目  錄

1 端口鏡像

1.1 端口鏡像簡介

1.1.1 基本概念

1.1.2 端口鏡像的分類

1.1.3 本地端口鏡像（SPAN）

1.1.4 二層遠程端口鏡像（RSPAN）

1.1.5 三層遠程端口鏡像（ERSPAN）

1.2 鏡像配置限製和指導

1.3 配置本地端口鏡像（SPAN）

1.3.1 配置限製和指導

1.3.2 配置任務簡介

1.3.3 創建本地鏡像組

1.3.4 配置鏡像源

1.3.5 配置鏡像目的

1.4 利用遠程鏡像VLAN實現本地鏡像支持多目的端口

1.5 配置二層遠程端口鏡像（RSPAN）

1.5.1 配置限製和指導

1.5.2 反射端口方式二層遠程端口鏡像配置任務簡介

1.5.3 出端口方式二層遠程端口鏡像配置任務簡介

1.5.4 創建遠程目的鏡像組

1.5.5 配置目的端口

1.5.6 配置遠程鏡像VLAN

1.5.7 將目的端口加入遠程鏡像VLAN

1.5.8 創建遠程源鏡像組

1.5.9 配置鏡像源

1.5.10 配置反射端口

1.5.11 配置出端口

1.6 端口鏡像顯示和維護

1.7 配置三層遠程端口鏡像

1.7.1 軟件版本適配關係

1.7.2 配置限製和指導

1.7.3 配置任務簡介

1.7.4 創建本地鏡像組

1.7.5 配置鏡像源

1.7.6 配置鏡像目的

1.8 端口鏡像典型配置舉例

1.8.1 本地端口鏡像配置舉例

1.8.2 利用遠程鏡像VLAN實現本地鏡像支持多目的端口配置舉例

1.8.3 二層遠程端口鏡像配置舉例（反射端口方式RSPAN）

1.8.4 二層遠程端口鏡像配置舉例（出端口方式RSPAN）

1.8.5 三層遠程端口鏡像配置舉例（配置封裝參數方式ERSPAN）

2 流鏡像

2.1 流鏡像簡介

2.2 流鏡像到接口分類

2.2.1 流鏡像SPAN或RSPAN

2.2.2 流鏡像ERSPAN

2.3 流鏡像配置限製和指導

2.4 流鏡像配置任務簡介

2.5 配置流分類

2.6 配置流行為

2.7 配置QoS策略

2.8 應用QoS策略

2.8.1 基於接口應用

2.8.2 基於VLAN應用

2.8.3 基於全局應用

2.9 流鏡像顯示和維護

2.10 流鏡像典型配置舉例

2.10.1 流鏡像基本組網配置舉例

 

1 端口鏡像

1.1  端口鏡像簡介

端口鏡像通過將指定端口的報文複製到與數據監測設備相連的端口，使用戶可以利用數據監測設備分析這些複製過來的報文，以進行網絡監控和故障排除。

1.1.1  基本概念

1. 鏡像源

鏡像源是指被監控的對象，配置為監控對象的端口為源端口。經鏡像源收發的報文會被複製一份到與數據監測設備相連的端口，用戶就可以對這些報文（稱為鏡像報文）進行監控和分析了。

2. 源設備

鏡像源所在的設備稱為源設備。

3. 鏡像目的

鏡像目的是指鏡像報文所要到達的目的地，即與數據監測設備相連的端口，該端口稱為目的端口。目的端口會將鏡像報文轉發給與之相連的數據監測設備。

由於一個目的端口可以同時監控多個鏡像源，因此在某些組網環境下，目的端口可能收到對同一報文的多份拷貝。例如，目的端口Port A同時監控同一台設備上的源端口Port B和Port C收發的報文，如果某報文從Port B進入該設備後又從Port C發送出去，那麼該報文將被複製兩次給Port A。

4. 目的設備

目的端口所在的設備稱為目的設備。

5. 鏡像方向

鏡像方向是指在鏡像源上可複製哪些方向的報文：

·     入方向：是指僅複製鏡像源收到的報文。

·     出方向：是指僅複製鏡像源發出的報文。

·     雙向：是指對鏡像源收到和發出的報文都進行複製。

6. 鏡像組

鏡像組是一個邏輯上的概念，鏡像源和鏡像目的都要屬於某一個鏡像組。根據具體的實現方式不同，鏡像組可分為本地鏡像組、遠程源鏡像組和遠程目的鏡像組。

7. 反射端口、出端口和遠程鏡像VLAN

反射端口、出端口和遠程鏡像VLAN都是在二層遠程端口鏡像的實現過程中用到的概念。遠程鏡像VLAN是將鏡像報文從源設備傳送至目的設備的專用VLAN；反射端口和出端口都位於源設備上，都用來將鏡像報文發送到遠程鏡像VLAN中。

在配置端口鏡像的設備上，除源端口、目的端口、反射端口、出端口外的其他端口統稱為普通端口。

1.1.2  端口鏡像的分類

根據鏡像源與鏡像目的是否位於同一台設備上，可以將端口鏡像分為：

·     本地端口鏡像（SPAN，Switch port Analyzer）：當源設備與數據監測設備直接相連時，源設備同時作為目的設備，即由本設備將鏡像報文轉發至數據檢測設備，該端口鏡像稱為本地端口鏡像。

·     遠程端口鏡像：當源設備與數據監測設備不直接相連時，與數據監測設備直接相連的設備作為目的設備，源設備需要將鏡像報文複製一份至目的設備，然後由目的設備將鏡像報文轉發至數據監測設備，該端口鏡像稱為遠程端口鏡像。因源設備與目的設備之間通過二層網絡進行連接，因此遠程端口鏡像又稱為二層遠程端口鏡像

