- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
11-鏡像配置
本章節下載： 11-鏡像配置 (472.80 KB)
目 錄
端口鏡像通過將指定端口的報文複製到與數據監測設備相連的端口，使用戶可以利用數據監測設備分析這些複製過來的報文，以進行網絡監控和故障排除。
鏡像源是指被監控的對象，配置為監控對象的端口為源端口。經鏡像源收發的報文會被複製一份到與數據監測設備相連的端口，用戶就可以對這些報文（稱為鏡像報文）進行監控和分析了。
鏡像源所在的設備稱為源設備。
鏡像目的是指鏡像報文所要到達的目的地，即與數據監測設備相連的端口，該端口稱為目的端口。目的端口會將鏡像報文轉發給與之相連的數據監測設備。
由於一個目的端口可以同時監控多個鏡像源，因此在某些組網環境下，目的端口可能收到對同一報文的多份拷貝。例如，目的端口Port A同時監控同一台設備上的源端口Port B和Port C收發的報文，如果某報文從Port B進入該設備後又從Port C發送出去，那麼該報文將被複製兩次給Port A。
目的端口所在的設備稱為目的設備。
鏡像方向是指在鏡像源上可複製哪些方向的報文：
· 入方向：是指僅複製鏡像源收到的報文。
· 出方向：是指僅複製鏡像源發出的報文。
· 雙向：是指對鏡像源收到和發出的報文都進行複製。
鏡像組是一個邏輯上的概念，鏡像源和鏡像目的都要屬於某一個鏡像組。根據具體的實現方式不同，鏡像組可分為本地鏡像組、遠程源鏡像組和遠程目的鏡像組。
反射端口、出端口和遠程鏡像VLAN都是在二層遠程端口鏡像的實現過程中用到的概念。遠程鏡像VLAN是將鏡像報文從源設備傳送至目的設備的專用VLAN；反射端口和出端口都位於源設備上，都用來將鏡像報文發送到遠程鏡像VLAN中。
在配置端口鏡像的設備上，除源端口、目的端口、反射端口、出端口外的其他端口統稱為普通端口。
根據鏡像源與鏡像目的是否位於同一台設備上，可以將端口鏡像分為：
· 本地端口鏡像：當源設備與數據監測設備直接相連時，源設備同時作為目的設備，即由本設備將鏡像報文轉發至數據檢測設備，該端口鏡像稱為本地端口鏡像。
· 遠程端口鏡像：當源設備與數據監測設備不直接相連時，與數據監測設備直接相連的設備作為目的設備，源設備需要將鏡像報文複製一份至目的設備，然後由目的設備將鏡像報文轉發至數據監測設備，該端口鏡像稱為遠程端口鏡像。因源設備與目的設備之間通過二層網絡進行連接，因此遠程端口鏡像又稱為二層遠程端口鏡像
如圖1-1所示，現在需要設備將進入端口Port A的報文複製一份，從端口Port B將報文轉發給數據監測設備。為滿足該需求，可以配置本地鏡像組，其中源端口為Port A，鏡像方向為入方向，目的端口為Port B。
對於二層遠程端口鏡像，鏡像源和鏡像目的分屬於不同設備上的不同鏡像組：
· 遠程源鏡像組：鏡像源所在的鏡像組。
· 遠程目的鏡像組：鏡像目的所在的鏡像組。
· 中間設備：位於源設備與目的設備之間的設備。
二層遠程端口鏡像的實現包括反射端口方式和出端口方式。
反射端口方式二層遠程端口鏡像報文的轉發過程如圖1-2所示。
(1) 源設備將進入鏡像源的報文複製一份給反射端口。
(2) 反射端口將鏡像報文在遠程鏡像VLAN中廣播。
(3) 鏡像報文經由中間設備轉發至目的設備。
(4) 目的設備收到該報文後判別其VLAN ID，若與遠程鏡像VLAN的VLAN ID相同，則將鏡像報文通過目的端口轉發給數據監測設備。
圖1-2 反射端口方式二層遠程端口鏡像示意圖
出端口方式二層遠程端口鏡像報文的轉發過程如圖1-3所示。
(1) 源設備將進入鏡像源的報文複製一份給出端口。
(2) 出端口將鏡像報文轉發給中間設備。
(3) 中間設備在遠程鏡像VLAN中廣播，最終到達目的設備。
(4) 目的設備收到該報文後判別其VLAN ID，若與遠程鏡像VLAN的VLAN ID相同，則將鏡像報文通過目的端口轉發給數據監測設備。
圖1-3 出端口方式二層遠程端口鏡像示意圖
對於二層遠程端口鏡像反射端口方式，源設備的反射端口將鏡像報文在遠程鏡像VLAN中廣播。因此，可以利用遠程鏡像VLAN的原理，在本地設備上創建遠程源鏡像組，並指定遠程鏡像VLAN，同時將本設備上連接數據檢測設備的多個端口加入該VLAN，鏡像報文在遠程鏡像VLAN中廣播時便可以從這些端口中發送出去，實現將鏡像報文輸出到本地多個端口的需求。而對於出端口方式則無此實現。
對端口入方向的報文進行鏡像，則鏡像後的報文攜帶VLAN Tag的情況與原始報文保持一致；對端口出方向的報文進行鏡像，則鏡像後的報文始終攜帶報文在從源端口發送前所屬VLAN的VLAN Tag。
在完成鏡像源和鏡像目的配置之後，本地鏡像組才能生效。
設備不支持將二層聚合接口、三層聚合接口、Tunnel接口和VLAN接口配置為本地端口鏡像的源端口。若有需要，可將二層聚合接口和三層聚合接口的成員端口配置為鏡像源端口。
設備不支持將二層聚合接口和三層聚合接口配置為本地端口鏡像的目的端口。
目的端口不能是聚合組的成員端口。
本地端口鏡像配置任務如下：
(1) 創建本地鏡像組
(2) 配置鏡像源
(3) 配置鏡像目的
(1) 進入係統視圖。
system-view
(2) 創建本地鏡像組。
mirroring-group group-id local
配置源端口時，需要注意的是：
· 一個鏡像組內可以配置多個源端口。
