目  錄

1 端口鏡像

1.1 端口鏡像簡介

1.1.1 基本概念

1.1.2 端口鏡像的分類

1.1.3 本地端口鏡像（SPAN）

1.1.4 二層遠程端口鏡像（RSPAN）

1.1.5 三層遠程端口鏡像（ERSPAN）

1.2 配置本地端口鏡像（SPAN）

1.2.1 配置限製和指導

1.2.2 配置任務簡介

1.2.3 創建本地鏡像組

1.2.4 配置鏡像源

1.2.5 配置鏡像目的

1.3 配置二層遠程端口鏡像（RSPAN）

1.3.1 配置限製和指導

1.3.2 出端口方式二層遠程端口鏡像配置任務簡介

1.3.3 創建遠程目的鏡像組

1.3.4 配置目的端口

1.3.5 配置遠程鏡像VLAN

1.3.6 將目的端口加入遠程鏡像VLAN

1.3.7 創建遠程源鏡像組

1.3.8 配置鏡像源

1.3.9 配置出端口

1.4 配置三層遠程端口鏡像（配置封裝參數方式ERSPAN）

1.4.1 配置限製和指導

1.4.2 配置任務簡介

1.4.3 創建本地鏡像組

1.4.4 配置鏡像源

1.4.5 配置鏡像目的

1.5 端口鏡像顯示和維護

1.6 端口鏡像典型配置舉例

1.6.1 本地端口鏡像配置舉例（源端口方式SPAN）

1.6.2 本地端口鏡像配置舉例（源VLAN方式SPAN）

1.6.3 本地端口鏡像配置舉例（源CPU方式SPAN）

1.6.4 二層遠程端口鏡像配置舉例（出端口方式RSPAN）

1.6.5 三層遠程端口鏡像配置舉例（配置封裝參數方式ERSPAN）

2 流鏡像

2.1 流鏡像簡介

2.2 流鏡像到接口分類

2.2.1 流鏡像SPAN

2.2.2 流鏡像ERSPAN

2.3 流鏡像配置限製和指導

2.4 流鏡像配置任務簡介

2.5 配置流分類

2.6 配置流行為

2.7 配置QoS策略

2.8 應用QoS策略

2.8.1 基於接口應用

2.8.2 基於VLAN應用

2.8.3 基於全局應用

2.9 流鏡像顯示和維護

2.10 流鏡像典型配置舉例

2.10.1 流鏡像基本組網配置舉例

 

1 端口鏡像

1.1  端口鏡像簡介

端口鏡像通過將指定端口、VLAN或CPU的報文複製到與數據監測設備相連的端口，使用戶可以利用數據監測設備分析這些複製過來的報文，以進行網絡監控和故障排除。

1.1.1  基本概念

1. 鏡像源

鏡像源是指被監控的對象，配置為監控對象的端口為源端口，配置為監控對象的VLAN為源VLAN，配置為監控對象的CPU為源CPU。經鏡像源收發的報文會被複製一份到與數據監測設備相連的端口，用戶就可以對這些報文（稱為鏡像報文）進行監控和分析了。

2. 源設備

鏡像源所在的設備稱為源設備。

3. 鏡像目的

鏡像目的是指鏡像報文所要到達的目的地，即與數據監測設備相連的端口，該端口稱為目的端口。目的端口會將鏡像報文轉發給與之相連的數據監測設備。

由於一個目的端口可以同時監控多個鏡像源，因此在某些組網環境下，目的端口可能收到對同一報文的多份拷貝。例如，目的端口Port A同時監控同一台設備上的源端口Port B和Port C收發的報文，如果某報文從Port B進入該設備後又從Port C發送出去，那麼該報文將被複製兩次給Port A。

4. 目的設備

目的端口所在的設備稱為目的設備。

5. 鏡像方向

鏡像方向是指在鏡像源上可複製哪些方向的報文：

·     入方向：是指僅複製鏡像源收到的報文。

·     出方向：是指僅複製鏡像源發出的報文。

·     雙向：是指對鏡像源收到和發出的報文都進行複製。

6. 鏡像組

鏡像組是一個邏輯上的概念，鏡像源和鏡像目的都要屬於某一個鏡像組。根據具體的實現方式不同，鏡像組可分為本地鏡像組、遠程源鏡像組和遠程目的鏡像組。

7. 出端口和遠程鏡像VLAN

出端口和遠程鏡像VLAN都是在二層遠程端口鏡像的實現過程中用到的概念。遠程鏡像VLAN是將鏡像報文從源設備傳送至目的設備的專用VLAN；出端口位於源設備上，用來將鏡像報文發送到遠程鏡像VLAN中。

在配置端口鏡像的設備上，除源端口、目的端口、出端口外的其他端口統稱為普通端口。

1.1.2  端口鏡像的分類

根據鏡像源與鏡像目的是否位於同一台設備上，可以將端口鏡像分為：

·     本地端口鏡像（SPAN，Switch port Analyzer）：當源設備與數據監測設備直接相連時，源設備同時作為目的設備，即由本設備將鏡像報文轉發至數據檢測設備，該端口鏡像稱為本地端口鏡像。

