- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
06-鏡像配置
本章節下載： 06-鏡像配置 (777.53 KB)
目 錄
1.2.5 利用遠程鏡像VLAN實現本地鏡像支持多個目的端口
1.5.2 利用遠程鏡像VLAN實現本地鏡像支持多個目的端口典型配置舉例
端口鏡像通過將指定端口的報文複製到與數據監測設備相連的端口，使用戶可以利用數據監測設備分析這些複製過來的報文，以進行網絡監控和故障排除。
鏡像源是指被監控的對象，經由該對象收發的報文會被複製一份到與數據監測設備相連的端口，用戶就可以對這些報文（稱為鏡像報文）進行監控和分析了。被監控的對象可以是端口，我們將之依次稱為源端口，這些對象所在的設備就稱為源設備。
鏡像目的是指鏡像報文所要到達的目的地，即與數據監測設備相連的那個端口，我們稱之為目的端口，目的端口所在的設備就稱為目的設備。目的端口會將其收到的鏡像報文轉發給與之相連的數據監測設備。
由於一個目的端口可以同時監控多個鏡像源，因此在某些配置下，目的端口可能收到對同一報文的多份拷貝。例如，目的端口Port 1同時監控源端口Port 2和Port 3（這兩個端口在同一台設備上）收發的報文，如果某報文從Port 2進入該設備後又從Port 3發送出去，那麼該報文將被複製兩次給Port 1。
鏡像方向是指在鏡像源上可複製的報文方向，包括：
· 入方向：是指僅複製鏡像源收到的報文。
· 出方向：是指僅複製鏡像源發出的報文。
· 雙向：是指對鏡像源收到和發出的報文都進行複製。
鏡像組是在端口鏡像的實現過程中用到的一個邏輯上的概念，鏡像源和鏡像目的都要屬於某一個鏡像組。根據具體的實現方式不同，鏡像組可分為本地鏡像組、遠程源鏡像組和遠程目的鏡像組三類，有關這三類鏡像組的具體介紹請參見“1.1.2 端口鏡像的分類和實現方式”一節。
反射端口、出端口和遠程鏡像VLAN都是在二層遠程端口鏡像的實現過程中用到的概念。遠程鏡像VLAN是將鏡像報文從源設備傳送至目的設備的專用VLAN；反射端口和出端口都位於源設備上，都用來將鏡像報文發送到遠程鏡像VLAN中，二者的區別在於前者不必加入遠程鏡像VLAN中，而後者則必須加入到遠程鏡像VLAN中。有關源設備、目的設備、反射端口、出端口和遠程鏡像VLAN的具體介紹，請參見“1.1.2 端口鏡像的分類和實現方式”一節。
根據鏡像源與鏡像目的所處的相對位置，我們將端口鏡像分為本地端口鏡像和遠程端口鏡像兩大類：
當鏡像源和鏡像目的位於同一台設備上時，稱為本地端口鏡像。對於本地端口鏡像，鏡像源和鏡像目的都屬於同一台設備上的同一個鏡像組，該鏡像組就稱為本地鏡像組。
圖1-1 本地端口鏡像示意圖
如圖1-1所示，鏡像源為源端口GigabitEthernet1/0/1，鏡像目的為目的端口GigabitEthernet1/0/2，這兩個端口位於同一台設備上。設備將進入源端口GigabitEthernet1/0/1的報文複製一份給目的端口GigabitEthernet1/0/2，再由該端口將鏡像報文轉發給數據監測設備。
當鏡像源和鏡像目的分處於兩台設備上時，稱為遠程端口鏡像。對於遠程端口鏡像，鏡像源和鏡像目的分屬於不同設備上的不同鏡像組：鏡像源所在的設備和鏡像組分別稱為源設備和遠程源鏡像組，鏡像目的所在的設備和鏡像組分別稱為目的設備和遠程目的鏡像組，而位於源設備與目的設備之間的設備則統稱為中間設備。
由於源設備與目的設備之間通過二層網絡進行連接，因此遠程端口鏡像又稱為二層遠程端口鏡像。
首先創建一個本地鏡像組，然後為該鏡像組配置源端口和目的端口。
表1-1 本地端口鏡像配置任務簡介
|
配置任務 |
說明 |
詳細配置 |
|
創建本地鏡像組 |
必選 |
|
|
配置源端口 |
必選 |
|
|
配置目的端口 |
必選 |
|
|
利用遠程鏡像VLAN實現本地鏡像支持多個目的端口 |
可選 |
表1-2 創建本地鏡像組
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
創建本地鏡像組 |
mirroring-group group-id local |
必選 缺省情況下，不存在任何本地鏡像組 |
在完成源端口和目的端口的配置之後，本地鏡像組才能生效。
可以在係統視圖下為指定鏡像組配置一個或多個源端口，也可以在端口視圖下將當前端口配置為指定鏡像組的源端口，二者的配置效果相同。
表1-3 在係統視圖下配置源端口
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
為本地鏡像組配置源端口 |
mirroring-group group-id mirroring-port mirroring-port-list { both | inbound | outbound } |
必選 缺省情況下，本地鏡像組沒有源端口 |
表1-4 在端口視圖下配置源端口
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
進入端口視圖 |
interface interface-type interface-number |
- |
|
配置本端口為本地鏡像組的源端口 |
[ mirroring-group group-id ] mirroring-port { both | inbound | outbound } |