· 一個源端口無論作為單向源端口還是雙向源端口，都隻能加入一個鏡像組。
· 源端口不能用作反射端口、出端口或目的端口。
設備不支持將二層聚合接口、三層聚合接口、Tunnel接口和VLAN接口配置為本地端口鏡像的源端口。
· 在係統視圖下配置源端口。
a. 進入係統視圖。
system-view
b. 為本地鏡像組配置源端口。
mirroring-group group-id mirroring-port interface-list { both | inbound | outbound }
缺省情況下，未為本地鏡像組配置源端口。
· 在接口視圖下配置源端口。
a. 進入係統視圖。
system-view
b. 進入接口視圖。
interface interface-type interface-number
c. 配置當前端口為本地鏡像組的源端口。
mirroring-group group-id mirroring-port { both | inbound | outbound }
缺省情況下，未配置當前端口為本地鏡像組的源端口。
不能在目的端口上開啟生成樹協議，否則會影響鏡像功能的正常使用。
從目的端口發出的報文包括鏡像報文和其他端口正常轉發來的報文。為了保證數據監測設備隻對鏡像報文進行分析，請將目的端口隻用於端口鏡像，不作其他用途。
一個鏡像組內隻能配置一個目的端口。
· 在係統視圖下配置目的端口。
a. 進入係統視圖。
system-view
b. 為本地鏡像組配置目的端口。
mirroring-group group-id monitor-port interface-type interface-number
缺省情況下，未為本地鏡像組配置目的端口。
· 在接口視圖下配置目的端口。
a. 進入係統視圖。
system-view
b. 進入接口視圖。
interface interface-type interface-number
c. 配置本端口為本地鏡像組的目的端口。
mirroring-group group-id monitor-port
缺省情況下，未配置當前端口為本地鏡像組的目的端口。
傳統本地鏡像配置方式僅支持在一個鏡像組中配置一個目的端口，利用遠程鏡像VLAN的原理可以將一份鏡像報文同時發送到多個目的端口。
在二層遠程端口鏡像中，鏡像報文在遠程鏡像VLAN中以廣播的方式發送，利用該原理，在本地設備上創建遠程源鏡像組和遠程鏡像VLAN，並將本設備上連接數據檢測設備的多個端口加入該VLAN，鏡像報文在遠程鏡像VLAN中廣播時即可從這些端口中發送出去，實現將鏡像報文發送到多個目的端口。
請選擇設備上未被使用的端口作為反射端口，不能在該端口上連接網線，否則會影響鏡像功能的正常使用。
端口配置為反射口時，該端口上已存在的所有配置都將被清除；在被配置為反射口後，該端口上不能再配置其他業務功能。
不能將源端口加入到遠程鏡像VLAN中，否則會影響鏡像功能的正常使用。
一個VLAN隻能作為一個遠程源鏡像組的遠程鏡像VLAN，且建議該VLAN隻用於端口鏡像，請不要在該VLAN上配置其他業務功能或創建對應的VLAN接口。
遠程鏡像VLAN必須為靜態VLAN，且在被配置成遠程鏡像VLAN後，該VLAN不能直接刪除，必須先刪除遠程鏡像VLAN的配置才能夠刪除該VLAN。
設備僅支持配置一個遠程鏡像VLAN。
(1) 進入係統視圖。
system-view
(2) 創建遠程源鏡像組。
mirroring-group group-id remote-source
(3) 為遠程源鏡像組配置源端口。請選擇其中一項進行配置。
¡ 在係統視圖下配置。
mirroring-group group-id mirroring-port mirroring-port-list { both | inbound | outbound }
¡ 請依次執行以下命令在接口視圖下配置。
interface interface-type interface-number
mirroring-group group-id mirroring-port { both | inbound | outbound }
quit
(4) 為遠程源鏡像組配置反射端口。
mirroring-group group-id reflector-port reflector-port
缺省情況下，鏡像組沒有反射端口。
(5) 創建遠程鏡像VLAN並進入VLAN視圖。
vlan vlan-id
缺省情況下，鏡像組沒有遠程鏡像VLAN。
(6) 將鏡像目的端口加入遠程鏡像VLAN。
port interface-list
缺省情況下，新建VLAN中不包含任何端口。
(7) 退出至係統視圖。
quit
(8) 為遠程源鏡像組配置遠程鏡像VLAN。
mirroring-group group-id remote-probe vlan vlan-id
缺省情況下，鏡像組沒有遠程鏡像VLAN。
二層遠程端口鏡像的配置需要分別在源設備和目的設備上進行；如果存在中間設備，則需要在中間設備上允許遠程鏡像VLAN通過，以確保源設備與目的設備之間的二層網絡暢通。
請先配置目的設備，再配中間設備，最後配源設備，以保證鏡像流量的正常轉發。
在鏡像報文從源設備到達目的設備的過程中，VLAN ID不被修改或刪除，否則二層遠程鏡像功能將失效。