·     遠程端口鏡像：當源設備與數據監測設備不直接相連時，與數據監測設備直接相連的設備作為目的設備，源設備需要將鏡像報文複製一份至目的設備，然後由目的設備將鏡像報文轉發至數據監測設備，該端口鏡像稱為遠程端口鏡像。因源設備與目的設備之間通過二層網絡進行連接，因此遠程端口鏡像又稱為二層遠程端口鏡像（RSPAN，Remote SPAN）。

1.1.3  本地端口鏡像（SPAN）

圖1-1 本地端口鏡像示意圖

‌

如圖1-1所示，現在需要設備將進入端口Port A的報文複製一份，從端口Port B將報文轉發給數據監測設備。為滿足該需求，可以配置本地鏡像組，其中源端口為Port A，鏡像方向為入方向，目的端口為Port B。

1.1.4  二層遠程端口鏡像（RSPAN）

對於二層遠程端口鏡像，鏡像源和鏡像目的分屬於不同設備上的不同鏡像組：

·     遠程源鏡像組：鏡像源所在的鏡像組。

·     遠程目的鏡像組：鏡像目的所在的鏡像組。

·     中間設備：位於源設備與目的設備之間的設備。

二層遠程端口鏡像的實現為出端口方式。

1. 出端口方式

出端口方式二層遠程端口鏡像報文的轉發過程如圖1-2所示。

(1)     源設備將進入鏡像源的報文複製一份給出端口。

(2)     出端口將鏡像報文轉發給中間設備。

(3)     中間設備在遠程鏡像VLAN中廣播，最終到達目的設備。

(4)     目的設備收到該報文後判別其VLAN ID，若與遠程鏡像VLAN的VLAN ID相同，則將鏡像報文通過目的端口轉發給數據監測設備。

圖1-2 出端口方式二層遠程端口鏡像示意圖

‌

1.1.5  三層遠程端口鏡像（ERSPAN）

ERSPAN技術實現的功能是將鏡像報文封裝為協議號是0x88BE的GRE報文，路由到遠端監控設備。

1. 配置封裝參數方式

配置封裝參數方式三層遠程端口鏡像僅需在源設備上進行配置；同時所有設備上需配置單播路由協議，並確保設備之間的三層網絡暢通。

在源設備上先創建一個本地鏡像組，然後為該鏡像組配置源端口和目的端口。配置目的端口時，指定鏡像報文封裝的目的IP地址為監測設備的地址，源IP地址為目的端口的IP地址。

如圖1-3所示，配置封裝參數方式三層遠程端口鏡像報文的轉發過程為：

(1)     源設備將經過源端口的報文複製一份。

(2)     源設備為複製的報文添加ERSPAN封裝，封裝的源IP地址為目的端口的IP地址，目的IP地址為監測設備的IP地址。

(3)     封裝後的報文通過IP網絡路由轉發到監測設備。

(4)     監測設備對報文進行解封裝，並分析鏡像報文的內容。

配置封裝參數方式ERSPAN鏡像到監測設備的報文為封裝後的報文，因此監測設備必須支持解封裝。

圖1-3 配置封裝參數方式三層遠程端口鏡像示意圖

 

1.2  配置本地端口鏡像（SPAN）

1.2.1  配置限製和指導

在完成鏡像源和鏡像目的配置之後，本地鏡像組才能生效。

不能將源端口和目的端口加入到源VLAN中，否則會影響鏡像功能的正常使用。

1.2.2  配置任務簡介

本地端口鏡像配置任務如下：

(1)     創建本地鏡像組

(2)     配置鏡像源

請選擇以下一項任務進行配置：

¡     配置鏡像源

¡     配置源VLAN

¡     配置源CPU

(3)     配置鏡像目的

1.2.3  創建本地鏡像組

(1)     進入係統視圖。

system-view

(2)     創建本地鏡像組。

mirroring-group group-id local

缺省情況下，未創建本地鏡像組。

1.2.4  配置鏡像源

1. 配置限製和指導

配置源端口時，需要注意的是：

·     一個鏡像組內可以配置多個源端口。

·     一個端口隻能被一個鏡像組用作源端口。

·     源端口不能用作出端口或目的端口。

設備不支持以主控板的CPU作為源CPU。

配置源VLAN時，需要注意的是：

·     一個鏡像組內可以配置多個源VLAN。

·     一個VLAN隻能配置為一個鏡像組的源VLAN。

配置源CPU時，一個鏡像組內可以配置多個源CPU。

2. 配置源端口

·     在係統視圖下配置源端口。

a.     進入係統視圖。

system-view

b.     為本地鏡像組配置源端口。

mirroring-group group-id mirroring-port interface-list { both | inbound | outbound }