必選 缺省情況下，端口不是任何本地鏡像組的源端口 |
· 一個鏡像組內可以配置多個源端口。
· 一個端口隻能被一個鏡像組使用。
可以在係統視圖下為指定鏡像組配置目的端口，也可以在端口視圖下將當前端口配置為指定鏡像組的目的端口，二者的配置效果相同。
表1-5 在係統視圖下配置目的端口
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
為本地鏡像組配置目的端口 |
mirroring-group group-id monitor-port monitor-port-id |
必選 缺省情況下，本地鏡像組沒有目的端口 |
表1-6 在端口視圖下配置目的端口
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
進入端口視圖 |
interface interface-type interface-number |
- |
|
配置本端口為本地鏡像組的目的端口 |
[ mirroring-group group-id ] monitor-port |
必選 缺省情況下，端口不是任何本地鏡像組的目的端口 |
· 一個鏡像組內隻能配置一個目的端口。
· 請不要在目的端口上使能生成樹協議，否則會影響鏡像功能的正常使用。
· 從目的端口發出的報文包括鏡像報文和其它端口正常轉發來的報文。為了保證數據監測設備隻對鏡像報文進行分析，請將目的端口隻用於端口鏡像，不作其它用途。
· 鏡像組的目的端口不能配置為已經接入RRPP環的端口。
傳統的本地鏡像配置方式僅支持在一個鏡像組中指定一個鏡像目的端口，如果用戶需要將一份監測數據同時發送到多個目的端口，可以利用遠程鏡像VLAN的原理來實現。
在二層遠程端口鏡像中，會使用到遠程鏡像VLAN，鏡像報文在遠程鏡像VLAN中以廣播的方式發送。因此，可以利用遠程鏡像VLAN的原理，在本地設備上創建遠程源鏡像組，並指定遠程鏡像VLAN，同時將本設備上連接數據檢測設備的多個端口加入該VLAN。完成以上配置後，鏡像報文在遠程鏡像VLAN中廣播時便可以從這些端口中發送出去，實現將鏡像報文輸出至多個端口的需求。
表1-7 利用遠程鏡像VLAN實現本地鏡像支持多個目的端口配置
|
操作 |
命令 |
說明 |
|
|
進入係統視圖 |
system-view |
- |
|
|
創建遠程源鏡像組 |
mirroring-group group-id remote-source |
必選 缺省情況下，不存在任何鏡像組 |
|
|
為遠程源鏡像組配置源端口 |
在係統視圖下配置 |
mirroring-group group-id mirroring-port mirroring-port-list { both | inbound | outbound } |
兩種方式必選其一 缺省情況下，鏡像組沒有源端口 |
|
在端口視圖下配置 |
interface interface-type interface-number |
||
|
[ mirroring-group group-id ] mirroring-port { both | inbound | outbound } |
|||
|
quit |
|
||
|
為遠程源鏡像組配置反射端口 |
mirroring-group group-id reflector-port reflector-port |
必選 缺省情況下，鏡像組沒有反射端口 |
|
|
創建遠程鏡像VLAN並進入VLAN視圖 |
vlan vlan-id |
必選 缺省情況下，鏡像組沒有遠程鏡像VLAN |
|
|
將鏡像目的端口加入遠程鏡像VLAN |
port interface-list |
必選 缺省情況下，新建VLAN中不包含任何端口 |
|
|
退出至係統視圖 |
quit |
- |
|
|
為遠程源鏡像組配置遠程鏡像VLAN |
mirroring-group group-id remote-probe vlan rprobe-vlan-id |
必選 缺省情況下，鏡像組沒有遠程鏡像VLAN |
|
l 鏡像反射口必須是Access類型的端口，且必須屬於缺省VLAN（VLAN1）。
l 建議選擇設備上未使用的端口作為鏡像反射口，且建議關閉反射口的生成樹協議。
l Combo端口不能被配置為鏡像反射口。
l 一個鏡像組內可以配置多個源端口。
l 請不要將源端口加入到遠程鏡像VLAN中，否則會影響鏡像功能的正常使用。
l 在一個鏡像組內，如果已經配置了鏡像反射口，則無法再配置鏡像出端口。
l 一個VLAN隻能作為一個遠程源鏡像組的遠程鏡像VLAN，且建議該VLAN隻用於端口鏡像，請不要在該VLAN上配置其它業務功能或創建對應的VLAN接口。
l 遠程鏡像VLAN必須為靜態VLAN，且在被配置成遠程鏡像VLAN後，該VLAN不能直接刪除，必須先刪除遠程鏡像VLAN的配置才能夠刪除這個VLAN。
l 如果鏡像組生效後，遠程鏡像VLAN被取消，那麼該鏡像組將失效。
l 鏡像目的端口必須是Access類型的端口。
二層遠程端口鏡像的配置需要分別在源設備和目的設備上進行；如果存在中間設備，則需要在中間設備上允許遠程鏡像VLAN通過，以確保源設備與目的設備之間的二層網絡暢通。