1.1.3  本地端口鏡像（SPAN）

圖1-1 本地端口鏡像示意圖

‌

如圖1-1所示，現在需要設備將進入端口Port A的報文複製一份，從端口Port B將報文轉發給數據監測設備。為滿足該需求，可以配置本地鏡像組，其中源端口為Port A，鏡像方向為入方向，目的端口為Port B。

1.1.4  二層遠程端口鏡像（RSPAN）

對於二層遠程端口鏡像，鏡像源和鏡像目的分屬於不同設備上的不同鏡像組：

·     遠程源鏡像組：鏡像源所在的鏡像組。

·     遠程目的鏡像組：鏡像目的所在的鏡像組。

·     中間設備：位於源設備與目的設備之間的設備。

二層遠程端口鏡像的實現包括反射端口方式和出端口方式。

1. 反射端口方式二層遠程端口鏡像

反射端口方式二層遠程端口鏡像報文的轉發過程如圖1-2所示。

(1)     源設備將進入鏡像源的報文複製一份給反射端口。

(2)     反射端口將鏡像報文在遠程鏡像VLAN中廣播。

(3)     鏡像報文經由中間設備轉發至目的設備。

(4)     目的設備收到該報文後判別其VLAN ID，若與遠程鏡像VLAN的VLAN ID相同，則將鏡像報文通過目的端口轉發給數據監測設備。

圖1-2 反射端口方式二層遠程端口鏡像示意圖

‌

2. 出端口方式

出端口方式二層遠程端口鏡像報文的轉發過程如圖1-3所示。

(1)     源設備將進入鏡像源的報文複製一份給出端口。

(2)     出端口將鏡像報文轉發給中間設備。

(3)     中間設備在遠程鏡像VLAN中廣播，最終到達目的設備。

(4)     目的設備收到該報文後判別其VLAN ID，若與遠程鏡像VLAN的VLAN ID相同，則將鏡像報文通過目的端口轉發給數據監測設備。

圖1-3 出端口方式二層遠程端口鏡像示意圖

‌

1.1.5  三層遠程端口鏡像（ERSPAN）

 

ERSPAN技術實現的功能是將鏡像報文封裝為協議號是0x88BE的GRE報文，路由到遠端監控設備。

1. 配置封裝參數方式

配置封裝參數方式ERSPAN僅需在源設備上進行配置；同時所有設備上需配置單播路由協議，並確保設備之間的三層網絡暢通。

在源設備上先創建一個本地鏡像組，然後為該鏡像組配置源端口和目的端口。配置目的端口時，指定鏡像報文封裝的目的IP地址為監測設備的地址，源IP地址為目的端口的IP地址。

如圖1-4所示，配置封裝參數方式ERSPAN報文的轉發過程為：

(1)     源設備將經過源端口的報文複製一份。

(2)     源設備為複製的報文添加ERSPAN封裝，封裝的源IP地址為目的端口的IP地址，目的IP地址為監測設備的IP地址。

(3)     封裝後的報文通過IP網絡路由轉發到監測設備。

(4)     監測設備對報文進行解封裝，並分析鏡像報文的內容。

ERSPAN方式鏡像到監測設備的報文為封裝後的報文，因此監測設備必須支持解封裝。

圖1-4 配置封裝參數方式三層遠程端口鏡像示意圖

 

1.2  鏡像配置限製和指導

對於二層遠程端口鏡像反射端口方式，源設備的反射端口將鏡像報文在遠程鏡像VLAN中廣播。因此，可以利用遠程鏡像VLAN的原理，在本地設備上創建遠程源鏡像組，並指定遠程鏡像VLAN，同時將本設備上連接數據檢測設備的多個端口加入該VLAN，鏡像報文在遠程鏡像VLAN中廣播時便可以從這些端口中發送出去，實現將鏡像報文輸出到本地多個端口的需求。而對於出端口方式則無此實現。

如果對端口入方向的報文進行鏡像，則鏡像後的報文攜帶VLAN Tag的情況與原始報文保持一致，如果對端口出方向的報文進行鏡像，則鏡像後的報文與報文出端口所配置的Tag屬性一致。

設備不支持在同一端口下同時配置端口鏡像和流鏡像。如果在同一端口下先配置端口鏡像再配置流鏡像，則僅端口鏡像生效。反之，若先配置流鏡像，則流鏡像先生效，之後未匹配的流將在端口鏡像上生效。

1.3  配置本地端口鏡像（SPAN）

1.3.1  配置限製和指導

在完成鏡像源和鏡像目的配置之後，本地鏡像組才能生效。

設備不支持將二層聚合接口和三層聚合接口配置為本地端口鏡像的源端口。若有需要，可將二層聚合接口和三層聚合接口的成員端口配置為鏡像源端口。

設備不支持將二層聚合接口和三層聚合接口配置為本地端口鏡像的目的端口。

在IRF3.1組網中，請勿在CB上配置鏡像源端口和鏡像目的端口均屬於PEX的本地鏡像組，如需對PEX上的端口做鏡像配置，請在PEX上配置本地鏡像。有關IRF3.1、CB和PEX的詳細介紹，請參見“虛擬化技術配置指導”中的“IRF”。