缺省情況下，未為本地鏡像組配置源端口。

·     在接口視圖下配置源端口。

a.     進入係統視圖。

system-view

b.     進入接口視圖。

interface interface-type interface-number

c.     配置當前端口為本地鏡像組的源端口。

mirroring-group group-id mirroring-port { both | inbound | outbound }

缺省情況下，未配置當前端口為本地鏡像組的源端口。

3. 配置源VLAN

(1)     進入係統視圖。

system-view

(2)     為本地鏡像組配置源VLAN。

mirroring-group group-id mirroring-vlan vlan-list { both | inbound | outbound }

缺省情況下，未為本地鏡像組配置源VLAN。

4. 配置源CPU

(1)     進入係統視圖。

system-view

(2)     為本地鏡像組配置源CPU。

（獨立運行模式）

mirroring-group group-id mirroring-cpu slot slot-number-list { both | inbound | outbound }

（IRF模式）

mirroring-group group-id mirroring-cpu chassis chassis-number slot slot-number-list { both | inbound | outbound }

缺省情況下，未為本地鏡像組配置源CPU。

1.2.5  配置鏡像目的

1. 配置限製和指導

不能在目的端口上開啟生成樹協議，否則會影響鏡像功能的正常使用。

當二層聚合接口作為目的端口時，請勿將其成員端口配置為源端口，否則會影響鏡像功能的正常使用。

當二層聚合接口作為目的端口時，請勿將其成員端口加入源VLAN，否則會影響鏡像功能的正常使用。

從目的端口發出的報文包括鏡像報文和其他端口正常轉發來的報文。為了保證數據監測設備隻對鏡像報文進行分析，請將目的端口隻用於端口鏡像，不作其他用途。

2. 配置步驟

·     在係統視圖下配置目的端口。

a.     進入係統視圖。

system-view

b.     為本地鏡像組配置目的端口。

mirroring-group group-id monitor-port interface-list

缺省情況下，未為本地鏡像組配置目的端口。

·     在接口視圖下配置目的端口。

a.     進入係統視圖。

system-view

b.     進入接口視圖。

interface interface-type interface-number

c.     配置本端口為本地鏡像組的目的端口。

mirroring-group group-id monitor-port

缺省情況下，未配置當前端口為本地鏡像組的目的端口。

1.3  配置二層遠程端口鏡像（RSPAN）

1.3.1  配置限製和指導

二層遠程端口鏡像的配置需要分別在源設備和目的設備上進行；如果存在中間設備，則需要在中間設備上允許遠程鏡像VLAN通過，以確保源設備與目的設備之間的二層網絡暢通。

請先配置目的設備，再配中間設備，最後配源設備，以保證鏡像流量的正常轉發。

在鏡像報文從源設備到達目的設備的過程中，VLAN ID不被修改或刪除，否則二層遠程鏡像功能將失效。

在配置二層遠程端口鏡像時建議關閉MVRP（Multiple VLAN Registration Protocol，多VLAN注冊協議）功能，否則MVRP可能將遠程鏡像VLAN注冊到不需要監控的端口上，導致目的端口收到不必要的報文。有關MVRP的詳細介紹，請參見“二層技術-以太網交換配置指導”中的“MVRP”。

在一個鏡像組中對同一個端口收發的報文進行雙向鏡像時，需要在源設備、中間設備和目的設備上關閉遠程鏡像VLAN的MAC地址學習功能，以保證鏡像功能的正常進行。關於MAC地址學習功能的詳細介紹，請參見“二層技術-以太網交換配置指導”中的“MAC地址表”。

1.3.2  出端口方式二層遠程端口鏡像配置任務簡介

1. 配置目的設備

目的設備配置任務如下：

(1)     創建遠程目的鏡像組

(2)     配置目的端口

(3)     配置遠程鏡像VLAN

(4)     將目的端口加入遠程鏡像VLAN

2. 配置源設備

源設備配置任務如下：

(1)     創建遠程源鏡像組

(2)     配置鏡像源

請選擇以下一項任務進行配置：

¡     配置源端口

¡     配置源VLAN

¡     配置源CPU

(3)     配置出端口

(4)     配置遠程鏡像VLAN

1.3.3  創建遠程目的鏡像組

1. 配置限製和指導

僅目的設備需要進行本配置。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     創建遠程目的鏡像組。