在配置二層遠程端口鏡像時不建議啟用GVRP（GARP VLAN Registration Protocol，GARP VLAN注冊協議）功能，否則GVRP可能將遠程鏡像VLAN注冊到不需要監控的端口上，導致目的端口收到很多不必要的報文。有關GVRP的詳細介紹，請參見“二層技術-以太網交換配置指導”中的“GVRP”。
首先在源設備上為遠程源鏡像組配置源端口、出端口和遠程鏡像VLAN，然後在目的設備上為遠程目的鏡像組配置遠程鏡像VLAN和目的端口。
表1-8 二層遠程端口鏡像配置任務簡介
|
配置任務 |
說明 |
詳細配置 |
|
|
配置遠程目的鏡像組 |
創建遠程目的鏡像組 |
必選 |
|
|
配置目的端口 |
必選 |
||
|
配置遠程鏡像VLAN |
必選 |
||
|
將目的端口加入遠程鏡像VLAN |
必選 |
||
|
配置遠程源鏡像組 |
創建遠程源鏡像組 |
必選 |
|
|
配置源端口 |
必選 |
||
|
配置出端口 |
必選 |
||
|
配置遠程鏡像VLAN |
必選 |
||
請在目的設備上進行如下配置。
表1-9 創建遠程目的鏡像組
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
創建遠程目的鏡像組 |
mirroring-group group-id remote-destination |
必選 缺省情況下，不存在任何遠程目的鏡像組 |
可以在係統視圖下為指定鏡像組配置目的端口，也可以在端口視圖下將當前端口配置為指定鏡像組的目的端口，二者的配置效果相同。
(1) 在係統視圖下配置目的端口
表1-10 在係統視圖下配置目的端口
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
為遠程目的鏡像組配置目的端口 |
mirroring-group group-id monitor-port monitor-port-id |
必選 缺省情況下，遠程目的鏡像組沒有目的端口 |
(2) 在端口視圖下配置目的端口
表1-11 在端口視圖下配置目的端口
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
進入端口視圖 |
interface interface-type interface-number |
- |
|
配置本端口為遠程目的鏡像組的目的端口 |
[ mirroring-group group-id ] monitor-port |
必選 缺省情況下，端口不是任何遠程目的鏡像組的目的端口 |
· 一個鏡像組內隻能配置一個目的端口。
· 請不要在目的端口上使能生成樹協議，否則會影響鏡像功能的正常使用。
· 從目的端口發出的報文包括鏡像報文和其它端口正常轉發來的報文。為了保證數據監測設備隻對鏡像報文進行分析，請將目的端口隻用於端口鏡像，不作其它用途。
· 鏡像組的目的端口不能配置為已經接入RRPP環的端口。
表1-12 配置遠程鏡像VLAN
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
為遠程目的鏡像組配置遠程鏡像VLAN |
mirroring-group group-id remote-probe vlan rprobe-vlan-id |
必選 缺省情況下，遠程目的鏡像組沒有遠程鏡像VLAN |
l 一個VLAN隻能被一個鏡像組使用。
· 當一個VLAN已被指定為遠程鏡像VLAN後，請不要在該VLAN上配置其它業務功能或創建對應的VLAN接口。
l 被配置成遠程鏡像VLAN後，該VLAN不能直接刪除，必須先刪除遠程鏡像VLAN的配置才能夠刪除這個VLAN。
· 如果鏡像組生效後，遠程鏡像VLAN被取消，那麼該鏡像組將失效。
表1-13 將目的端口加入遠程鏡像VLAN
|
操作 |
命令 |
說明 |
|
|
進入係統視圖 |
system-view |
- |
|
|
進入目的端口視圖 |
interface interface-type interface-number |
- |
|
|
將目的端口加入遠程鏡像VLAN |
目的端口為Access端口 |
port access vlan vlan-id |
三者必選其一 |
|
目的端口為Trunk端口 |
port trunk permit vlan vlan-id |
||
|
目的端口為Hybrid端口 |
port hybrid vlan vlan-id { tagged | untagged } |
||
有關port access vlan、port trunk permit vlan和port hybrid vlan命令的詳細介紹，請參見“二層技術-以太網交換命令參考”中的“VLAN”。
請在源設備上進行如下配置。
表1-14 創建遠程源鏡像組
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
創建遠程源鏡像組 |
mirroring-group group-id remote-source |
必選 缺省情況下，不存在任何遠程源鏡像組 |
可以在係統視圖下為指定鏡像組配置一個或多個源端口，也可以在端口視圖下將當前端口配置為指定鏡像組的源端口，二者的配置效果相同。
(1) 在係統視圖下配置源端口
表1-15 在係統視圖下配置源端口
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
為遠程源鏡像組配置源端口 |