1.3.2  配置任務簡介

本地端口鏡像配置任務如下：

(1)     創建本地鏡像組

(2)     配置鏡像源

(3)     配置鏡像目的

1.3.3  創建本地鏡像組

(1)     進入係統視圖。

system-view

(2)     創建本地鏡像組。

mirroring-group group-id local

1.3.4  配置鏡像源

1. 配置限製和指導

配置源端口時，需要注意的是：

·     一個鏡像組內可以配置多個源端口。

·     一個源端口無論作為單向源端口還是雙向源端口，都隻能加入一個鏡像組。

·     源端口不能用作反射端口、出端口或目的端口。

2. 配置源端口

·     在係統視圖下配置源端口。

a.     進入係統視圖。

system-view

b.     為本地鏡像組配置源端口。

mirroring-group group-id mirroring-port interface-list { both | inbound | outbound }

缺省情況下，未為本地鏡像組配置源端口。

·     在接口視圖下配置源端口。

a.     進入係統視圖。

system-view

b.     進入接口視圖。

interface interface-type interface-number

c.     配置當前端口為本地鏡像組的源端口。

mirroring-group group-id mirroring-port { both | inbound | outbound }

缺省情況下，未配置當前端口為本地鏡像組的源端口。

1.3.5  配置鏡像目的

1. 配置限製和指導

不能在目的端口上開啟生成樹協議，否則會影響鏡像功能的正常使用。

一個本地鏡像組中可以配置一個目的端口。

從目的端口發出的報文包括鏡像報文和其他端口正常轉發來的報文。為了保證數據監測設備隻對鏡像報文進行分析，請將目的端口隻用於端口鏡像，不作其他用途。

2. 配置步驟

·     在係統視圖下配置目的端口。

a.     進入係統視圖。

system-view

b.     為本地鏡像組配置目的端口。

mirroring-group group-id monitor-port interface-type interface-number

缺省情況下，未為本地鏡像組配置目的端口。

·     在接口視圖下配置目的端口。

a.     進入係統視圖。

system-view

b.     進入接口視圖。

interface interface-type interface-number

c.     配置本端口為本地鏡像組的目的端口。

mirroring-group group-id monitor-port

缺省情況下，未配置當前端口為本地鏡像組的目的端口。

1.4  利用遠程鏡像VLAN實現本地鏡像支持多目的端口

1. 功能簡介

傳統本地鏡像配置方式僅支持在一個鏡像組中配置一個目的端口，利用遠程鏡像VLAN的原理可以將一份鏡像報文同時發送到多個目的端口。

在二層遠程端口鏡像中，鏡像報文在遠程鏡像VLAN中以廣播的方式發送，利用該原理，在本地設備上創建遠程源鏡像組和遠程鏡像VLAN，並將本設備上連接數據檢測設備的多個端口加入該VLAN，鏡像報文在遠程鏡像VLAN中廣播時即可從這些端口中發送出去，實現將鏡像報文發送到多個目的端口。

2. 配置限製和指導

請選擇設備上未被使用的端口作為反射端口，不能在該端口上連接網線，否則會影響鏡像功能的正常使用。

端口配置為反射口時，該端口上已存在的所有配置都將被清除；在被配置為反射口後，該端口上不能再配置其他業務功能。

不能將源端口加入到遠程鏡像VLAN中，否則會影響鏡像功能的正常使用。

一個VLAN隻能作為一個遠程源鏡像組的遠程鏡像VLAN，且建議該VLAN隻用於端口鏡像，請不要在該VLAN上配置其他業務功能或創建對應的VLAN接口。

遠程鏡像VLAN必須為靜態VLAN，且在被配置成遠程鏡像VLAN後，該VLAN不能直接刪除，必須先刪除遠程鏡像VLAN的配置才能夠刪除該VLAN。

設備僅支持配置一個遠程鏡像VLAN。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     創建遠程源鏡像組。

mirroring-group group-id remote-source

(3)     為遠程源鏡像組配置源端口。請選擇其中一項進行配置。

¡     在係統視圖下配置。

mirroring-group group-id mirroring-port mirroring-port-list { both | inbound | outbound }

¡     請依次執行以下命令在接口視圖下配置。

interface interface-type interface-number

mirroring-group group-id mirroring-port { both | inbound | outbound }

quit

(4)     為遠程源鏡像組配置反射端口。

mirroring-group group-id reflector-port reflector-port

缺省情況下，鏡像組沒有反射端口。

(5)     創建遠程鏡像VLAN並進入VLAN視圖。

vlan vlan-id

缺省情況下，鏡像組沒有遠程鏡像VLAN。

(6)     將鏡像目的端口加入遠程鏡像VLAN。

port interface-list

缺省情況下，新建VLAN中不包含任何端口。

(7)     退出至係統視圖。

quit

(8)     為遠程源鏡像組配置遠程鏡像VLAN。

mirroring-group group-id remote-probe vlan vlan-id

缺省情況下，鏡像組沒有遠程鏡像VLAN。

1.5  配置二層遠程端口鏡像（RSPAN）

1.5.1  配置限製和指導

二層遠程端口鏡像的配置需要分別在源設備和目的設備上進行；如果存在中間設備，則需要在中間設備上允許遠程鏡像VLAN通過，以確保源設備與目的設備之間的二層網絡暢通。

請先配置目的設備，再配中間設備，最後配源設備，以保證鏡像流量的正常轉發。

在鏡像報文從源設備到達目的設備的過程中，VLAN ID不被修改或刪除，否則二層遠程鏡像功能將失效。

在配置二層遠程端口鏡像時建議關閉MVRP（Multiple VLAN Registration Protocol，多VLAN注冊協議）功能，否則MVRP可能將遠程鏡像VLAN注冊到不需要監控的端口上，導致目的端口收到不必要的報文。有關MVRP的詳細介紹，請參見“二層技術-以太網交換配置指導”中的“MVRP”。