mirroring-group group-id remote-destination

1.3.4  配置目的端口

1. 配置限製和指導

僅目的設備需要進行本配置。

不能在目的端口上開啟生成樹協議，否則會影響鏡像功能的正常使用。

當二層聚合接口作為目的端口時，請勿將其成員端口配置為源端口，否則會影響鏡像功能的正常使用。

當二層聚合接口作為目的端口時，請勿將其成員端口加入源VLAN，否則會影響鏡像功能的正常使用。

從目的端口發出的報文包括鏡像報文和其他端口正常轉發來的報文。為了保證數據監測設備隻對鏡像報文進行分析，請將目的端口隻用於端口鏡像，不作其他用途。

一個目的端口隻能加入一個鏡像組。

2. 在係統視圖下配置目的端口

(1)     進入係統視圖。

system-view

(2)     為遠程目的鏡像組配置目的端口。

mirroring-group group-id monitor-port interface-list

缺省情況下，未為遠程鏡像組配置目的端口。

3. 在接口視圖下配置目的端口

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     配置本端口為遠程目的鏡像組的目的端口。

mirroring-group group-id monitor-port

缺省情況下，未配置當前端口為遠程鏡像組的目的端口。

1.3.5  配置遠程鏡像VLAN

1. 配置限製和指導

源設備和目的設備都需要進行本配置。

源設備和目的設備上的遠程鏡像組必須使用相同的遠程鏡像VLAN。

遠程鏡像VLAN必須是已創建的靜態VLAN。

當VLAN被指定為遠程鏡像VLAN後，該VLAN不能再作其他用途。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     為遠程目的鏡像組配置遠程鏡像VLAN。

mirroring-group group-id remote-probe vlan vlan-id

缺省情況下，未為遠程鏡像組配置遠程鏡像VLAN。

1.3.6  將目的端口加入遠程鏡像VLAN

1. 配置限製和指導

僅目的設備需要進行本配置。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入目的接口視圖。

interface interface-type interface-number

(3)     將目的端口加入遠程鏡像VLAN。

¡     將Access類型的目的端口加入遠程鏡像VLAN。

port access vlan vlan-id

¡     將Trunk類型的目的端口加入遠程鏡像VLAN。

port trunk permit vlan vlan-id

¡     將Hybrid類型的目的端口加入遠程鏡像VLAN。

port hybrid vlan vlan-id { tagged | untagged }

有關port access vlan、port trunk permit vlan和port hybrid vlan命令的詳細介紹，請參見“二層技術-以太網交換命令參考”中的“VLAN”。

1.3.7  創建遠程源鏡像組

1. 配置限製和指導

僅源設備需要進行本配置。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     創建遠程源鏡像組。

mirroring-group group-id remote-source

1.3.8  配置鏡像源

1. 配置限製和指導

僅源設備需要配置鏡像源。

配置源端口時，需要注意的是：

·     不能將源端口加入到遠程鏡像VLAN中，否則會影響鏡像功能的正常使用。

·     一個鏡像組內可以配置多個源端口。

·     一個源端口無論作為單向源端口還是雙向源端口，都隻能加入一個鏡像組。

·     源端口不能用作出端口或目的端口。

設備不支持以主控板的CPU作為源CPU。

配置源VLAN時，需要注意的是：

·     一個鏡像組內可以配置多個源VLAN。

·     一個VLAN隻能配置為一個鏡像組的源VLAN。

配置源CPU時，一個鏡像組內可以配置多個源CPU。

2. 配置源端口

·     在係統視圖下配置源端口。

a.     進入係統視圖。

system-view

b.     為遠程源鏡像組配置源端口。

mirroring-group group-id mirroring-port interface-list { both | inbound | outbound }

缺省情況下，未為遠程鏡像組配置源端口。

·     在接口視圖下配置源端口。

a.     進入係統視圖。

system-view

b.     進入接口視圖。

interface interface-type interface-number

c.     配置本端口為遠程源鏡像組的源端口。

mirroring-group group-id mirroring-port { both | inbound | outbound }

缺省情況下，未配置當前端口為遠程鏡像組的源端口。

3. 配置源VLAN

(1)     進入係統視圖。

system-view

(2)     為遠程源鏡像組配置源VLAN。

mirroring-group group-id mirroring-vlan vlan-list { both | inbound | outbound }

缺省情況下，未為遠程鏡像組配置源VLAN。

4. 配置源CPU

(1)     進入係統視圖。

system-view

(2)     為本地鏡像組配置源CPU。

（獨立運行模式）

mirroring-group group-id mirroring-cpu slot slot-number-list { both | inbound | outbound }

（IRF模式）

mirroring-group group-id mirroring-cpu chassis chassis-number slot slot-number-list { both | inbound | outbound }