在配置二層遠程端口鏡像時建議關閉MVRP（Multiple VLAN Registration Protocol，多VLAN注冊協議）功能，否則MVRP可能將遠程鏡像VLAN注冊到不需要監控的端口上，導致目的端口收到不必要的報文。有關MVRP的詳細介紹，請參見“二層技術-以太網交換配置指導”中的“MVRP”。
在一個鏡像組中對同一個端口收發的報文進行雙向鏡像時，需要在源設備、中間設備和目的設備上關閉遠程鏡像VLAN的MAC地址學習功能，以保證鏡像功能的正常進行。關於MAC地址學習功能的詳細介紹，請參見“二層技術-以太網交換配置指導”中的“MAC地址表”。
設備不支持將二層聚合接口的成員端口配置為目的端口。
目的設備配置任務如下：
(1) 創建遠程目的鏡像組
(2) 配置目的端口
(3) 配置遠程鏡像VLAN
(4) 將目的端口加入遠程鏡像VLAN
源設備配置任務如下：
(1) 創建遠程源鏡像組
(2) 配置鏡像源
(3) 配置反射端口
(4) 配置遠程鏡像VLAN
目的設備配置任務如下：
(1) 創建遠程目的鏡像組
(2) 配置目的端口
(3) 配置遠程鏡像VLAN
(4) 將目的端口加入遠程鏡像VLAN
源設備配置任務如下：
(1) 創建遠程源鏡像組
(2) 配置鏡像源
(3) 配置出端口
(4) 配置遠程鏡像VLAN
僅目的設備需要進行本配置。
(1) 進入係統視圖。
system-view
(2) 創建遠程目的鏡像組。
mirroring-group group-id remote-destination
僅目的設備需要進行本配置。
不能在目的端口上開啟生成樹協議，否則會影響鏡像功能的正常使用。
從目的端口發出的報文包括鏡像報文和其他端口正常轉發來的報文。為了保證數據監測設備隻對鏡像報文進行分析，請將目的端口隻用於端口鏡像，不作其他用途。
一個目的端口隻能加入一個鏡像組。
設備不支持將二層聚合接口配置為二層端口鏡像的目的端口。
(1) 進入係統視圖。
system-view
(2) 為遠程目的鏡像組配置目的端口。
mirroring-group group-id monitor-port interface-type interface-number
缺省情況下，未為遠程鏡像組配置目的端口。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置本端口為遠程目的鏡像組的目的端口。
mirroring-group group-id monitor-port
缺省情況下，未配置當前端口為遠程鏡像組的目的端口。
源設備和目的設備都需要進行本配置。
源設備和目的設備上的遠程鏡像組必須使用相同的遠程鏡像VLAN。
遠程鏡像VLAN必須是已創建的靜態VLAN。
當VLAN被指定為遠程鏡像VLAN後，該VLAN不能再作其他用途。
設備僅支持配置一個遠程鏡像VLAN。
(1) 進入係統視圖。
system-view
(2) 為遠程目的鏡像組配置遠程鏡像VLAN。
mirroring-group group-id remote-probe vlan vlan-id
缺省情況下，未為遠程鏡像組配置遠程鏡像VLAN。
僅目的設備需要進行本配置。
(1) 進入係統視圖。
system-view
(2) 進入目的接口視圖。
interface interface-type interface-number
(3) 將目的端口加入遠程鏡像VLAN。
¡ 將Access類型的目的端口加入遠程鏡像VLAN。
port access vlan vlan-id
¡ 將Trunk類型的目的端口加入遠程鏡像VLAN。
port trunk permit vlan vlan-id
¡ 將Hybrid類型的目的端口加入遠程鏡像VLAN。
port hybrid vlan vlan-id { tagged | untagged }
有關port access vlan、port trunk permit vlan和port hybrid vlan命令的詳細介紹，請參見“二層技術-以太網交換命令參考”中的“VLAN”。
僅源設備需要進行本配置。
(1) 進入係統視圖。
system-view
(2) 創建遠程源鏡像組。
mirroring-group group-id remote-source
僅源設備需要配置鏡像源。
配置源端口時，需要注意的是：
· 不能將源端口加入到遠程鏡像VLAN中，否則會影響鏡像功能的正常使用。
· 一個鏡像組內可以配置多個源端口。
· 一個端口作為單向源端口最多可以加入兩個鏡像組（一個鏡像組鏡像源端口的入方向報文，另一個鏡像組鏡像源端口的出方向報文），作為雙向源端口最多可以加入一個鏡像組。
· 設備僅支持配置一個對源端口的出方向、或雙向進行鏡像的鏡像組。
· 源端口不能用作反射端口、出端口或目的端口。
· 設備不支持將二層聚合接口配置為鏡像源端口。
· 在係統視圖下配置源端口。
a. 進入係統視圖。
system-view
b. 為遠程源鏡像組配置源端口。
mirroring-group group-id mirroring-port interface-list { both | inbound | outbound }
缺省情況下，未為遠程鏡像組配置源端口。
· 在接口視圖下配置源端口。
a. 進入係統視圖。
system-view
b. 進入接口視圖。
interface interface-type interface-number