在一個鏡像組中對同一個端口收發的報文進行雙向鏡像時，需要在源設備、中間設備和目的設備上關閉遠程鏡像VLAN的MAC地址學習功能，以保證鏡像功能的正常進行。關於MAC地址學習功能的詳細介紹，請參見“二層技術-以太網交換配置指導”中的“MAC地址表”。

設備不支持將二層聚合接口和三層聚合接口的成員端口配置為目的端口。

1.5.2  反射端口方式二層遠程端口鏡像配置任務簡介

1. 配置目的設備

目的設備配置任務如下：

(1)     創建遠程目的鏡像組

(2)     配置目的端口

(3)     配置遠程鏡像VLAN

(4)     將目的端口加入遠程鏡像VLAN

2. 配置源設備

源設備配置任務如下：

(1)     創建遠程源鏡像組

(2)     配置鏡像源

(3)     配置反射端口

(4)     配置遠程鏡像VLAN

1.5.3  出端口方式二層遠程端口鏡像配置任務簡介

1. 配置目的設備

目的設備配置任務如下：

(1)     創建遠程目的鏡像組

(2)     配置目的端口

(3)     配置遠程鏡像VLAN

(4)     將目的端口加入遠程鏡像VLAN

2. 配置源設備

源設備配置任務如下：

(1)     創建遠程源鏡像組

(2)     配置鏡像源

(3)     配置出端口

(4)     配置遠程鏡像VLAN

1.5.4  創建遠程目的鏡像組

1. 配置限製和指導

僅目的設備需要進行本配置。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     創建遠程目的鏡像組。

mirroring-group group-id remote-destination

1.5.5  配置目的端口

1. 配置限製和指導

僅目的設備需要進行本配置。

不能在目的端口上開啟生成樹協議，否則會影響鏡像功能的正常使用。

從目的端口發出的報文包括鏡像報文和其他端口正常轉發來的報文。為了保證數據監測設備隻對鏡像報文進行分析，請將目的端口隻用於端口鏡像，不作其他用途。

一個目的端口隻能加入一個鏡像組。

設備不支持將二層聚合接口和三層聚合接口配置為二層遠程端口鏡像的目的端口。

2. 在係統視圖下配置目的端口

(1)     進入係統視圖。

system-view

(2)     為遠程目的鏡像組配置目的端口。

mirroring-group group-id monitor-port interface-type interface-number

缺省情況下，未為遠程鏡像組配置目的端口。

3. 在接口視圖下配置目的端口

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     配置本端口為遠程目的鏡像組的目的端口。

mirroring-group group-id monitor-port

缺省情況下，未配置當前端口為遠程鏡像組的目的端口。

1.5.6  配置遠程鏡像VLAN

1. 配置限製和指導

源設備和目的設備都需要進行本配置。

源設備和目的設備上的遠程鏡像組必須使用相同的遠程鏡像VLAN。

遠程鏡像VLAN必須是已創建的靜態VLAN。

當VLAN被指定為遠程鏡像VLAN後，該VLAN不能再作其他用途。

設備僅支持配置一個遠程鏡像VLAN。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     為遠程目的鏡像組配置遠程鏡像VLAN。

mirroring-group group-id remote-probe vlan vlan-id

缺省情況下，未為遠程鏡像組配置遠程鏡像VLAN。

1.5.7  將目的端口加入遠程鏡像VLAN

1. 配置限製和指導

僅目的設備需要進行本配置。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入目的接口視圖。

interface interface-type interface-number

(3)     將目的端口加入遠程鏡像VLAN。

¡     將Access類型的目的端口加入遠程鏡像VLAN。

port access vlan vlan-id

¡     將Trunk類型的目的端口加入遠程鏡像VLAN。

port trunk permit vlan vlan-id

¡     將Hybrid類型的目的端口加入遠程鏡像VLAN。

port hybrid vlan vlan-id { tagged | untagged }

有關port access vlan、port trunk permit vlan和port hybrid vlan命令的詳細介紹，請參見“二層技術-以太網交換命令參考”中的“VLAN”。

1.5.8  創建遠程源鏡像組

1. 配置限製和指導

僅源設備需要進行本配置。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     創建遠程源鏡像組。

mirroring-group group-id remote-source [ sampler sampler-name ]

1.5.9  配置鏡像源

1. 配置限製和指導

僅源設備需要配置鏡像源。

配置源端口時，需要注意的是：

·     不能將源端口加入到遠程鏡像VLAN中，否則會影響鏡像功能的正常使用。

·     一個鏡像組內可以配置多個源端口。

·     一個源端口無論作為單向源端口還是雙向源端口，都隻能加入一個鏡像組。

·     源端口不能用作反射端口、出端口或目的端口。

2. 配置源端口

·     在係統視圖下配置源端口。

a.     進入係統視圖。

system-view

b.     為遠程源鏡像組配置源端口。

mirroring-group group-id mirroring-port interface-list { both | inbound | outbound }

缺省情況下，未為遠程鏡像組配置源端口。

·     在接口視圖下配置源端口。

a.     進入係統視圖。

system-view

b.     進入接口視圖。

interface interface-type interface-number

c.     配置本端口為遠程源鏡像組的源端口。

mirroring-group group-id mirroring-port { both | inbound | outbound }

缺省情況下，未配置當前端口為遠程鏡像組的源端口。

1.5.10  配置反射端口

1. 配置限製和指導

僅源設備需要進行本配置。

一個鏡像組內隻能配置一個反射端口。

2. 在係統視圖下配置反射端口

(1)     進入係統視圖。

system-view

(2)     為遠程源鏡像組配置反射端口。

mirroring-group group-id reflector-port interface-type interface-number

 