缺省情況下，未為遠程鏡像組配置源CPU。

1.3.9  配置出端口

1. 配置限製和指導

僅源設備需要進行本配置。

不能在出端口上配置生成樹協議、802.1X、IGMP Snooping、靜態ARP和MAC地址學習，否則會影響鏡像功能的正常使用。

根據不同的鏡像源，配置出端口時，需要注意：

·     如果鏡像源是源端口，則出端口必須是源端口所在slot上的接口。

·     如果鏡像源是源CPU，則出端口必須是源CPU所在slot上的接口。

出端口不能是現有鏡像組的成員端口。

一個鏡像組內隻能配置一個出端口。

2. 在係統視圖下配置出端口

(1)     進入係統視圖。

system-view

(2)     為遠程源鏡像組配置出端口。

mirroring-group group-id monitor-egress interface-type interface-number

缺省情況下，未為遠程源鏡像組配置出端口。

(3)     進入出端口接口視圖。

interface interface-type interface-number

(4)     將出端口加入遠程鏡像VLAN。

¡     將Trunk類型的出端口加入遠程鏡像VLAN。

port trunk permit vlan vlan-id

¡     將Hybrid類型的出端口加入遠程鏡像VLAN。

port hybrid vlan vlan-id { tagged | untagged }

有關port trunk permit vlan和port hybrid vlan命令的詳細介紹，請參見“二層技術-以太網交換命令參考”中的“VLAN”。

3. 在接口視圖下配置出端口

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     配置本端口為遠程源鏡像組的出端口。

mirroring-group group-id monitor-egress

缺省情況下，未配置本端口為遠程源鏡像組的出端口。

1.4  配置三層遠程端口鏡像（配置封裝參數方式ERSPAN）

1.4.1  配置限製和指導

配置封裝參數方式ERSPAN僅需在源設備上進行；同時所有設備上需配置單播路由協議，以確保設備之間的三層網絡暢通。

在源設備上先創建一個本地鏡像組，然後為該鏡像組配置源端口（或源CPU）和目的端口。

不能將源端口和目的端口加入到源VLAN中，否則會影響鏡像功能的正常使用。

配置封裝參數方式ERSPAN，鏡像到監控設備的報文為封裝後的報文，僅監控設備支持解封裝時，才可以解析鏡像的原始報文。

1.4.2  配置任務簡介

源設備配置任務如下：

(1)     創建本地鏡像組

(2)     配置鏡像源

請選擇以下一項任務進行配置：

¡     配置源端口

¡     配置源VLAN

¡     配置源CPU

(3)     配置鏡像目的

1.4.3  創建本地鏡像組

(1)     進入係統視圖。

system-view

(2)     創建本地鏡像組。

mirroring-group group-id local

缺省情況下，未創建本地鏡像組。

1.4.4  配置鏡像源

1. 配置限製和指導

配置源端口時，需要注意的是：

·     一個端口隻能被一個鏡像組用作源端口。

·     源端口不能用作反射端口、出端口或目的端口。

配置源VLAN時，需要注意的是：

·     源VLAN內所有端口上收發的該VLAN內的報文都可以被監控。

·     在源設備上，待監控端口所在的VLAN為源VLAN。

·     一個VLAN隻能配置為一個鏡像組的源VLAN。

·     一個鏡像組內可以配置多個源VLAN。

配置源CPU時需要注意，一個鏡像組內可以配置多個源CPU。

2. 配置源端口

·     在係統視圖下配置源端口。

a.     進入係統視圖。

system-view

b.     為本地鏡像組配置源端口。

mirroring-group group-id mirroring-port interface-list { both | inbound | outbound }

缺省情況下，未為本地鏡像組配置源端口。

·     在接口視圖下配置源端口。

a.     進入係統視圖。

system-view

b.     進入接口視圖。

interface interface-type interface-number

c.     配置本端口為本地鏡像組的源端口。

mirroring-group group-id mirroring-port { both | inbound | outbound }

缺省情況下，未配置當前端口為本地鏡像組的源端口。

3. 配置源VLAN

(1)     進入係統視圖。

system-view

(2)     為本地鏡像組配置源VLAN。

mirroring-group group-id mirroring-vlan vlan-list { both | inbound | outbound }

缺省情況下，未為本地鏡像組配置源VLAN。

4. 配置源CPU

(1)     進入係統視圖。

system-view

(2)     為本地鏡像組配置源CPU。

（獨立運行模式）

mirroring-group group-id mirroring-cpu slot slot-number-list { both | inbound | outbound }

（IRF模式）

mirroring-group group-id mirroring-cpu chassis chassis-number slot slot-number-list { both | inbound | outbound }

缺省情況下，未為本地鏡像組配置源CPU。

1.4.5  配置鏡像目的

1. 配置限製和指導

不能在目的端口上開啟生成樹協議，否則會影響鏡像功能的正常使用。

從目的端口發出的報文包括鏡像報文和其他端口正常轉發來的報文。為了保證數據監測設備隻對鏡像報文進行分析，請將目的端口隻用於端口鏡像，不作其他用途。

2. 配置步驟

·     在係統視圖下配置目的端口。

a.     進入係統視圖。

system-view

b.     為本地鏡像組配置目的端口。

mirroring-group group-id monitor-port interface-list { destination-ip destination-ip-address source-ip source-ip-address| destination-ipv6 destination-ipv6-address source-ipv6 source-ipv6-address } [ dscp dscp-value | vlan vlan-id | vrf-instance vrf-name ] * [ destination-mac mac-address ] | destination-mac mac-address