c. 配置本端口為遠程源鏡像組的源端口。
mirroring-group group-id mirroring-port { both | inbound | outbound }
缺省情況下，未配置當前端口為遠程鏡像組的源端口。
僅源設備需要進行本配置。
一個鏡像組內隻能配置一個反射端口。
(1) 進入係統視圖。
system-view
(2) 為遠程源鏡像組配置反射端口。
mirroring-group group-id reflector-port interface-type interface-number
· 請選擇設備上未被使用的端口作為反射端口，並不要在該端口上連接網線，否則會影響鏡像功能的正常使用。
· 在將端口配置為反射端口時，該端口將恢複為缺省配置，該端口上不能再配置其他業務。
· 當IRF端口隻綁定了一個物理端口時，請勿將該物理端口配置為反射端口，以免IRF分裂。
缺省情況下，未為遠程源鏡像組配置反射端口。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置本端口為遠程源鏡像組的反射端口。
mirroring-group group-id reflector-port
· 請選擇設備上未被使用的端口作為反射端口，並不要在該端口上連接網線，否則會影響鏡像功能的正常使用。
· 在將端口配置為反射端口時，該端口將恢複為缺省配置，該端口上不能再配置其他業務。
· 當IRF端口隻綁定了一個物理端口時，請勿將該物理端口配置為反射端口，以免IRF分裂。
缺省情況下，未配置本端口為遠程源鏡像組的反射端口。
僅源設備需要進行本配置。
不能在出端口上配置生成樹協議、802.1X、IGMP Snooping、靜態ARP和MAC地址學習，否則會影響鏡像功能的正常使用。
出端口不能是現有鏡像組的成員端口。
一個鏡像組內隻能配置一個出端口。
(1) 進入係統視圖。
system-view
(2) 為遠程源鏡像組配置出端口。
mirroring-group group-id monitor-egress interface-type interface-number
缺省情況下，未為遠程源鏡像組配置出端口。
(3) 進入出端口接口視圖。
interface interface-type interface-number
(4) 將出端口加入遠程鏡像VLAN。
¡ 將Trunk類型的出端口加入遠程鏡像VLAN。
port trunk permit vlan vlan-id
¡ 將Hybrid類型的出端口加入遠程鏡像VLAN。
port hybrid vlan vlan-id { tagged | untagged }
有關port trunk permit vlan和port hybrid vlan命令的詳細介紹，請參見“二層技術-以太網交換命令參考”中的“VLAN”。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置本端口為遠程源鏡像組的出端口。
mirroring-group group-id monitor-egress
缺省情況下，未配置本端口為遠程源鏡像組的出端口。
在完成上述配置後，在任意視圖下執行display命令可以顯示配置後鏡像組的運行情況，通過查看顯示信息驗證配置的效果。
表1-1 端口鏡像顯示和維護
|
操作 |
命令 |
|
顯示鏡像組的配置信息 |
display mirroring-group { group-id | all | local | remote-destination | remote-source } |
Device通過端口GigabitEthernet1/0/1和GigabitEthernet1/0/2分別連接市場部和技術部，並通過端口GigabitEthernet1/0/3連接Server。
通過配置源端口方式的本地端口鏡像，使Server可以監控所有進、出市場部和技術部的報文。
# 創建本地鏡像組1。
<Device> system-view
[Device] mirroring-group 1 local
# 配置本地鏡像組1的源端口為GigabitEthernet1/0/1和GigabitEthernet1/0/2，對源端口收發的報文都進行鏡像，目的端口為GigabitEthernet1/0/3。
[Device] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 gigabitethernet 1/0/2 both
[Device] mirroring-group 1 monitor-port gigabitethernet 1/0/3
# 在目的端口GigabitEthernet1/0/3上關閉生成樹協議。
[Device] interface gigabitethernet 1/0/3
[Device-GigabitEthernet1/0/3] undo stp enable
[Device-GigabitEthernet1/0/3] quit
# 顯示所有鏡像組的配置信息。
[Device] display mirroring-group all
Mirroring group 1:
Type: Local
Status: Active
Mirroring port:
GigabitEthernet1/0/1 Both
GigabitEthernet1/0/2 Both
Monitor port: GigabitEthernet1/0/3
配置完成後，用戶可以通過Server監控所有進、出市場部和技術部的報文。
在一個二層網絡中，Device A、Device B、Device C及Server如下圖所示連接。其中，Device A通過端口GigabitEthernet1/0/1連接市場部。
通過配置二層遠程端口鏡像，使Server可以監控所有進、出市場部的報文。
(1) 配置Device C
# 配置端口GigabitEthernet1/0/1為Trunk口，並允許VLAN 2的報文通過。
<DeviceC> system-view
[DeviceC] interface gigabitethernet 1/0/1
[DeviceC-GigabitEthernet1/0/1] port link-type trunk
[DeviceC-GigabitEthernet1/0/1] port trunk permit vlan 2
[DeviceC-GigabitEthernet1/0/1] quit
# 創建遠程目的鏡像組2。
[DeviceC] mirroring-group 2 remote-destination
# 創建VLAN 2作為遠程鏡像VLAN。
[DeviceC] vlan 2
# 關閉VLAN 2的MAC地址學習功能。
[DeviceC-vlan2] undo mac-address mac-learning enable
[DeviceC-vlan2] quit
# 配置遠程目的鏡像組2的遠程鏡像VLAN為VLAN 2，目的端口為GigabitEthernet1/0/2，在該端口上關閉生成樹協議並將其加入VLAN 2。
[DeviceC] mirroring-group 2 remote-probe vlan 2
[DeviceC] interface gigabitethernet 1/0/2
[DeviceC-GigabitEthernet1/0/2] mirroring-group 2 monitor-port
[DeviceC-GigabitEthernet1/0/2] undo stp enable
[DeviceC-GigabitEthernet1/0/2] port access vlan 2
[DeviceC-GigabitEthernet1/0/2] quit
(2) 配置Device B
# 創建VLAN 2作為遠程鏡像VLAN。
<DeviceB> system-view
[DeviceB] vlan 2
# 關閉VLAN 2的MAC地址學習功能。
[DeviceB-vlan2] undo mac-address mac-learning enable
[DeviceB-vlan2] quit
# 配置端口GigabitEthernet1/0/1為Trunk口，並允許VLAN 2的報文通過。
[DeviceB] interface gigabitethernet 1/0/1
[DeviceB-GigabitEthernet1/0/1] port link-type trunk
[DeviceB-GigabitEthernet1/0/1] port trunk permit vlan 2
[DeviceB-GigabitEthernet1/0/1] quit
# 配置端口GigabitEthernet1/0/2為Trunk口，並允許VLAN 2的報文通過。
[DeviceB] interface gigabitethernet 1/0/2
[DeviceB-GigabitEthernet1/0/2] port link-type trunk
[DeviceB-GigabitEthernet1/0/2] port trunk permit vlan 2
[DeviceB-GigabitEthernet1/0/2] quit
(3) 配置Device A
# 創建遠程源鏡像組1。
<DeviceA> system-view
[DeviceA] mirroring-group 1 remote-source
# 創建VLAN 2作為遠程鏡像VLAN。
[DeviceA] vlan 2
# 關閉VLAN 2的MAC地址學習功能。
[DeviceA-vlan2] undo mac-address mac-learning enable
[DeviceA-vlan2] quit
# 配置遠程源鏡像組1的遠程鏡像VLAN為VLAN 2，源端口為GigabitEthernet1/0/1，反射端口為GigabitEthernet1/0/3。
[DeviceA] mirroring-group 1 remote-probe vlan 2
[DeviceA] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 both
[DeviceA] mirroring-group 1 reflector-port gigabitethernet 1/0/3
This operation may delete all settings made on the interface. Continue? [Y/N]: y