mirroring-group group-id mirroring-port mirroring-port-list { both | inbound | outbound } |
必選 缺省情況下，遠程源鏡像組沒有源端口 |
(2) 在端口視圖下配置源端口
表1-16 在端口視圖下配置源端口
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
進入端口視圖 |
interface interface-type interface-number |
- |
|
配置本端口為遠程源鏡像組的源端口 |
[ mirroring-group group-id ] mirroring-port { both | inbound | outbound } |
必選 缺省情況下，端口不是任何遠程源鏡像組的源端口 |
· 一個鏡像組內可以配置多個源端口。
· 請不要將源端口加入到遠程鏡像VLAN中，否則會影響鏡像功能的正常使用。
可以在係統視圖下為指定鏡像組配置出端口，也可以在端口視圖下將當前端口配置為指定鏡像組的出端口，二者的配置效果相同。
(1) 在係統視圖下配置出端口
表1-17 在係統視圖下配置出端口
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
為遠程源鏡像組配置出端口 |
mirroring-group group-id monitor-egress monitor-egress-port |
必選 缺省情況下，遠程源鏡像組沒有出端口 |
(2) 在端口視圖下配置出端口
表1-18 在端口視圖下配置出端口
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
進入端口視圖 |
interface interface-type interface-number |
- |
|
配置本端口為遠程源鏡像組的出端口 |
mirroring-group group-id monitor-egress |
必選 缺省情況下，端口不是任何遠程源鏡像組的出端口 |
· 一個鏡像組內隻能配置一個出端口。
· 出端口不能是現有鏡像組的成員端口。
· 請不要在出端口上配置下列功能：生成樹協議、802.1X、IGMP Snooping、靜態ARP和MAC地址學習，否則會影響鏡像功能的正常使用。
(1) 配置準備
在配置遠程鏡像VLAN之前，需完成以下任務：
· 配置遠程鏡像VLAN所使用的靜態VLAN
(2) 配置過程
表1-19 配置遠程鏡像VLAN
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
為遠程源鏡像組配置遠程鏡像VLAN |
mirroring-group group-id remote-probe vlan rprobe-vlan-id |
必選 缺省情況下，遠程源鏡像組沒有遠程鏡像VLAN |
· 一個VLAN隻能被一個鏡像組使用。
· 被配置成遠程鏡像VLAN後，該VLAN不能直接刪除，必須先刪除遠程鏡像VLAN的配置才能夠刪除這個VLAN。
· 如果鏡像組生效後，遠程鏡像VLAN被取消，那麼該鏡像組將失效。
· 當一個VLAN已被指定為遠程鏡像VLAN後，請不要在該VLAN上配置其它業務功能或創建對應的VLAN接口。
· 源設備和目的設備上的遠程鏡像組必須使用相同的遠程鏡像VLAN。
在完成上述配置後，在任意視圖下執行display命令可以顯示配置後鏡像組的運行情況，通過查看顯示信息驗證配置的效果。
表1-20 端口鏡像顯示和維護
|
操作 |
命令 |
|
顯示鏡像組的配置信息 |
display mirroring-group { group-id | all | local | remote-destination | remote-source } [ | { begin | exclude | include } regular-expression ] |
· Device A通過端口GigabitEthernet1/0/1和GigabitEthernet1/0/2分別連接市場部和技術部，並通過端口GigabitEthernet1/0/3連接Server。
· 通過配置源端口方式的本地端口鏡像，使Server可以監控所有進、出市場部和技術部的報文。
圖1-2 本地端口鏡像配置組網圖
(1) 配置本地鏡像組
# 創建本地鏡像組1。
<DeviceA> system-view
[DeviceA] mirroring-group 1 local
# 配置本地鏡像組1的源端口為GigabitEthernet1/0/1和GigabitEthernet1/0/2，目的端口為GigabitEthernet1/0/3。
[DeviceA] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 gigabitethernet 1/0/2 both
[DeviceA] mirroring-group 1 monitor-port gigabitethernet 1/0/3
# 在目的端口GigabitEthernet1/0/3上關閉生成樹協議。
[DeviceA] interface gigabitethernet 1/0/3
[DeviceA-GigabitEthernet1/0/3] undo stp enable
