1、配置本地鏡像華為S2352設(shè)備配置本地鏡像和華為S9312的配置是一樣的，這里不做贅述。2、配置二層遠(yuǎn)程鏡像a).在Source Switch設(shè)備上配置需要遠(yuǎn)程鏡像的接口和遠(yuǎn)程鏡像VLAN(鏡像端口不允許加入到遠(yuǎn)程鏡像VLAN)執(zhí)行命令vlan vlan-id，創(chuàng)建RSPAN VLAN并進(jìn)入VLAN視圖。 執(zhí)行命令mac-address learning disable，關(guān)閉MAC地址學(xué)習(xí)功能。執(zhí)行命令quit返回系統(tǒng)視圖。 執(zhí)行命令observ

18、e-port index interface interface-type interface-number reflect-type vlan vlan-id，配置觀察接口（也就是將鏡像包發(fā)往遠(yuǎn)程目的交換機(jī)的端口，也就是連中間交換機(jī)的端口）為反射類(lèi)型接口并指定遠(yuǎn)程鏡像VLAN。 執(zhí)行命令interface interface-type interface-number，進(jìn)入遠(yuǎn)程鏡像源接口的接口視圖。 執(zhí)行命令port-mirroring to observe-port index both | inbound | outbound ，配置接口鏡像。 當(dāng)需要同時(shí)監(jiān)控多個(gè)接口的入方向或出方向的報(bào)

19、文時(shí)，可以重復(fù)執(zhí)行步驟6和步驟7。b).在Intermediate Switch設(shè)備上透?jìng)鬟h(yuǎn)程鏡像VLAN c).在Destination Switch設(shè)備上配置遠(yuǎn)程鏡像的觀察接口先創(chuàng)建鏡像VLAN，并保證鏡像VLAN的透?jìng)鳌?執(zhí)行命令interface interface-type interface-number,進(jìn)入觀察接口的接口視圖。 執(zhí)行命令port hybrid untagged vlan vlan-id，將觀察接口配置為Hybrid類(lèi)型并允許遠(yuǎn)端鏡像VLAN的報(bào)文通過(guò)。 執(zhí)行命令quit返回系統(tǒng)視圖，這樣在觀察端口便可抓取源端口的鏡像報(bào)文。3、比較老版本的S2352設(shè)備配置有點(diǎn)區(qū)

20、別，如下所示（下面步驟中與新版本配置相同部分已忽略）：a)、在Source S-switch 設(shè)備上需將鏡像vlan配置為RSPAN VLAN。操作步驟執(zhí)行命令vlan vlan-id，創(chuàng)建遠(yuǎn)程鏡像VLAN 并進(jìn)入VLAN 視圖。執(zhí)行命令rspan vlan enable，配置VLAN 為RSPAN VLAN。執(zhí)行命令quit 返回系統(tǒng)視圖。執(zhí)行命令observing-port o-index interface interface-type interface-number relay-type，配置觀察接口為中繼類(lèi)型接口。b)、在Intermediate S-switch 設(shè)備上也需將鏡像

21、vlan配置為RSPAN VLAN。執(zhí)行命令system-view，進(jìn)入系統(tǒng)視圖。執(zhí)行命令vlan vlan-id，創(chuàng)建遠(yuǎn)程鏡像VLAN 并進(jìn)入VLAN 視圖。執(zhí)行命令rspan vlan enable，配置VLAN 為RSPAN VLAN。執(zhí)行命令quit 返回系統(tǒng)視圖。然后再透?jìng)髟揤LAN。c)、在Destination S-switch 設(shè)備上配置遠(yuǎn)程鏡像的觀察接口執(zhí)行命令system-view，進(jìn)入系統(tǒng)視圖。執(zhí)行命令vlan vlan-id，創(chuàng)建遠(yuǎn)程鏡像VLAN 并進(jìn)入VLAN 視圖。執(zhí)行命令rspan vlan enable，配置VLAN 為RSPAN VLAN。執(zhí)行命令quit 返