缺省情況下，未為遠程鏡像組配置目的端口。

·     在接口視圖下配置目的端口。

a.     進入係統視圖。

system-view

b.     進入接口視圖。

interface interface-type interface-number

c.     配置本端口為本地鏡像組的目的端口。

mirroring-group group-id monitor-port { destination-ip destination-ip-address source-ip source-ip-address | destination-ipv6 destination-ipv6-address source-ipv6 source-ipv6-address } [ dscp dscp-value | vlan vlan-id | vrf-instance vrf-name ] * [ destination-mac mac-address ] | destination-mac mac-address

缺省情況下，未配置當前端口為鏡像組的目的端口。

1.5  端口鏡像顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置後鏡像組的運行情況，通過查看顯示信息驗證配置的效果。

表1-1 端口鏡像顯示和維護

操作	命令
顯示鏡像組的配置信息	display mirroring-group { group-id | all | local | remote-destination | remote-source }

 

1.6  端口鏡像典型配置舉例

1.6.1  本地端口鏡像配置舉例（源端口方式SPAN）

1. 組網需求

Device通過端口Ten-GigabitEthernet3/0/1和Ten-GigabitEthernet3/0/2分別連接市場部和技術部，並通過端口Ten-GigabitEthernet3/0/3連接Server。

通過配置源端口方式的本地端口鏡像，使Server可以監控所有進、出市場部和技術部的報文。

2. 組網圖

圖1-4 本地端口鏡像配置組網圖

‌

3. 配置步驟

# 創建本地鏡像組1。

<Device> system-view

[Device] mirroring-group 1 local

# 配置本地鏡像組1的源端口為Ten-GigabitEthernet3/0/1和Ten-GigabitEthernet3/0/2，對源端口收發的報文都進行鏡像，目的端口為Ten-GigabitEthernet3/0/3。

[Device] mirroring-group 1 mirroring-port ten-gigabitethernet 3/0/1 ten-gigabitethernet 3/0/2 both

[Device] mirroring-group 1 monitor-port ten-gigabitethernet 3/0/3

# 在目的端口Ten-GigabitEthernet3/0/3上關閉生成樹協議。

[Device] interface ten-gigabitethernet 3/0/3

[Device-Ten-GigabitEthernet3/0/3] undo stp enable

[Device-Ten-GigabitEthernet3/0/3] quit

4. 驗證配置

# 顯示所有鏡像組的配置信息。

[Device] display mirroring-group all

Mirroring group 1:

    Type: Local

    Status: Active

    Mirroring port:

        Ten-GigabitEthernet3/0/1  Both

        Ten-GigabitEthernet3/0/2  Both

    Monitor port: Ten-GigabitEthernet3/0/3

配置完成後，用戶可以通過Server監控所有進、出市場部和技術部的報文。

1.6.2  本地端口鏡像配置舉例（源VLAN方式SPAN）

1. 組網需求

Device通過端口Ten-GigabitEthernet3/0/1和Ten-GigabitEthernet3/0/2分別連接市場部和技術部，且Ten-GigabitEthernet3/0/1和Ten-GigabitEthernet3/0/2都屬於VLAN 2，並通過端口Ten-GigabitEthernet3/0/3連接Server。

通過配置源VLAN方式的本地端口鏡像，使Server可以監控所有進、出市場部和技術部的報文。

2. 組網圖

圖1-5 本地端口鏡像配置組網圖

‌

3. 配置步驟

# 創建本地鏡像組1。

<Device> system-view

[Device] mirroring-group 1 local

# 創建VLAN 2，並將端口Ten-GigabitEthernet3/0/1和Ten-GigabitEthernet3/0/2加入VLAN 2。

[Device] vlan 2

[Device-vlan2] port ten-gigabitethernet 3/0/1 ten-gigabitethernet 3/0/2

[Device-vlan2] quit

# 配置本地鏡像組1的源VLAN為VLAN 2，目的端口為Ten-GigabitEthernet3/0/3。

[Device] mirroring-group 1 mirroring-vlan 2 both

[Device] mirroring-group 1 monitor-port ten-gigabitethernet 3/0/3

# 在目的端口Ten-GigabitEthernet3/0/3上關閉生成樹協議。

[Device] interface ten-gigabitethernet 3/0/3

[Device-Ten-GigabitEthernet3/0/3] undo stp enable

[Device-Ten-GigabitEthernet3/0/3] quit

4. 驗證配置

# 顯示所有鏡像組的配置信息。

[Device] display mirroring-group all

Mirroring group 1:

    Type: Local

    Status: Active

    Mirroring VLAN:

        2  Both

    Monitor port: Ten-GigabitEthernet3/0/3

配置完成後，用戶可以通過Server監控所有進、出市場部和技術部的報文。

1.6.3  本地端口鏡像配置舉例（源CPU方式SPAN）

1. 組網需求

Device通過位於其1號槽位單板上的端口Ten-GigabitEthernet3/0/1和Ten-GigabitEthernet3/0/2分別連接市場部和技術部，並通過端口Ten-GigabitEthernet3/0/3連接Server。