[DeviceA-GigabitEthernet1/0/3] quit
(2) 檢驗配置效果
# 顯示所有鏡像組的配置信息。
[DeviceA] display mirroring-group all
mirroring-group 1:
type: local
status: active
mirroring port:
GigabitEthernet1/0/1 both
GigabitEthernet1/0/2 both
monitor port: GigabitEthernet1/0/3
配置完成後，用戶可以通過Server監控所有進、出市場部和技術部的報文。
三個部門A、B、C分別使用GigabitEthernet1/0/1～GigabitEthernet1/0/3端口接入DeviceA，現要求通過鏡像功能，使三台數據檢測設備ServerA、ServerB、ServerC都能夠對三個部門發送和接收的報文進行鏡像。
圖1-3 利用遠程鏡像VLAN實現本地鏡像支持多個目的端口組網圖
# 創建遠程源鏡像組1。
<DeviceA> system-view
[DeviceA] mirroring-group 1 remote-source
# 將接入部門A、B、C的三個端口配置為遠程源鏡像組1的源端口。
[DeviceA] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 to gigabitethernet 1/0/3 both
# 將設備上任意未使用的端口（此處以GigabitEthernet1/0/5為例）配置為鏡像組1的反射口。
[DeviceA] mirroring-group 1 reflector-port GigabitEthernet 1/0/5
# 創建VLAN10作為鏡像組1的遠程鏡像VLAN，並將接入三台數據檢測設備的端口加入VLAN10。
[DeviceA] vlan 10
[DeviceA-vlan10] port gigabitethernet 1/0/11 to gigabitethernet 1/0/13
[DeviceA-vlan10] quit
# 配置VLAN10作為鏡像組1的遠程鏡像VLAN。
[DeviceA] mirroring-group 1 remote-probe vlan 10
· 在一個二層網絡中，Device A通過端口GigabitEthernet1/0/1連接市場部，並通過Trunk端口GigabitEthernet1/0/2與Device B的Trunk端口GigabitEthernet1/0/1相連；Device C通過端口GigabitEthernet1/0/2連接Server，並通過Trunk端口GigabitEthernet1/0/1與Device B的Trunk端口GigabitEthernet1/0/2相連。
· 通過配置二層遠程端口鏡像，使Server可以監控所有進、出市場部的報文。
圖1-4 二層遠程端口鏡像配置組網圖
(1) 配置Device C
# 配置端口GigabitEthernet1/0/1為Trunk口，並允許VLAN 2的報文通過。
<DeviceC> system-view
[DeviceC] interface gigabitethernet 1/0/1
[DeviceC-GigabitEthernet1/0/1] port link-type trunk
[DeviceC-GigabitEthernet1/0/1] port trunk permit vlan 2
[DeviceC-GigabitEthernet1/0/1] quit
# 創建遠程目的鏡像組1。
[DeviceC] mirroring-group 1 remote-destination
# 創建VLAN 2作為遠程鏡像VLAN。
[DeviceC] vlan 2
# 關閉遠程鏡像VLAN的MAC地址學習功能（僅S5500-EI係列交換機支持該功能）。
[DeviceC-vlan2] mac-address mac-learning disable
[DeviceC-vlan2] quit
# 配置遠程目的鏡像組1的遠程鏡像VLAN為VLAN 2，目的端口為GigabitEthernet1/0/2，在該端口上關閉生成樹協議並將其加入VLAN 2。
[DeviceC] mirroring-group 1 remote-probe vlan 2
[DeviceC] interface gigabitethernet 1/0/2
[DeviceC-GigabitEthernet1/0/2] mirroring-group 1 monitor-port
[DeviceC-GigabitEthernet1/0/2] undo stp enable
[DeviceC-GigabitEthernet1/0/2] port access vlan 2
[DeviceC-GigabitEthernet1/0/2] quit
(2) 配置Device B
# 創建VLAN 2作為遠程鏡像VLAN。
<DeviceB> system-view
[DeviceB] vlan 2
# 關閉遠程鏡像VLAN的MAC地址學習功能
[DeviceB-vlan2] mac-address mac-learning disable