# 配置端口GigabitEthernet1/0/2為Trunk口，並允許VLAN 2的報文通過。
[DeviceA] interface gigabitethernet 1/0/2
[DeviceA-GigabitEthernet1/0/2] port link-type trunk
[DeviceA-GigabitEthernet1/0/2] port trunk permit vlan 2
[DeviceA-GigabitEthernet1/0/2] quit
# 顯示Device C上所有鏡像組的配置信息。
[DeviceC] display mirroring-group all
Mirroring group 2:
Type: Remote destination
Status: Active
Monitor port: GigabitEthernet1/0/2
Remote probe VLAN: 2
# 顯示Device A上所有鏡像組的配置信息。
[DeviceA] display mirroring-group all
Mirroring group 1:
Type: Remote source
Status: Active
Mirroring port:
GigabitEthernet1/0/1 Both
Reflector port: GigabitEthernet1/0/3
Remote probe VLAN: 2
配置完成後，用戶可以通過Server監控所有進、出市場部的報文。
在一個二層網絡中，Device A、Device B、Device C及Server如下圖所示連接。其中，Device A通過端口GigabitEthernet1/0/1連接市場部。
通過配置二層遠程端口鏡像，使Server可以監控所有進、出市場部的報文。
圖1-5 二層遠程端口鏡像配置組網圖
(1) 配置Device C
# 配置端口GigabitEthernet1/0/1為Trunk口，並允許VLAN 2的報文通過。
<DeviceC> system-view
[DeviceC] interface gigabitethernet 1/0/1
[DeviceC-GigabitEthernet1/0/1] port link-type trunk
[DeviceC-GigabitEthernet1/0/1] port trunk permit vlan 2
[DeviceC-GigabitEthernet1/0/1] quit
# 創建遠程目的鏡像組2。
[DeviceC] mirroring-group 2 remote-destination
# 創建VLAN 2作為遠程鏡像VLAN。
[DeviceC] vlan 2
# 關閉VLAN 2的MAC地址學習功能。
[DeviceC-vlan2] undo mac-address mac-learning enable
[DeviceC-vlan2] quit
# 配置遠程目的鏡像組2的遠程鏡像VLAN為VLAN 2，目的端口為GigabitEthernet1/0/2，在該端口上關閉生成樹協議並將其加入VLAN 2。
[DeviceC] mirroring-group 2 remote-probe vlan 2
[DeviceC] interface gigabitethernet 1/0/2
[DeviceC-GigabitEthernet1/0/2] mirroring-group 2 monitor-port
[DeviceC-GigabitEthernet1/0/2] undo stp enable
[DeviceC-GigabitEthernet1/0/2] port access vlan 2
[DeviceC-GigabitEthernet1/0/2] quit
(2) 配置Device B
# 創建VLAN 2作為遠程鏡像VLAN。
<DeviceB> system-view
[DeviceB] vlan 2
# 關閉VLAN 2的MAC地址學習功能。
[DeviceB-vlan2] undo mac-address mac-learning enable
[DeviceB-vlan2] quit
# 配置端口GigabitEthernet1/0/1為Trunk口，並允許VLAN 2的報文通過。
[DeviceB] interface gigabitethernet 1/0/1
[DeviceB-GigabitEthernet1/0/1] port link-type trunk
[DeviceB-GigabitEthernet1/0/1] port trunk permit vlan 2
[DeviceB-GigabitEthernet1/0/1] quit
# 配置端口GigabitEthernet1/0/2為Trunk口，並允許VLAN 2的報文通過。
[DeviceB] interface gigabitethernet 1/0/2
[DeviceB-GigabitEthernet1/0/2] port link-type trunk
[DeviceB-GigabitEthernet1/0/2] port trunk permit vlan 2
[DeviceB-GigabitEthernet1/0/2] quit