通過配置源CPU方式的本地端口鏡像，使Server可以監控所有進、出市場部和技術部的，且需要經Device slot1的CPU處理的報文。

2. 組網圖

圖1-6 本地端口鏡像配置組網圖

‌

3. 配置步驟

# 創建本地鏡像組1。

<Device> system-view

[Device] mirroring-group 1 local

# 配置本地鏡像組1的源CPU為位於slot1上的CPU，目的端口為Ten-GigabitEthernet3/0/3。

[Device] mirroring-group 1 mirroring-cpu slot 1 both

[Device] mirroring-group 1 monitor-port ten-gigabitethernet 3/0/3

# 在目的端口Ten-GigabitEthernet3/0/3上關閉生成樹協議。

[Device] interface ten-gigabitethernet 3/0/3

[Device-Ten-GigabitEthernet3/0/3] undo stp enable

[Device-Ten-GigabitEthernet3/0/3] quit

4. 驗證配置

# 顯示所有鏡像組的配置信息。

[Device] display mirroring-group all

Mirroring group 1:

    Type: Local

    Status: Active

    Mirroring CPU:

        Slot 1  Both

    Monitor port: Ten-GigabitEthernet3/0/3

配置完成後，用戶可以通過Server監控所有進、出市場部和技術部的，且需要經Device A的slot1上CPU處理的報文。

1.6.4  二層遠程端口鏡像配置舉例（出端口方式RSPAN）

1. 組網需求

在一個二層網絡中，Device A、Device B、Device C及Server如下圖所示連接。其中，Device A通過端口Ten-GigabitEthernet3/0/1連接市場部。