[DeviceB-vlan2] quit
# 配置端口GigabitEthernet1/0/1為Trunk口，並允許VLAN 2的報文通過。
[DeviceB] interface gigabitethernet 1/0/1
[DeviceB-GigabitEthernet1/0/1] port link-type trunk
[DeviceB-GigabitEthernet1/0/1] port trunk permit vlan 2
[DeviceB-GigabitEthernet1/0/1] quit
# 配置端口GigabitEthernet1/0/2為Trunk口，並允許VLAN 2的報文通過。
[DeviceB-GigabitEthernet1/0/1] quit
[DeviceB] interface gigabitethernet 1/0/2
[DeviceB-GigabitEthernet1/0/2] port link-type trunk
[DeviceB-GigabitEthernet1/0/2] port trunk permit vlan 2
[DeviceB-GigabitEthernet1/0/2] quit
(3) 配置Device A
# 創建遠程源鏡像組1。
<DeviceA> system-view
[DeviceA] mirroring-group 1 remote-source
# 創建VLAN 2作為遠程鏡像VLAN。
[DeviceA] vlan 2
# 關閉遠程鏡像VLAN的MAC地址學習功能
[DeviceA-vlan2] mac-address mac-learning disable
[DeviceA-vlan2] quit
# 配置遠程源鏡像組1的遠程鏡像VLAN為VLAN 2，源端口為GigabitEthernet1/0/1，出端口為GigabitEthernet1/0/2。
[DeviceA] mirroring-group 1 remote-probe vlan 2
[DeviceA] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 both
[DeviceA] mirroring-group 1 monitor-egress gigabitethernet 1/0/2
# 配置出端口GigabitEthernet1/0/2為Trunk口，允許VLAN 2的報文通過，並在該端口上關閉生成樹協議。
[DeviceA] interface gigabitethernet 1/0/2
[DeviceA-GigabitEthernet1/0/2] port link-type trunk
[DeviceA-GigabitEthernet1/0/2] port trunk permit vlan 2
[DeviceA-GigabitEthernet1/0/2] undo stp enable
[DeviceA-GigabitEthernet1/0/2] quit
(4) 檢驗配置效果
配置完成後，用戶可以通過Server監控所有進、出市場部的報文。
流鏡像是指將指定報文複製到指定目的地，用於報文的分析和監控。流鏡像通過QoS策略來實現，即使用流分類技術為待鏡像報文定義匹配條件，再通過配置流行為將符合條件的報文鏡像至指定目的地。其優勢在於用戶通過流分類技術可以靈活地製訂匹配條件，從而對報文類型進行精細區分，以獲取更加精確的統計信息。根據報文鏡像的目的地不同，流鏡像可分為以下幾種類型：
· 流鏡像到端口：將符合要求的報文複製後轉發到指定端口。
· 流鏡像到CPU：將符合要求的報文複製後轉發到CPU（這裏的CPU是指配置了流鏡像的源端口所在設備上的CPU）。
有關QoS策略、流分類和流行為的詳細介紹，請參見“ACL和QoS配置指導”中的“QoS配置方式”。
表2-1 流鏡像配置任務簡介
|
配置任務 |
說明 |
詳細配置 |
|
|
配置報文匹配規則 |
必選 |
||
|
配置流鏡像類型 |
配置流鏡像到端口 |
二者必選其一 |
|
|
配置流鏡像到CPU |
|||
|
配置QoS策略 |
必選 |
||
|
應用QoS策略 |
基於端口應用 |
四者必選其一 |
|
|
基於VLAN應用 |
|||
|
基於全局應用 |
|||
|
基於控製平麵應用 |
|||
表2-2 配置報文匹配規則
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
定義流分類，並進入流分類視圖 |
traffic classifier tcl-name [ operator { and | or } ] |
必選 缺省情況下，不存在任何流分類 |
|
配置報文匹配規則 |
if-match match-criteria |
必選 缺省情況下，流分類中不存在任何報文匹配規則 |
有關traffic classifier和if-match命令的詳細介紹，請參見“ACL和QoS命令參考”中的“QoS策略”。
在同一流行為中隻能配置一種類型的流鏡像。
表2-3 配置流鏡像到端口
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
定義流行為，並進入流行為視圖 |
traffic behavior behavior-name |
必選 缺省情況下，不存在任何流行為 |