缺省情況下，未為遠程源鏡像組配置反射端口。

3. 在接口視圖下配置反射端口

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     配置本端口為遠程源鏡像組的反射端口。

mirroring-group group-id reflector-port

 

缺省情況下，未配置本端口為遠程源鏡像組的反射端口。

1.5.11  配置出端口

1. 配置限製和指導

僅源設備需要進行本配置。

不能在出端口上配置生成樹協議、802.1X、IGMP Snooping、靜態ARP和MAC地址學習，否則會影響鏡像功能的正常使用。

出端口不能是現有鏡像組的成員端口。

一個鏡像組內隻能配置一個出端口。

2. 在係統視圖下配置出端口

(1)     進入係統視圖。

system-view

(2)     為遠程源鏡像組配置出端口。

mirroring-group group-id monitor-egress interface-type interface-number

缺省情況下，未為遠程源鏡像組配置出端口。

(3)     進入出端口接口視圖。

interface interface-type interface-number

(4)     將出端口加入遠程鏡像VLAN。

¡     將Trunk類型的出端口加入遠程鏡像VLAN。

port trunk permit vlan vlan-id

¡     將Hybrid類型的出端口加入遠程鏡像VLAN。

port hybrid vlan vlan-id { tagged | untagged }

有關port trunk permit vlan和port hybrid vlan命令的詳細介紹，請參見“二層技術-以太網交換命令參考”中的“VLAN”。

3. 在接口視圖下配置出端口

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     配置本端口為遠程源鏡像組的出端口。

mirroring-group group-id monitor-egress

缺省情況下，未配置本端口為遠程源鏡像組的出端口。

1.6  端口鏡像顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置後鏡像組的運行情況，通過查看顯示信息驗證配置的效果。

表1-1 端口鏡像顯示和維護

操作	命令
顯示鏡像組的配置信息	display mirroring-group { group-id | all | local | remote-destination | remote-source }

 

1.7  配置三層遠程端口鏡像

1.7.1  軟件版本適配關係

僅Release6526及以上版本支持配置本功能。

1.7.2  配置限製和指導

配置封裝參數方式ERSPAN僅需在源設備上進行；同時所有設備上需配置單播路由協議，以確保設備之間的三層網絡暢通。

在源設備上先創建一個本地鏡像組，然後為該鏡像組配置源端口和目的端口。

不能將源端口和目的端口加入到源VLAN中，否則會影響鏡像功能的正常使用。

配置封裝參數方式ERSPAN後，鏡像到監控設備的報文為封裝後的報文，僅監控設備支持解封裝時，才可以解析鏡像的原始報文。

1.7.3  配置任務簡介

源設備配置任務如下：

(1)     創建本地鏡像組

(2)     配置鏡像源

(3)     配置鏡像目的

1.7.4  創建本地鏡像組

(1)     進入係統視圖。

system-view

(2)     創建本地鏡像組。

mirroring-group group-id local

1.7.5  配置鏡像源

1. 配置限製和指導

配置源端口時，需要注意的是：

·     一個鏡像組內可以配置多個源端口。

·     源端口不能用作反射端口、出端口或目的端口。

·     不支持對端口發出的報文進行鏡像。

2. 配置源端口

·     在係統視圖下配置源端口。

a.     進入係統視圖。

system-view

b.     為本地鏡像組配置源端口。

mirroring-group group-id mirroring-port interface-list inbound

缺省情況下，未為本地鏡像組配置源端口。

·     在接口視圖下配置源端口。

c.     進入係統視圖。

system-view

d.     進入接口視圖。

interface interface-type interface-number

e.     配置本端口為本地鏡像組的源端口。

mirroring-group group-id mirroring-port inbound

缺省情況下，未配置當前端口為本地鏡像組的源端口。

1.7.6  配置鏡像目的

1. 配置限製和指導

不能在目的端口上開啟生成樹協議，否則會影響鏡像功能的正常使用。

一個本地鏡像組中僅可以配置一個目的端口。

從目的端口發出的報文包括鏡像報文和其他端口正常轉發來的報文。為了保證數據監測設備隻對鏡像報文進行分析，請將目的端口隻用於端口鏡像，不作其他用途。

2. 配置步驟

·     在係統視圖下配置目的端口。

a.     進入係統視圖。

system-view

b.     為本地鏡像組配置目的端口。

mirroring-group group-id monitor-port interface-list destination-ip destination-ip-address source-ip source-ip-address [ dscp dscp-value | vlan vlan-id | vrf-instance vrf-name ] *

缺省情況下，未為本地鏡像組配置目的端口。

·     在接口視圖下配置目的端口。

c.     進入係統視圖。

system-view

d.     進入接口視圖。

interface interface-type interface-number

e.     配置本端口為本地鏡像組的目的端口。

mirroring-group group-id monitor-port destination-ip destination-ip-address source-ip source-ip-address [ dscp dscp-value | vlan vlan-id | vrf-instance vrf-name ] *

缺省情況下，未配置當前端口為鏡像組的目的端口。

1.8  端口鏡像典型配置舉例

1.8.1  本地端口鏡像配置舉例

1. 組網需求

Device通過端口Ten-GigabitEthernet1/0/1和Ten-GigabitEthernet1/0/2分別連接市場部和技術部，並通過端口Ten-GigabitEthernet1/0/3連接Server。