通過配置二層遠程端口鏡像，使Server可以監控所有進、出市場部的報文。

2. 組網圖

圖1-7 二層遠程端口鏡像配置組網圖

‌

3. 配置步驟

(1)     配置Device C

# 配置端口Ten-GigabitEthernet3/0/1為Trunk口，並允許VLAN 2的報文通過。

<DeviceC> system-view

[DeviceC] interface ten-gigabitethernet 3/0/1

[DeviceC-Ten-GigabitEthernet3/0/1] port link-type trunk

[DeviceC-Ten-GigabitEthernet3/0/1] port trunk permit vlan 2

[DeviceC-Ten-GigabitEthernet3/0/1] quit

# 創建遠程目的鏡像組2。

[DeviceC] mirroring-group 2 remote-destination

# 創建VLAN 2作為遠程鏡像VLAN。

[DeviceC] vlan 2

# 關閉VLAN 2的MAC地址學習功能。

[DeviceC-vlan2] undo mac-address mac-learning enable

[DeviceC-vlan2] quit

# 配置遠程目的鏡像組2的遠程鏡像VLAN為VLAN 2，目的端口為Ten-GigabitEthernet3/0/2，在該端口上關閉生成樹協議並將其加入VLAN 2。

[DeviceC] mirroring-group 2 remote-probe vlan 2

[DeviceC] interface ten-gigabitethernet 3/0/2

[DeviceC-Ten-GigabitEthernet3/0/2] mirroring-group 2 monitor-port

[DeviceC-Ten-GigabitEthernet3/0/2] undo stp enable

[DeviceC-Ten-GigabitEthernet3/0/2] port access vlan 2

[DeviceC-Ten-GigabitEthernet3/0/2] quit

(2)     配置Device B

# 創建VLAN 2作為遠程鏡像VLAN。

<DeviceB> system-view

[DeviceB] vlan 2

# 關閉VLAN 2的MAC地址學習功能。

[DeviceB-vlan2] undo mac-address mac-learning enable

[DeviceB-vlan2] quit

# 配置端口Ten-GigabitEthernet3/0/1為Trunk口，並允許VLAN 2的報文通過。

[DeviceB] interface ten-gigabitethernet 3/0/1

[DeviceB-Ten-GigabitEthernet3/0/1] port link-type trunk

[DeviceB-Ten-GigabitEthernet3/0/1] port trunk permit vlan 2

[DeviceB-Ten-GigabitEthernet3/0/1] quit

# 配置端口Ten-GigabitEthernet3/0/2為Trunk口，並允許VLAN 2的報文通過。

[DeviceB] interface ten-gigabitethernet 3/0/2

[DeviceB-Ten-GigabitEthernet3/0/2] port link-type trunk

[DeviceB-Ten-GigabitEthernet3/0/2] port trunk permit vlan 2

[DeviceB-Ten-GigabitEthernet3/0/2] quit

(3)     配置Device A

# 創建遠程源鏡像組1。

<DeviceA> system-view

[DeviceA] mirroring-group 1 remote-source

# 創建VLAN 2作為遠程鏡像VLAN。

[DeviceA] vlan 2

# 關閉VLAN 2的MAC地址學習功能。

[DeviceA-vlan2] undo mac-address mac-learning enable

[DeviceA-vlan2] quit

# 配置遠程源鏡像組1的遠程鏡像VLAN為VLAN 2，源端口為Ten-GigabitEthernet3/0/1，出端口為Ten-GigabitEthernet3/0/2。

[DeviceA] mirroring-group 1 remote-probe vlan 2

[DeviceA] mirroring-group 1 mirroring-port ten-gigabitethernet 3/0/1 both

[DeviceA] mirroring-group 1 monitor-egress ten-gigabitethernet 3/0/2

# 配置端口Ten-GigabitEthernet3/0/2為Trunk口，允許VLAN 2的報文通過，並在該端口上關閉生成樹協議。

[DeviceA] interface ten-gigabitethernet 3/0/2

[DeviceA-Ten-GigabitEthernet3/0/2] port link-type trunk

[DeviceA-Ten-GigabitEthernet3/0/2] port trunk permit vlan 2

[DeviceA-Ten-GigabitEthernet3/0/2] undo stp enable

[DeviceA-Ten-GigabitEthernet3/0/2] quit

4. 驗證配置

# 顯示Device C上所有鏡像組的配置信息。

[DeviceC] display mirroring-group all

Mirroring group 2:

    Type: Remote destination

    Status: Active

    Monitor port: Ten-GigabitEthernet3/0/2

    Remote probe VLAN: 2

# 顯示Device A上所有鏡像組的配置信息。

[DeviceA] display mirroring-group all

Mirroring group 1:

    Type: Remote source

    Status: Active

    Mirroring port:

        Ten-GigabitEthernet3/0/1  Both

    Monitor egress port: Ten-GigabitEthernet3/0/2

    Remote probe VLAN: 2

配置完成後，用戶可以通過Server監控所有進、出市場部的報文。

1.6.5  三層遠程端口鏡像配置舉例（配置封裝參數方式ERSPAN）

1. 組網需求

在一個三層網絡中，Device A、Device B、Device C及Server如下圖所示連接。其中，Device A通過端口Ten-GigabitEthernet3/0/1連接市場部。

通過配置封裝參數方式三層遠程端口鏡像，使得Server可以通過由Device C轉發過來的鏡像報文監控所有進、出市場部的報文。

2. 組網圖

圖1-8 配置封裝參數方式三層遠程端口鏡像配置組網圖

‌

3. 配置步驟

(1)     配置IP地址

請按照圖1-8配置各接口的IP地址和子網掩碼，具體配置過程略。

(2)     配置Device A

# 配置OSPF協議。

[DeviceA] ospf 1

[DeviceA-ospf-1] area 0

[DeviceA-ospf-1-area-0.0.0.0] network 10.1.1.0 0.0.0.255

[DeviceA-ospf-1-area-0.0.0.0] network 20.1.1.0 0.0.0.255

[DeviceA-ospf-1-area-0.0.0.0] quit

[DeviceA-ospf-1] quit

# 創建本地鏡像組1。

[DeviceA] mirroring-group 1 local

# 配置本地鏡像組1的源端口為Ten-GigabitEthernet3/0/1，目的端口為Ten-GigabitEthernet3/0/2，鏡像報文的目的IP地址為40.1.1.2，源IP地址為20.1.1.1。

[DeviceA] mirroring-group 1 mirroring-port ten-gigabitethernet 3/0/1 both

[DeviceA] mirroring-group 1 monitor-port ten-gigabitethernet 3/0/2 destination-ip 40.1.1.2 source-ip 20.1.1.1

(3)     配置Device B

# 配置OSPF協議。

<DeviceB> system-view

[DeviceB] ospf 1

[DeviceB-ospf-1] area 0

[DeviceB-ospf-1-area-0.0.0.0] network 20.1.1.0 0.0.0.255

[DeviceB-ospf-1-area-0.0.0.0] network 30.1.1.0 0.0.0.255

[DeviceB-ospf-1-area-0.0.0.0] quit

[DeviceB-ospf-1] quit

(4)     配置Device C

# 配置OSPF協議。

[DeviceC] ospf 1

[DeviceC-ospf-1] area 0

[DeviceC-ospf-1-area-0.0.0.0] network 30.1.1.0 0.0.0.255

[DeviceC-ospf-1-area-0.0.0.0] network 40.1.1.0 0.0.0.255

[DeviceC-ospf-1-area-0.0.0.0] quit

[DeviceC-ospf-1] quit

4. 驗證配置

# 顯示Device A上所有鏡像組的配置信息。

[DeviceA] display mirroring-group all

Mirroring group 1:

    Type: Local

    Status: Active

    Mirroring port:

        Ten-GigabitEthernet3/0/1  Both

    Monitor port: Ten-GigabitEthernet3/0/2

                  Encapsulation: Destination IP address 40.1.1.2

                                 Source IP address 20.1.1.1

                                 Destination MAC address 000f-e241-5e5b

配置完成後，用戶可以通過Server監控所有進、出市場部的報文。