|
配置流鏡像到指定端口 |
mirror-to interface interface-type interface-number |
必選 缺省情況下，流行為中未配置任何流鏡像 |
· 有關traffic behavior命令的詳細介紹，請參見“ACL和QoS命令參考”中的“QoS策略”。
· 通過多次執行mirror-to interface命令，最多可以將報文鏡像至四個目的端口。
表2-4 配置流鏡像到CPU
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
定義流行為，並進入流行為視圖 |
traffic behavior behavior-name |
必選 缺省情況下，不存在任何流行為 |
|
配置流鏡像到CPU |
mirror-to cpu |
必選 缺省情況下，流行為中未配置任何流鏡像 |
· 有關traffic behavior命令的詳細介紹，請參見“ACL和QoS命令參考”中的“QoS策略”。
· 上述CPU是指配置了流鏡像的端口所在設備上的CPU。
表2-5 配置QoS策略
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
定義QoS策略，並進入QoS策略視圖 |
qos policy policy-name |
必選 缺省情況下，不存在任何策略 |
|
為流分類指定采用的流行為 |
classifier tcl-name behavior behavior-name |
必選 缺省情況下，沒有為流分類指定采用的流行為 |
有關qos policy和classifier behavior命令的詳細介紹，請參見“ACL和QoS命令參考”中的“QoS策略”。
有關應用QoS策略的詳細介紹，請參見“ACL和QoS配置指導”中的“QoS配置方式”。
將QoS策略應用到某端口，可以對該端口指定方向上的流量進行鏡像。一個QoS策略可以應用於多個端口，而端口在每個方向上隻能應用一個QoS策略。
表2-6 基於端口應用
|
操作 |
命令 |
說明 |
|
|
進入係統視圖 |
system-view |
- |
|
|
進入相應視圖 |
進入端口視圖 |
interface interface-type interface-number |
二者必選其一 端口視圖下的配置隻對當前端口生效；端口組視圖下的配置將對端口組中的所有端口生效 |
|
進入端口組視圖 |
port-group manual port-group-name |
||
|
應用QoS策略到端口 |
qos apply policy policy-name { inbound | outbound } |
必選 |
|
有關qos apply policy命令的詳細介紹，請參見“ACL和QoS命令參考”中的“QoS策略”。
將QoS策略應用到某VLAN，可以對該VLAN內各端口指定方向上的流量進行鏡像。
表2-7 基於VLAN應用
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
應用QoS策略到指定VLAN |
qos vlan-policy policy-name vlan vlan-id-list { inbound | outbound } |
必選 |
有關qos vlan-policy命令的詳細介紹，請參見“ACL和QoS命令參考”中的“QoS策略”。
將QoS策略應用到全局，可以對設備各端口指定方向上的流量進行鏡像。
表2-8 基於全局應用
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
應用QoS策略到全局 |
qos apply policy policy-name global { inbound | outbound } |
必選 |
有關qos apply policy命令的詳細介紹，請參見“ACL和QoS命令參考”中的“QoS策略”。
將QoS策略應用到控製平麵，可以對控製平麵入方向上的流量進行鏡像。
表2-9 基於控製平麵應用
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
進入控製平麵視圖 |
control-plane slot slot-number |
- |
|
應用QoS策略到控製平麵 |
qos apply policy policy-name inbound |
必選 |
有關control-plane和qos apply policy命令的詳細介紹，請參見“ACL和QoS命令參考”中的“QoS策略”。
在完成上述配置後，在任意視圖下執行display命令可以顯示配置後流鏡像的運行情況，通過查看顯示信息驗證配置的效果。
表2-10 流鏡像顯示和維護
|
操作 |
命令 |
|
顯示用戶自定義流行為的配置信息 |
display traffic behavior user-defined [ behavior-name ] [ | { begin | exclude | include } regular-expression ] |
|
顯示用戶自定義策略的配置信息 |
display qos policy user-defined [ policy-name [ classifier tcl-name ] ] [ | { begin | exclude | include } regular-expression ] |