通過配置源端口方式的本地端口鏡像，使Server可以監控所有進、出市場部和技術部的報文。

2. 組網圖

圖1-5 本地端口鏡像配置組網圖

‌

3. 配置步驟

# 創建本地鏡像組1。

<Device> system-view

[Device] mirroring-group 1 local

# 配置本地鏡像組1的源端口為Ten-GigabitEthernet1/0/1和Ten-GigabitEthernet1/0/2，對源端口收發的報文都進行鏡像，目的端口為Ten-GigabitEthernet1/0/3。

[Device] mirroring-group 1 mirroring-port ten-gigabitethernet 1/0/1 ten-gigabitethernet 1/0/2 both

[Device] mirroring-group 1 monitor-port ten-gigabitethernet 1/0/3

# 在目的端口Ten-GigabitEthernet1/0/3上關閉生成樹協議。

[Device] interface ten-gigabitethernet 1/0/3

[Device-Ten-GigabitEthernet1/0/3] undo stp enable

[Device-Ten-GigabitEthernet1/0/3] quit

4. 驗證配置

# 顯示所有鏡像組的配置信息。

[Device] display mirroring-group all

Mirroring group 1:

    Type: Local

    Status: Active

    Mirroring port:

        Ten-GigabitEthernet1/0/1  Both

        Ten-GigabitEthernet1/0/2  Both

    Monitor port: Ten-GigabitEthernet1/0/3

配置完成後，用戶可以通過Server監控所有進、出市場部和技術部的報文。

1.8.2  利用遠程鏡像VLAN實現本地鏡像支持多目的端口配置舉例

1. 組網需求

三個部門A、B、C分別使用Ten-GigabitEthernet1/0/1～Ten-GigabitEthernet1/0/3端口接入Device，現要求通過鏡像功能，使數據檢測設備ServerA和ServerB都能夠對三個部門發送和接收的報文進行鏡像。

2. 組網圖

圖1-6 利用遠程鏡像VLAN實現本地鏡像支持多目的端口組網圖

 

3. 配置步驟

# 創建遠程源鏡像組1。

<Device> system-view

[Device] mirroring-group 1 remote-source

# 將接入部門A、B、C的三個端口配置為遠程源鏡像組1的源端口。

[Device] mirroring-group 1 mirroring-port Ten-GigabitEthernet1/0/1 to Ten-GigabitEthernet1/0/3 both

# 將設備上任意未使用的端口（此處以Ten-GigabitEthernet1/0/6為例）配置為鏡像組1的反射口。

[Device] mirroring-group 1 reflector-port Ten-GigabitEthernet1/0/6

This operation may delete all settings made on the interface. Continue? [Y/N]:y

# 創建VLAN10作為鏡像組1的遠程鏡像VLAN，並將接入數據檢測設備的端口加入VLAN10。

[Device] vlan 10

[Device-vlan10] port Ten-GigabitEthernet1/0/4 to Ten-GigabitEthernet1/0/5

[Device-vlan10] quit

# 配置VLAN10作為鏡像組1的遠程鏡像VLAN。

[Device] mirroring-group 1 remote-probe vlan 10

1.8.3  二層遠程端口鏡像配置舉例（反射端口方式RSPAN）

1. 組網需求

在一個二層網絡中，Device A、Device B、Device C及Server如下圖所示連接。其中，Device A通過端口Ten-GigabitEthernet1/0/1連接市場部。