(3) 配置Device A
# 創建遠程源鏡像組1。
<DeviceA> system-view
[DeviceA] mirroring-group 1 remote-source
# 創建VLAN 2作為遠程鏡像VLAN。
[DeviceA] vlan 2
# 關閉VLAN 2的MAC地址學習功能。
[DeviceA-vlan2] undo mac-address mac-learning enable
[DeviceA-vlan2] quit
# 配置遠程源鏡像組1的遠程鏡像VLAN為VLAN 2，源端口為GigabitEthernet1/0/1，出端口為GigabitEthernet1/0/2。
[DeviceA] mirroring-group 1 remote-probe vlan 2
[DeviceA] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 both
[DeviceA] mirroring-group 1 monitor-egress gigabitethernet 1/0/2
# 配置端口GigabitEthernet1/0/2為Trunk口，允許VLAN 2的報文通過，並在該端口上關閉生成樹協議。
[DeviceA] interface gigabitethernet 1/0/2
[DeviceA-GigabitEthernet1/0/2] port link-type trunk
[DeviceA-GigabitEthernet1/0/2] port trunk permit vlan 2
[DeviceA-GigabitEthernet1/0/2] undo stp enable
[DeviceA-GigabitEthernet1/0/2] quit
# 顯示Device C上所有鏡像組的配置信息。
[DeviceC] display mirroring-group all
Mirroring group 2:
Type: Remote destination
Status: Active
Monitor port: GigabitEthernet1/0/2
Remote probe VLAN: 2
# 顯示Device A上所有鏡像組的配置信息。
[DeviceA] display mirroring-group all
Mirroring group 1:
Type: Remote source
Status: Active
Mirroring port:
GigabitEthernet1/0/1 Both
Monitor egress port: Gigabitethernet1/0/2
Remote probe VLAN: 2
配置完成後，用戶可以通過Server監控所有進、出市場部的報文。
流鏡像是指將指定報文複製到指定目的地，以便於對報文進行分析和監控。
流鏡像通過QoS實現，設備先通過流分類匹配待鏡像的報文，再通過流行為將符合條件的報文鏡像至指定目的地。該方式可以靈活配置報文的匹配條件，從而對報文進行精細區分，並將區分後的報文鏡像到目的地。有關QoS的詳細介紹，請參見“ACL和QoS配置指導”中的“QoS”。
根據報文鏡像的目的地不同，流行為可分為以下類型：
· 流鏡像到接口：將符合條件的報文複製一份到指定接口，利用數據檢測設備分析接口收到的報文。
· 流鏡像到CPU：將符合條件的報文複製一份到CPU（這裏的CPU是指報文進入的成員設備上的CPU），通過CPU分析報文的內容，或者將特定的協議報文上送。
流鏡像配置中，除mirror-to命令外的其他配置命令及相關顯示命令的詳細介紹，請參見“ACL和QoS命令參考”中的“QoS策略”。
流鏡像配置任務如下：
(1) 配置流分類
該配置用來匹配待鏡像的報文。
(2) 配置流行為
該配置用來指定鏡像報文的目的地。
(3) 配置QoS策略
該配置為流分類指定流行為，即指定哪些報文需要鏡像到哪裏。
(4) 應用QoS策略
請選擇以下一項任務進行配置：
¡ 基於接口應用
¡ 基於VLAN應用
¡ 基於全局應用
(1) 進入係統視圖。
system-view
(2) 定義流分類，並進入流分類視圖。
traffic classifier classifier-name [ operator { and | or } ]
(3) 配置報文匹配規則。
if-match match-criteria
(4) （可選）顯示用戶定義流分類的配置信息。
display traffic classifier
該命令可在任意視圖下執行。
(1) 進入係統視圖。
system-view
(2) 定義流行為，並進入流行為視圖。
traffic behavior behavior-name
(3) 配置鏡像報文的目的地。請選擇其中一項進行配置。
¡ 配置流鏡像到接口。
mirror-to interface interface-type interface-number
缺省情況下，未配置流鏡像到接口。
同一流行為中隻能配置一個目的接口，多次執行該命令，僅最後一次執行的命令生效。
¡ 配置流鏡像到CPU。
mirror-to cpu
缺省情況下，未配置流鏡像到CPU。
(4) （可選）顯示用戶定義流行為的配置信息。
display traffic behavior
該命令可在任意視圖下執行。
