镜像快速配置指南

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

本文档中的信息可能变动，恕不另行通知。

目  录

1 本地端口镜像

1.1 简介

1.2 组网需求

1.3 配置注意事项

1.4 配置步骤

1.5 验证配置

1.6 配置文件

1.7 相关资料

2 本地端口镜像（1：1）快速配置指南

2.1 简介

2.2 组网需求

2.3 配置注意事项

2.4 配置步骤

2.5 验证配置

2.6 配置文件

2.7 相关资料

3 本地端口镜像（1：N）快速配置指南

3.1 简介

3.2 组网需求

3.3 配置注意事项

3.4 配置步骤

3.5 验证配置

3.6 配置文件

3.7 相关资料

4 本地端口镜像（M：N）快速配置指南

4.1 简介

4.2 组网需求

4.3 配置注意事项

4.4 配置步骤

4.5 验证配置

4.6 配置文件

4.7 相关资料

5 利用远程镜像VLAN实现本地镜像支持多目的端口配置

5.1 简介

5.2 组网需求

5.3 配置注意事项

5.4 配置步骤

5.5 验证配置

5.6 配置文件

5.7 相关资料

6 出端口方式二层远程端口镜像

6.1 简介

6.2 组网需求

6.3 配置注意事项

6.4 配置步骤

6.5 验证配置

6.6 配置文件

6.7 相关资料

7 反射端口方式二层远程端口镜像

7.1 简介

7.2 组网需求

7.3 配置注意事项

7.4 配置步骤

7.5 验证配置

7.6 配置文件

7.7 相关资料

8 配置封装参数方式三层远程端口镜像

8.1 简介

8.2 组网需求

8.3 配置注意事项

8.4 配置步骤

8.5 验证配置

8.6 配置文件

8.7 相关资料

9 本地流镜像快速配置指南

9.1 简介

9.2 组网需求

9.3 配置步骤

9.4 验证配置

9.5 配置文件

9.6 相关资料

 

1  本地端口镜像

1.1  简介

本案例介绍本地端口镜像的配置方法。

1.2  组网需求

某公司内部各部门使用不同网段的IP地址，其中研发部使用10.1.1.0/24网段，市场部使用12.1.1.0/24网段。现要求通过配置本地端口镜像功能，使用数据监测设备对研发部和市场部访问Internet的流量以及两个部门之间互访的流量进行监控。

图1 本地端口镜像配置组网图

 

1.3  配置注意事项

·     本地镜像组需要配置源端口、目的端口才能生效。其中目的端口不能是现有镜像组的成员端口。

·     目的端口收到的报文包括复制自源端口的报文和来自其他端口的正常转发报文。为了保证数据监测设备只对源端口的报文进行分析，请将目的端口只用于端口镜像，不作其他用途。

1.4  配置步骤

# 配置GigabitEthernet1/0/1接口IP地址为10.1.1.1/24，连接研发部设备。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] port link-mode route

[DeviceA-GigabitEthernet1/0/1] ip address 10.1.1.1 24

[DeviceA-GigabitEthernet1/0/1] quit

# 配置GigabitEthernet1/0/2接口IP地址为12.1.1.1/24，连接市场部设备。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/2

[DeviceA-GigabitEthernet1/0/2] port link-mode route

[DeviceA-GigabitEthernet1/0/2] ip address 12.1.1.1 24

[DeviceA-GigabitEthernet1/0/2] quit

# 配置GigabitEthernet1/0/4接口IP地址为56.56.56.5/24。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/4

[DeviceA-GigabitEthernet1/0/4] port link-mode route

[DeviceA-GigabitEthernet1/0/4] ip address 56.56.56.5 24

[DeviceA-GigabitEthernet1/0/4] quit

# 创建本地镜像组。

[DeviceA] mirroring-group 1 local

# 将GigabitEthernet1/0/1和GigabitEthernet1/0/2配置为镜像源端口，对这两个端口接收的报文进行镜像。

[DeviceA] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 gigabitethernet 1/0/2 inbound

# 将GigabitEthernet1/0/3配置为镜像目的端口。

[DeviceA] mirroring-group 1 monitor-port gigabitethernet 1/0/3

# 关闭目的端口GigabitEthernet1/0/3上的生成树协议。

[DeviceA] interface gigabitethernet 1/0/3

[DeviceA-GigabitEthernet1/0/3] undo stp enable

[DeviceA-GigabitEthernet1/0/3] quit

1.5  验证配置

# 在完成上述配置后，在Device A上显示镜像组1的配置信息。

[DeviceA] display mirroring-group 1

Mirroring group 1:

    Type: Local

    Status: Active

    Mirroring port:

        GigabitEthernet1/0/1  Inbound

        GigabitEthernet1/0/2  Inbound

    Monitor port: GigabitEthernet1/0/3

# 以研发部某台主机10.1.1.2通过ping方式访问56.56.56.6为例，进行镜像测试，数据监测设备的抓包数据如图2所示。本例以Wireshark网络封包分析软件的显示为例。

图2 Wireshark的抓包数据

 

以上抓包信息表明，配置的本地镜像功能生效，数据监测设备可以成功对需要监控的流量进行监控。

1.6  配置文件

#

 mirroring-group 1 local

#

interface GigabitEthernet1/0/1

 port link-mode route

 ip address 10.1.1.1 255.255.255.0

 mirroring-group 1 mirroring-port inbound

#

interface GigabitEthernet1/0/2

 port link-mode route

 ip address 12.1.1.1 255.255.255.0

 mirroring-group 1 mirroring-port inbound

#

interface GigabitEthernet1/0/3

 port link-mode bridge

 undo stp enable

 mirroring-group 1 monitor-port

#

interface GigabitEthernet1/0/4

 port link-mode route

 ip address 56.56.56.5 255.255.255.0

#

1.7  相关资料

·     产品配套“网络管理和监控配置指导”中的“镜像”。

·     产品配套“网络管理和监控命令参考”中的“镜像”。

 

2  本地端口镜像（1：1）快速配置指南

2.1  简介

本案例介绍1:1本地端口镜像的配置方法。1:1镜像是指将单个镜像端口的报文复制到单个观察端口。

2.2  组网需求

研发部使用GigabitEthernet1/0/1端口接入Device，现要求通过镜像功能，使数据检测设备Server能够对研发部发送和接收的报文进行镜像。

图3 1:1本地端口镜像配置组网图

 

2.3  配置注意事项

·     本地镜像组需要配置源端口、目的端口才能生效。其中目的端口不能是现有镜像组的成员端口。

·     目的端口收到的报文包括复制自源端口的报文和来自其他端口的正常转发报文。为了保证数据监测设备只对源端口的报文进行分析，请将目的端口只用于端口镜像，不作其他用途。

2.4  配置步骤

# 创建本地镜像组1。

<Device> system-view

[Device] mirroring-group 1 local

# 配置本地镜像组1的源端口为GigabitEthernet1/0/1，对源端口收发的报文进行镜像，目的端口为GigabitEthernet1/0/2。

[Device] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 both

[Device] mirroring-group 1 monitor-port gigabitethernet 1/0/2

# 在目的端口GigabitEthernet1/0/2上关闭生成树协议。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] undo stp enable

[Device-GigabitEthernet1/0/2] quit

2.5  验证配置

# 显示所有镜像组的配置信息。

<Device> display mirroring-group all

Mirroring group 1:

    Type: Local

    Status: Active

    Mirroring port:

        GigabitEthernet1/0/1  Both

    Monitor port: GigabitEthernet1/0/2

配置完成后，用户可以通过Server监控所有进、出研发部的报文。

2.6  配置文件

#

 mirroring-group 1 local

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 mirroring-group 1 mirroring-port both

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 undo stp enable

 mirroring-group 1 monitor-port

#

2.7  相关资料

·     产品配套“网络管理和监控配置指导”中的“镜像”。

·     产品配套“网络管理和监控命令参考”中的“镜像”。

 

3  本地端口镜像（1：N）快速配置指南

3.1  简介

本案例介绍1:N本地端口镜像的配置方法。1:N镜像是指将单个镜像端口的报文复制到N个不同的观察端口。

3.2  组网需求

研发部使用GigabitEthernet1/0/1端口接入Device，现要求通过镜像功能，使不同的数据检测设备ServerA、ServerB、ServerC能够对分别研发部发送和接收的报文进行监控分析。

图4 1:N本地端口镜像配置组网图

 