通過配置二層遠程端口鏡像，使Server可以監控所有進、出市場部的報文。

2. 組網圖

‌

3. 配置步驟

(1)     配置Device C

# 配置端口Ten-GigabitEthernet1/0/1為Trunk口，並允許VLAN 2的報文通過。

<DeviceC> system-view

[DeviceC] interface ten-gigabitethernet 1/0/1

[DeviceC-Ten-GigabitEthernet1/0/1] port link-type trunk

[DeviceC-Ten-GigabitEthernet1/0/1] port trunk permit vlan 2

[DeviceC-Ten-GigabitEthernet1/0/1] quit

# 創建遠程目的鏡像組2。

[DeviceC] mirroring-group 2 remote-destination

# 創建VLAN 2作為遠程鏡像VLAN。

[DeviceC] vlan 2

# 關閉VLAN 2的MAC地址學習功能。

[DeviceC-vlan2] undo mac-address mac-learning enable

[DeviceC-vlan2] quit

# 配置遠程目的鏡像組2的遠程鏡像VLAN為VLAN 2，目的端口為Ten-GigabitEthernet1/0/2，在該端口上關閉生成樹協議並將其加入VLAN 2。

[DeviceC] mirroring-group 2 remote-probe vlan 2

[DeviceC] interface ten-gigabitethernet 1/0/2

[DeviceC-Ten-GigabitEthernet1/0/2] mirroring-group 2 monitor-port

[DeviceC-Ten-GigabitEthernet1/0/2] undo stp enable

[DeviceC-Ten-GigabitEthernet1/0/2] port access vlan 2

[DeviceC-Ten-GigabitEthernet1/0/2] quit

(2)     配置Device B

# 創建VLAN 2作為遠程鏡像VLAN。

<DeviceB> system-view

[DeviceB] vlan 2

# 關閉VLAN 2的MAC地址學習功能。

[DeviceB-vlan2] undo mac-address mac-learning enable

[DeviceB-vlan2] quit

# 配置端口Ten-GigabitEthernet1/0/1為Trunk口，並允許VLAN 2的報文通過。

[DeviceB] interface ten-gigabitethernet 1/0/1

[DeviceB-Ten-GigabitEthernet1/0/1] port link-type trunk

[DeviceB-Ten-GigabitEthernet1/0/1] port trunk permit vlan 2

[DeviceB-Ten-GigabitEthernet1/0/1] quit

# 配置端口Ten-GigabitEthernet1/0/2為Trunk口，並允許VLAN 2的報文通過。

[DeviceB] interface ten-gigabitethernet 1/0/2

[DeviceB-Ten-GigabitEthernet1/0/2] port link-type trunk

[DeviceB-Ten-GigabitEthernet1/0/2] port trunk permit vlan 2

[DeviceB-Ten-GigabitEthernet1/0/2] quit

(3)     配置Device A

# 創建遠程源鏡像組1。

<DeviceA> system-view

[DeviceA] mirroring-group 1 remote-source

# 創建VLAN 2作為遠程鏡像VLAN。

[DeviceA] vlan 2

# 關閉VLAN 2的MAC地址學習功能。

[DeviceA-vlan2] undo mac-address mac-learning enable

[DeviceA-vlan2] quit

# 配置遠程源鏡像組1的遠程鏡像VLAN為VLAN 2，源端口為Ten-GigabitEthernet1/0/1，反射端口為Ten-GigabitEthernet1/0/3。

[DeviceA] mirroring-group 1 remote-probe vlan 2

[DeviceA] mirroring-group 1 mirroring-port ten-gigabitethernet 1/0/1 both

[DeviceA] mirroring-group 1 reflector-port ten-gigabitethernet 1/0/3

This operation may delete all settings made on the interface. Continue? [Y/N]: y

# 配置端口Ten-GigabitEthernet1/0/2為Trunk口，並允許VLAN 2的報文通過。

[DeviceA] interface ten-gigabitethernet 1/0/2

[DeviceA-Ten-GigabitEthernet1/0/2] port link-type trunk

[DeviceA-Ten-GigabitEthernet1/0/2] port trunk permit vlan 2

[DeviceA-Ten-GigabitEthernet1/0/2] quit

4. 驗證配置

# 顯示Device C上所有鏡像組的配置信息。

[DeviceC] display mirroring-group all

Mirroring group 2:

    Type: Remote destination

    Status: Active

    Monitor port: Ten-GigabitEthernet1/0/2

    Remote probe VLAN: 2

# 顯示Device A上所有鏡像組的配置信息。

[DeviceA] display mirroring-group all

Mirroring group 1:

    Type: Remote source

    Status: Active

    Mirroring port:

        Ten-GigabitEthernet1/0/1  Both

    Reflector port: Ten-GigabitEthernet1/0/3

    Remote probe VLAN: 2

配置完成後，用戶可以通過Server監控所有進、出市場部的報文。

1.8.4  二層遠程端口鏡像配置舉例（出端口方式RSPAN）

1. 組網需求

在一個二層網絡中，Device A、Device B、Device C及Server如下圖所示連接。其中，Device A通過端口Ten-GigabitEthernet1/0/1連接市場部。