22、回系統(tǒng)視圖。執(zhí)行命令observing-port o-index interface interface-type interface-number remote-type，配置觀察接口為遠(yuǎn)程鏡像類(lèi)型，其余配置和上面新版本的配置是一樣的。4、華為S2352設(shè)備的流鏡像配置和S9312一樣，不再贅述，且該設(shè)備不支持三層遠(yuǎn)程鏡像。四、中興89121、本地端口鏡像配置：端口gei_3/3連接了一臺(tái)監(jiān)控計(jì)算機(jī)，需監(jiān)控gei_1/2收的流量a).將gei_1/2配置為鏡像端口ZXR10(config)#interface gei_1/2ZXR10(config-if)#monitor session 1

23、 source direction rxb).將gei_3/3配置為觀察端口ZXR10(config)#interface gei_3/3ZXR10(config-if)#monitor session 1 destinationc). 要監(jiān)控gei_1/1、gei_1/2和gei_2/2收到的數(shù)據(jù)，可以通過(guò)上述的接口模式按個(gè)配置，也可以在全局配置模式下批量配置，配置如下：全局配置模式：ZXR10(config)#monitor session 1 source gei_1/1-2,gei_2/2 direction rx destination gei_3/32、本地端口流鏡像將端口gei_

24、1/8上源IP地址為168.2.5.6的數(shù)據(jù)流鏡像到gei_1/4上。ZXR10(config)#acl standard number 10ZXR10(config-std-acl)#rule 1 permit 168.2.5.5ZXR10(config-std-acl)#rule 2 permit 168.2.5.6ZXR10(config-std-acl)#exitZXR10(config)#traffic-mirror in 10 rule-id 2 interfaceZXR10(config)#interface gei_1/8ZXR10(config-if)#ip access-g

25、roup 10 inZXR10(config-if)#exitZXR10(config)#interface gei_1/4ZXR10(config-if)#monitor session 1 destination3、二層端口遠(yuǎn)程鏡像 二層端口遠(yuǎn)程鏡像配置比較簡(jiǎn)單，以上面本地端口鏡像的配置為例，只有觀察端口配置有些區(qū)別其余配置均沒(méi)有區(qū)別.以上圖為例：將gei_3/3配置為流鏡像的觀察端口，并配置觀察所用的vlan為10：ZXR10(config)#interface gei_3/3ZXR10(config-if)#monitor session 1 destination rspan-vla

26、nid 10依次類(lèi)推，如果要配置二層端口遠(yuǎn)程流鏡像，除觀察端口要如上配置vlan外，其余流鏡像配置和本地流鏡像一樣。4、三層端口遠(yuǎn)程鏡像如圖所示，在Switch1與Switch2之間建立一個(gè)tunnel，Switch1的端口gei_1/1作為鏡像的源端口，配置ERSPAN鏡像。配置完成后，經(jīng)過(guò)Switch1端口gei_1/1的報(bào)文就會(huì)封裝ERSPAN的頭，鏡像到指定的目的IP上，比如圖中的20.20.20.20，也可以直接指到抓包的Server的IP，只要保證路由可達(dá)。配置如下：ZXR10(config)#interface gei_1/1ZXR10(config-gei_1/1)#monit

27、or session 1 source direction bothZXR10(config-gei_1/1)#exitZXR10(config)#interface tunnel1ZXR10(config-tunnel1)#tunnel mode gre ipZXR10(config-tunnel1)#tunnel source ipv4 10.10.10.10ZXR10(config-tunnel1)#tunnel destination ipv4 20.20.20.20ZXR10(config-tunnel1)#monitor session 1 destination erspan f

28、lags enabletpid 0x8100 ttl 128 ZXR10(config-tunnel1)#exit這里本地收到的將是封裝了GRE報(bào)文頭的ERSPAN數(shù)據(jù)包，解析方法見(jiàn)上面S9312里的三層鏡像中WIireShark的操作。但是中興89系列的三層遠(yuǎn)程鏡像有問(wèn)題，只支持當(dāng)?shù)侥康腎P去的路由所指的上聯(lián)端口（如圖中Switch1的1/2口）和鏡像端口（如圖中Switch1的1/1口）在同一塊板卡時(shí)，才能正確轉(zhuǎn)發(fā)鏡像流，如不在同一板卡，比如假設(shè)圖中Switch1和Switch2是通過(guò)2/1口互聯(lián)，中興89交換機(jī)就不會(huì)把鏡像封裝GRE報(bào)文頭，而是和處理本地鏡像一樣，Switch1直接把1/