有關display traffic behavior和display qos policy命令的詳細介紹，請參見“ACL和QoS命令參考”中的“QoS策略”。
· 某公司內的各部門之間使用不同網段的IP地址，其中市場部和技術部分別使用192.168.1.0/24和192.168.2.0/24網段，該公司的工作時間為每周工作日的8點到18點。
· 通過配置流鏡像，使Server可以監控技術部訪問互聯網的WWW流量，以及技術部在工作時間發往市場部的IP流量。
圖2-1 流鏡像典型配置組網圖
(1) 配置監控技術部訪問互聯網的流量
# 創建ACL 3000，並定義如下規則：匹配技術部（192.168.2.0/24網段）訪問WWW的報文。
<DeviceA> system-view
[DeviceA] acl number 3000
[DeviceA-acl-adv-3000] rule permit tcp source 192.168.2.0 0.0.0.255 destination-port eq www
[DeviceA-acl-adv-3000] quit
# 創建流分類tech_c，並配置報文匹配規則為ACL 3000。
[DeviceA] traffic classifier tech_c
[DeviceA-classifier-tech_c] if-match acl 3000
[DeviceA-classifier-tech_c] quit
# 創建流行為tech_b，並配置流鏡像到端口GigabitEthernet1/0/3。
[DeviceA] traffic behavior tech_b
[DeviceA-behavior-tech_b] mirror-to interface gigabitethernet 1/0/3
[DeviceA-behavior-tech_b] quit
# 創建QoS策略tech_p，並指定流分類tech_c采用流行為tech_b。
[DeviceA] qos policy tech_p
[DeviceA-qospolicy-tech_p] classifier tech_c behavior tech_b
[DeviceA-qospolicy-tech_p] quit
# 將QoS策略tech_p應用到端口GigabitEthernet1/0/1的出方向上。
[DeviceA] interface gigabitethernet 1/0/1
[DeviceA-GigabitEthernet1/0/1] qos apply policy tech_p outbound
[DeviceA-GigabitEthernet1/0/1] quit
(2) 配置監控技術部發往市場部的流量
# 定義工作時間：創建名為work的時間段，其時間範圍為每周工作日的8點到18點。
[DeviceA] time-range work 8:0 to 18:0 working-day
# 創建ACL 3001，並定義如下規則：匹配在工作時間由技術部（192.168.2.0/24網段）發往市場部（192.168.1.0/24網段）的IP報文。
[DeviceA] acl number 3001
[DeviceA-acl-adv-3001] rule permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 time-range work
[DeviceA-acl-adv-3001] quit
# 創建流分類mkt_c，並配置報文匹配規則為ACL 3001。
[DeviceA] traffic classifier mkt_c
[DeviceA-classifier-mkt_c] if-match acl 3001
[DeviceA-classifier-mkt_c] quit
# 創建流行為mkt_b，並配置流鏡像到端口GigabitEthernet1/0/3。
[DeviceA] traffic behavior mkt_b
[DeviceA-behavior-mkt_b] mirror-to interface gigabitethernet 1/0/3
[DeviceA-behavior-mkt_b] quit
# 創建QoS策略mkt_p，並指定流分類mkt_c采用流行為mkt_b。
[DeviceA] qos policy mkt_p
[DeviceA-qospolicy-mkt_p] classifier mkt_c behavior mkt_b
[DeviceA-qospolicy-mkt_p] quit
# 將QoS策略mkt_p應用到端口GigabitEthernet1/0/2的出方向上。
[DeviceA] interface gigabitethernet 1/0/2
[DeviceA-GigabitEthernet1/0/2] qos apply policy mkt_p outbound
(3) 檢驗配置效果
配置完成後，用戶可以通過Server監控技術部訪問互聯網的WWW流量，以及技術部在工作時間發往市場部的IP流量。
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