通過配置二層遠程端口鏡像，使Server可以監控所有進、出市場部的報文。

2. 組網圖

圖1-7 二層遠程端口鏡像配置組網圖

‌

3. 配置步驟

(1)     配置Device C

# 配置端口Ten-GigabitEthernet1/0/1為Trunk口，並允許VLAN 2的報文通過。

<DeviceC> system-view

[DeviceC] interface ten-gigabitethernet 1/0/1

[DeviceC-Ten-GigabitEthernet1/0/1] port link-type trunk

[DeviceC-Ten-GigabitEthernet1/0/1] port trunk permit vlan 2

[DeviceC-Ten-GigabitEthernet1/0/1] quit

# 創建遠程目的鏡像組2。

[DeviceC] mirroring-group 2 remote-destination

# 創建VLAN 2作為遠程鏡像VLAN。

[DeviceC] vlan 2

# 關閉VLAN 2的MAC地址學習功能。

[DeviceC-vlan2] undo mac-address mac-learning enable

[DeviceC-vlan2] quit

# 配置遠程目的鏡像組2的遠程鏡像VLAN為VLAN 2，目的端口為Ten-GigabitEthernet1/0/2，在該端口上關閉生成樹協議並將其加入VLAN 2。

[DeviceC] mirroring-group 2 remote-probe vlan 2

[DeviceC] interface ten-gigabitethernet 1/0/2

[DeviceC-Ten-GigabitEthernet1/0/2] mirroring-group 2 monitor-port

[DeviceC-Ten-GigabitEthernet1/0/2] undo stp enable

[DeviceC-Ten-GigabitEthernet1/0/2] port access vlan 2

[DeviceC-Ten-GigabitEthernet1/0/2] quit

(2)     配置Device B

# 創建VLAN 2作為遠程鏡像VLAN。

<DeviceB> system-view

[DeviceB] vlan 2

# 關閉VLAN 2的MAC地址學習功能。

[DeviceB-vlan2] undo mac-address mac-learning enable

[DeviceB-vlan2] quit

# 配置端口Ten-GigabitEthernet1/0/1為Trunk口，並允許VLAN 2的報文通過。

[DeviceB] interface ten-gigabitethernet 1/0/1

[DeviceB-Ten-GigabitEthernet1/0/1] port link-type trunk

[DeviceB-Ten-GigabitEthernet1/0/1] port trunk permit vlan 2

[DeviceB-Ten-GigabitEthernet1/0/1] quit

# 配置端口Ten-GigabitEthernet1/0/2為Trunk口，並允許VLAN 2的報文通過。

[DeviceB] interface ten-gigabitethernet 1/0/2

[DeviceB-Ten-GigabitEthernet1/0/2] port link-type trunk

[DeviceB-Ten-GigabitEthernet1/0/2] port trunk permit vlan 2

[DeviceB-Ten-GigabitEthernet1/0/2] quit

(3)     配置Device A

# 創建遠程源鏡像組1。

<DeviceA> system-view

[DeviceA] mirroring-group 1 remote-source

# 創建VLAN 2作為遠程鏡像VLAN。

[DeviceA] vlan 2

# 關閉VLAN 2的MAC地址學習功能。

[DeviceA-vlan2] undo mac-address mac-learning enable

[DeviceA-vlan2] quit

# 配置遠程源鏡像組1的遠程鏡像VLAN為VLAN 2，源端口為Ten-GigabitEthernet1/0/1，出端口為Ten-GigabitEthernet1/0/2。

[DeviceA] mirroring-group 1 remote-probe vlan 2

[DeviceA] mirroring-group 1 mirroring-port ten-gigabitethernet 1/0/1 both

[DeviceA] mirroring-group 1 monitor-egress ten-gigabitethernet 1/0/2

# 配置端口Ten-GigabitEthernet1/0/2為Trunk口，允許VLAN 2的報文通過，並在該端口上關閉生成樹協議。

[DeviceA] interface ten-gigabitethernet 1/0/2

[DeviceA-Ten-GigabitEthernet1/0/2] port link-type trunk

[DeviceA-Ten-GigabitEthernet1/0/2] port trunk permit vlan 2

[DeviceA-Ten-GigabitEthernet1/0/2] undo stp enable

[DeviceA-Ten-GigabitEthernet1/0/2] quit

4. 驗證配置

# 顯示Device C上所有鏡像組的配置信息。

[DeviceC] display mirroring-group all

Mirroring group 2:

    Type: Remote destination

    Status: Active

    Monitor port: Ten-GigabitEthernet1/0/2

    Remote probe VLAN: 2

# 顯示Device A上所有鏡像組的配置信息。

[DeviceA] display mirroring-group all

Mirroring group 1:

    Type: Remote source

    Status: Active

    Mirroring port:

        Ten-GigabitEthernet1/0/1  Both

    Monitor egress port: Ten-GigabitEthernet1/0/2

    Remote probe VLAN: 2

配置完成後，用戶可以通過Server監控所有進、出市場部的報文。

 

1.8.5  三層遠程端口鏡像配置舉例（配置封裝參數方式ERSPAN）

1. 組網需求

在一個三層網絡中，Device A、Device B、Device C及Server如下圖所示連接。其中，Device A通過端口Ten-GigabitEthernet1/0/1連接市場部。

通過配置封裝參數方式ERSPAN，使得Server可以通過由Device C轉發過來的鏡像報文監控所有進市場部的報文。

2. 組網圖

圖1-8 配置封裝參數方式ERSPAN組網圖

‌

3. 軟件版本適配關係

僅Release6526及以上版本支持本舉例。

4. 配置步驟

(1)     配置IP地址

請按照圖1-8配置各接口的IP地址和子網掩碼，具體配置過程略。

(2)     配置Device A

# 配置OSPF協議。

[DeviceA] ospf 1

[DeviceA-ospf-1] area 0

[DeviceA-ospf-1-area-0.0.0.0] network 10.1.1.0 0.0.0.255

[DeviceA-ospf-1-area-0.0.0.0] network 20.1.1.0 0.0.0.255

[DeviceA-ospf-1-area-0.0.0.0] quit

[DeviceA-ospf-1] quit

# 創建本地鏡像組1。

[DeviceA] mirroring-group 1 local

# 配置本地鏡像組1的源端口為Ten-GigabitEthernet1/0/1，目的端口為Ten-GigabitEthernet1/0/2，鏡像報文的目的IP地址為40.1.1.2，源IP地址為20.1.1.1。

[DeviceA] mirroring-group 1 mirroring-port ten-gigabitethernet 1/0/1 inbound

[DeviceA] mirroring-group 1 monitor-port ten-gigabitethernet 1/0/2 destination-ip 40.1.1.2 source-ip 20.1.1.1

(3)     配置Device B

# 配置OSPF協議。

<DeviceB> system-view

[DeviceB] ospf 1

[DeviceB-ospf-1] area 0

[DeviceB-ospf-1-area-0.0.0.0] network 20.1.1.0 0.0.0.255

[DeviceB-ospf-1-area-0.0.0.0] network 30.1.1.0 0.0.0.255

[DeviceB-ospf-1-area-0.0.0.0] quit

[DeviceB-ospf-1] quit

(4)     配置Device C

# 配置OSPF協議。

[DeviceC] ospf 1

[DeviceC-ospf-1] area 0

[DeviceC-ospf-1-area-0.0.0.0] network 30.1.1.0 0.0.0.255

[DeviceC-ospf-1-area-0.0.0.0] network 40.1.1.0 0.0.0.255

[DeviceC-ospf-1-area-0.0.0.0] quit

[DeviceC-ospf-1] quit

5. 驗證配置

# 顯示Device A上所有鏡像組的配置信息。

[DeviceA] display mirroring-group all

Mirroring group 1:

    Type: Local

    Status: Active

    Mirroring port:

        Ten-GigabitEthernet1/0/1  Inbound

    Monitor port: Ten-GigabitEthernet1/0/2

                  Encapsulation: Destination IP address 40.1.1.2

                                 Source IP address 20.1.1.1

                                 Destination MAC address 000f-e241-5e5b

配置完成後，用戶可以通過Server監控所有進市場部的報文。