29、1口的鏡像流鏡像到2/1口，則Switch2收到的報(bào)文就不帶GRE封裝頭，像圖中沒(méi)有經(jīng)過(guò)路由器還沒(méi)有什么問(wèn)題，但如果Switch1和Switch2中間經(jīng)過(guò)了路由器，則中間路由器便不能將報(bào)文轉(zhuǎn)到Switch2上。五、H3C12510端口鏡像1、本地端口鏡像a). 組網(wǎng)需求通過(guò)配置源端口方式的本地端口鏡像，使Server可以監(jiān)控所有進(jìn)、出市場(chǎng)部和技術(shù)部的報(bào)文。b). 組網(wǎng)圖c). 配置步驟# 創(chuàng)建本地鏡像組1 system-viewDevice mirroring-group 1 local# 配置本地鏡像組1的源端口為GigabitEthernet4/0/1和GigabitEthernet4/0

30、/2，目的端口為GigabitEthernet4/0/3。Devicemirroring-group 1 mirroring-port GigabitEthernet4/0/1 GigabitEthernet 4/0/2 bothDevice mirroring-group 1 monitor-port GigabitEthernet 4/0/3d). 驗(yàn)證配置Device display mirroring-group all 2、本地流鏡像a). 組網(wǎng)需求 某公司內(nèi)的各部門(mén)之間使用不同網(wǎng)段的IP地址，其中市場(chǎng)部和技術(shù)部分別使用192.168.1.0/24和192.168.2.0/24網(wǎng)段.

31、通過(guò)配置流鏡像，使Server可以監(jiān)控技術(shù)部訪問(wèn)互聯(lián)網(wǎng)的80端口流量，以及技術(shù)部在工作時(shí)間發(fā)往市場(chǎng)部的IP流量。b). 組網(wǎng)圖c). 配置步驟# 創(chuàng)建ACL 3000，并定義如下規(guī)則：匹配技術(shù)部訪問(wèn)80端口的報(bào)文，以及在工作時(shí)間由技術(shù)部發(fā)往市場(chǎng)部的IP報(bào)文。DeviceA acl number 3000DeviceA-acl-adv-3000 rule permit tcp source 192.168.2.0 0.0.0.255 destination-port eq 80DeviceA-acl-adv-3000 rule permit ip source 192.168.2.0 0.0.0

32、.255 destination 192.168.1.0 0.0.0.255 DeviceA-acl-adv-3000 quit# 創(chuàng)建流分類(lèi)tech_c，并配置報(bào)文匹配規(guī)則為ACL 3000。DeviceA traffic classifier tech_cDeviceA-classifier-tech_c if-match acl 3000DeviceA-classifier-tech_c quit# 創(chuàng)建流行為tecn_b，并配置流鏡像到接口GigabitEthernet4/0/3。DeviceA traffic behavior tech_bDeviceA-behavior-tech_

33、b mirror-to interface GigabitEthernet 4/0/3DeviceA-behavior-tech_b quit# 創(chuàng)建QoS策略tech_p，在策略中為流分類(lèi)tech_c指定采用流行為tech_b。DeviceA qos policy tech_pDeviceA-qospolicy-tech_p classifier tech_c behavior tech_bDeviceA-qospolicy-tech_p quit# 將QoS策略tech_p應(yīng)用到接口GigabitEthernet4/0/4的入方向上。DeviceA interface GigabitEthernet 4/0/4DeviceA-GigabitEthernet4/0/4 qos apply policy tech_p inboundDeviceA-GigabitEthernet4/0/4 quit3、二層遠(yuǎn)程端口鏡像a). 組網(wǎng)需求通過(guò)配置二層遠(yuǎn)程端口鏡像，使Server可以監(jiān)控所有進(jìn)、出市場(chǎng)部的報(bào)文。b). 組網(wǎng)圖c). 配置步驟(1).配置Device A# 創(chuàng)建遠(yuǎn)程源鏡像組1。 system-viewDeviceA mirroring-group 1 remote-source# 創(chuàng)建V