(1) 進入係統視圖。
system-view
(2) 定義QoS策略，並進入QoS策略視圖。
qos policy policy-name
(3) 為流分類指定采用的流行為。
classifier classifier-name behavior behavior-name
缺省情況下，未為流分類指定流行為。
(4) （可選）顯示用戶定義策略的配置信息。
display qos policy
該命令可在任意視圖下執行。
將QoS策略應用到接口後，可以對該接口的流量進行鏡像。
一個QoS策略可以應用於多個接口。
設備不支持在接口出方向應用QoS策略配置流鏡像，且在入方向上隻能應用一個QoS策略。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 應用QoS策略到接口。
qos apply policy policy-name inbound
(4) （可選）顯示接口上QoS策略的配置信息和運行情況。
display qos policy interface
該命令可在任意視圖下執行。
將QoS策略應用到VLAN後，可以對該VLAN內各端口的流量進行鏡像。
設備不支持在VLAN出方向應用QoS策略配置流鏡像，且在入方向上隻能應用一個QoS策略。
(1) 進入係統視圖。
system-view
(2) 應用QoS策略到指定VLAN。
qos vlan-policy policy-name vlan vlan-id-list inbound
(3) （可選）顯示基於VLAN應用QoS策略的信息。
display qos vlan-policy
該命令可在任意視圖下執行。
將QoS策略應用到全局後，可以對設備所有端口的流量進行鏡像。
設備不支持在全局出方向應用QoS策略配置流鏡像，且在入方向上隻能應用一個QoS策略。
(1) 進入係統視圖。
system-view
(2) 應用QoS策略到全局。
qos apply policy policy-name global inbound
(3) （可選）顯示基於全局應用QoS策略的信息。
display qos policy global
該命令可在任意視圖下執行。
某公司內的各部門之間使用不同網段的IP地址，其中市場部和技術部分別使用192.168.1.0/24和192.168.2.0/24網段，該公司的工作時間為每周工作日的8點到18點。
通過配置流鏡像，使Server可以監控技術部訪問互聯網的WWW流量，以及技術部在工作時間發往市場部的IP流量。
圖2-1 流鏡像典型配置組網圖
# 定義工作時間：創建名為work的時間段，其時間範圍為每周工作日的8點到18點。
<Device> system-view
[Device] time-range work 8:00 to 18:00 working-day
# 創建一個編號為3000的IPv4高級ACL，並定義如下規則：匹配技術部訪問WWW的報文，以及在工作時間由技術部發往市場部的IP報文。
[Device] acl advanced 3000
[Device-acl-ipv4-adv-3000] rule permit tcp source 192.168.2.0 0.0.0.255 destination-port eq www
[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 time-range work
[Device-acl-ipv4-adv-3000] quit
# 創建流分類tech_c，並配置報文匹配規則為ACL 3000。
[Device] traffic classifier tech_c
[Device-classifier-tech_c] if-match acl 3000
[Device-classifier-tech_c] quit
# 創建流行為tech_b，並配置流鏡像到接口GigabitEthernet1/0/3。
[Device] traffic behavior tech_b
[Device-behavior-tech_b] mirror-to interface gigabitethernet 1/0/3
[Device-behavior-tech_b] quit
# 創建QoS策略tech_p，在策略中為流分類tech_c指定采用流行為tech_b。
[Device] qos policy tech_p
[Device-qospolicy-tech_p] classifier tech_c behavior tech_b
[Device-qospolicy-tech_p] quit
# 將QoS策略tech_p應用到接口GigabitEthernet1/0/4的入方向上。
[Device] interface gigabitethernet 1/0/4
[Device-GigabitEthernet1/0/4] qos apply policy tech_p inbound
[Device-GigabitEthernet1/0/4] quit
配置完成後，用戶可以通過Server監控技術部訪問互聯網的WWW流量，以及技術部在工作時間發往市場部的IP流量。
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