3.3  配置注意事项

·     本地镜像组需要配置源端口、目的端口才能生效。其中目的端口不能是现有镜像组的成员端口。

·     目的端口收到的报文包括复制自源端口的报文和来自其他端口的正常转发报文。为了保证数据监测设备只对源端口的报文进行分析，请将目的端口只用于端口镜像，不作其他用途。

3.4  配置步骤

# 创建本地镜像组1。

<Device> system-view

[Device] mirroring-group 1 local

# 配置本地镜像组1的源端口为GigabitEthernet1/0/1，对源端口收发的报文进行镜像，目的端口为GigabitEthernet1/0/2、GigabitEthernet1/0/3、GigabitEthernet1/0/4。

[Device] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 both

[Device] mirroring-group 1 monitor-port gigabitethernet 1/0/2 to gigabitethernet 1/0/4

# 在目的端口GigabitEthernet1/0/2、GigabitEthernet1/0/3、GigabitEthernet1/0/4上关闭生成树协议。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] undo stp enable

[Device-GigabitEthernet1/0/2] quit

[Device] interface gigabitethernet 1/0/3

[Device-GigabitEthernet1/0/3] undo stp enable

[Device-GigabitEthernet1/0/3] quit

[Device] interface gigabitethernet 1/0/4

[Device-GigabitEthernet1/0/4] undo stp enable

[Device-GigabitEthernet1/0/4] quit

3.5  验证配置

# 显示所有镜像组的配置信息。

<Device> display mirroring-group all

Mirroring group 1:

    Type: Local

    Status: Active

    Mirroring port:

        GigabitEthernet1/0/1  Both

    Monitor port: GigabitEthernet1/0/2

                  GigabitEthernet1/0/3

                  GigabitEthernet1/0/4

配置完成后，用户可以通过ServerA、ServerB、ServerC分别监控所有进、出研发部的报文。

3.6  配置文件

#

 mirroring-group 1 local

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 mirroring-group 1 mirroring-port both

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 undo stp enable

 mirroring-group 1 monitor-port

#

interface GigabitEthernet1/0/3

 port link-mode bridge

 undo stp enable

 mirroring-group 1 monitor-port

#

interface GigabitEthernet1/0/4

 port link-mode bridge

 undo stp enable

 mirroring-group 1 monitor-port

#

3.7  相关资料

·     产品配套“网络管理和监控配置指导”中的“镜像”。

·     产品配套“网络管理和监控命令参考”中的“镜像”。

 

4  本地端口镜像（M：N）快速配置指南

4.1  简介

本案例介绍M:N本地端口镜像的配置方法。M:N镜像是指将M个镜像端口的报文复制到N个不同的观察端口。

4.2  组网需求

市场部和研发部分别使用GigabitEthernet1/0/1、GigabitEthernet1/0/2端口接入Device，现要求通过镜像功能，使不同的数据检测设备ServerA、ServerB、ServerC能够对分别市场部、研发部发送和接收的报文进行监控分析。

图5 M:N本地端口镜像配置组网图

 

4.3  配置注意事项

·     本地镜像组需要配置源端口、目的端口才能生效。其中目的端口不能是现有镜像组的成员端口。

·     目的端口收到的报文包括复制自源端口的报文和来自其他端口的正常转发报文。为了保证数据监测设备只对源端口的报文进行分析，请将目的端口只用于端口镜像，不作其他用途。

4.4  配置步骤

# 创建本地镜像组1。

<Device> system-view

[Device] mirroring-group 1 local

# 配置本地镜像组1的源端口为GigabitEthernet1/0/1、GigabitEthernet1/0/2，对源端口收发的报文进行镜像，目的端口为GigabitEthernet1/0/3、GigabitEthernet1/0/4、GigabitEthernet1/0/5。

[Device] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 gigabitethernet 1/0/2 both

[Device] mirroring-group 1 monitor-port gigabitethernet 1/0/3 to gigabitethernet 1/0/5

# 在目的端口GigabitEthernet1/0/3、GigabitEthernet1/0/4、GigabitEthernet1/0/5上关闭生成树协议。

[Device] interface gigabitethernet 1/0/3

[Device-GigabitEthernet1/0/3] undo stp enable

[Device-GigabitEthernet1/0/3] quit

[Device] interface gigabitethernet 1/0/4

[Device-GigabitEthernet1/0/4] undo stp enable

[Device-GigabitEthernet1/0/4] quit

[Device] interface gigabitethernet 1/0/5

[Device-GigabitEthernet1/0/5] undo stp enable

[Device-GigabitEthernet1/0/5] quit

4.5  验证配置

# 显示所有镜像组的配置信息。

<Device> display mirroring-group all

Mirroring group 1:

    Type: Local

    Status: Active

    Mirroring port:

        GigabitEthernet1/0/1  Both

        GigabitEthernet1/0/2  Both

    Monitor port: GigabitEthernet1/0/3

                  GigabitEthernet1/0/4

                  GigabitEthernet1/0/5

配置完成后，用户可以通过ServerA、ServerB、ServerC分别监控所有进、出市场部和研发部的报文。

4.6  配置文件

#

 mirroring-group 1 local

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 mirroring-group 1 mirroring-port both

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 mirroring-group 1 mirroring-port both

#

interface GigabitEthernet1/0/3

 port link-mode bridge

 undo stp enable

 mirroring-group 1 monitor-port

#

interface GigabitEthernet1/0/4

 port link-mode bridge

 undo stp enable

 mirroring-group 1 monitor-port

#

interface GigabitEthernet1/0/5

 port link-mode bridge

 undo stp enable

 mirroring-group 1 monitor-port

#

4.7  相关资料

·     产品配套“网络管理和监控配置指导”中的“镜像”。

·     产品配套“网络管理和监控命令参考”中的“镜像”。

 

 

5  利用远程镜像VLAN实现本地镜像支持多目的端口配置

5.1  简介

本案例介绍利用远程镜像VLAN实现本地镜像支持多目的端口配置方法。

5.2  组网需求

研发部使用GigabitEthernet1/0/1端口接入Device，现要求通过镜像功能，使数据检测设备ServerA和ServerB都能够对研发部发送和接收的报文进行镜像。

图6 利用远程镜像VLAN实现本地镜像支持多目的端口组网图

 

5.3  配置注意事项

当一个VLAN已被指定为远程镜像VLAN后，请不要将该VLAN再作其他用途。

只能将已存在的静态VLAN配置为远程镜像VLAN，且一个VLAN只能配置为一个镜像组的远程镜像VLAN。

当某VLAN被配置为远程镜像VLAN后，必须先删除远程镜像VLAN的配置才能删除该VLAN。

5.4  配置步骤

# 创建业务VLAN2。

<Device> system-view

[Device] vlan 2

[Device-vlan2] quit

# 创建VLAN 2接口并配置IP地址。

[Device] interface vlan-interface 2

[Device-Vlan-interface2] ip address 10.1.1.1 24

[Device-Vlan-interface2] quit

# 创建VLAN 10作为远程镜像VLAN。

[Device] vlan 10

[Device-vlan10] quit

# 配置端口GigabitEthernet1/0/1的端口类型为Trunk端口，允许业务VLAN 2的报文通过。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] port link-type trunk

[Device-GigabitEthernet1/0/1] port trunk permit vlan 2

[Device-GigabitEthernet1/0/1] quit

# 创建远程源镜像组1。

<Device> system-view

[Device] mirroring-group 1 remote-source

# 将接入研发部的端口GigabitEthernet1/0/1配置为远程源镜像组1的源端口。

[Device] mirroring-group 1 mirroring-port gigabitethernet1/0/1 both

# 将设备上任意未使用的端口（此处以GigabitEthernet1/0/4为例）配置为镜像组1的反射口。

[Device] mirroring-group 1 reflector-port gigabitethernet1/0/4

This operation may delete all settings made on the interface. Continue? [Y/N]:y

# 将接入数据检测设备的端口加入VLAN10。

[Device] vlan 10

[Device-vlan10] port gigabitethernet1/0/2 to gigabitethernet1/0/3

[Device-vlan10] quit

# 配置VLAN10作为镜像组1的远程镜像VLAN。

[Device] mirroring-group 1 remote-probe vlan 10

5.5  验证配置

# 在完成上述配置后，在Device上显示镜像组1的配置信息。

[DeviceA] display mirroring-group all

Mirroring group 1:

    Type: Remote source

    Status: Active

    Mirroring port:

        GigabitEthernet1/0/1  Both

    Reflector port: GigabitEthernet1/0/4

    Remote probe VLAN: 10

5.6  配置文件

#

 mirroring-group 1 remote-source

 mirroring-group 1 remote-probe vlan 10

#

vlan 2

#

vlan 10

#

interface Vlan-interface2

 ip address 10.1.1.1 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 2

 mirroring-group 1 mirroring-port inbound

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 port access vlan 10

#

interface GigabitEthernet1/0/3

 port link-mode bridge

 port access vlan 10

#

interface GigabitEthernet1/0/4

 port link-mode bridge

 port access vlan 10

 mirroring-group 1 reflector-port

#

5.7  相关资料

·     产品配套“网络管理和监控配置指导”中的“镜像”。

·     产品配套“网络管理和监控命令参考”中的“镜像”。

 

6  出端口方式二层远程端口镜像

6.1  简介

本案例介绍出端口方式二层远程端口镜像的配置方法。

6.2  组网需求

某公司内部各部门通过二层网络连接到核心设备Device A，各部门使用不同网段的IP地址，其中研发部使用10.1.1.0/24网段，市场部使用12.1.1.0/24网段。现要求通过配置出端口方式二层远程端口镜像功能，使用数据监测设备对研发部发送的报文进行监控。

图7 出端口方式二层远程端口镜像组网图

 

6.3  配置注意事项

·     为确保源设备与目的设备之间的镜像报文可以二层转发，中间设备连接到源设备和目的设备方向的端口上需允许远程镜像VLAN通过。

·     建议用户先配目的设备，再配中间设备，最后配源设备，以保证镜像流量的正常转发。

配置远程端口镜像的目的设备和源设备时均需要注意：

·     配置远程镜像VLAN时：

¡     要求该VLAN为静态VLAN并预先创建。

¡     要求该VLAN不用做其他用途，仅用于远程镜像功能。

¡     要求该VLAN只能被一个远程源镜像组使用。

·     源设备和目的设备上的远程镜像组必须使用相同的远程镜像VLAN。

配置远程端口镜像的目的设备时需要注意：

·     目的端口不能是现有镜像组的成员端口。

·     目的端口不用做其他用途，仅用于端口镜像。

配置远程端口镜像的源设备时需要注意：

·     请不要将源端口加入到远程镜像VLAN中，否则会影响镜像功能的正常使用。

·     请不要在出端口上配置下列功能：生成树协议、802.1X、IGMP Snooping、静态ARP和MAC地址学习，否则会影响镜像功能的正常使用。

·     出端口不能是现有镜像组的成员端口。

·     一个镜像组内只能配置一个出端口。

·     源端口为三层接口时，只能通过配置出端口方式实现二层远程镜像。

6.4  配置步骤

1. Device A的配置（目的设备）

# 创建业务VLAN 2和VLAN 3。

<DeviceA> system-view

[DeviceA] vlan 2 to 3

# 创建VLAN 5作为远程镜像VLAN。

[DeviceA] vlan 5

[DeviceA-vlan5] quit

# 创建VLAN 2接口和VLAN 3接口并配置IP地址作为相应VLAN的网关。

[DeviceA] interface vlan-interface 2

[DeviceA-Vlan-interface2] ip address 10.1.1.1 24

[DeviceA-Vlan-interface2] quit

[DeviceA] interface vlan-interface 3

[DeviceA-Vlan-interface3] ip address 12.1.1.1 24

[DeviceA-Vlan-interface3] quit

# 配置端口GigabitEthernet1/0/1的端口类型为Trunk端口，允许业务VLAN 2、VLAN 3和镜像VLAN 5的报文通过。

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] port link-type trunk

[DeviceA-GigabitEthernet1/0/1] port trunk permit vlan 2 3 5

[DeviceA-GigabitEthernet1/0/1] quit

# 创建远程目的镜像组1。

[DeviceA] mirroring-group 1 remote-destination

# 为远程目的镜像组1配置远程镜像VLAN为VLAN 5，及配置连接数据监测设备的端口GigabitEthernet1/0/2为目的端口。

[DeviceA] mirroring-group 1 remote-probe vlan 5

[DeviceA] mirroring-group 1 monitor-port gigabitethernet 1/0/2

# 将镜像目的端口加入远程镜像VLAN。将镜像数据发送给监测设备时，不需要携带远程镜像VLAN的VLAN Tag，因此将该端口配置为Access端口。

[DeviceA] interface gigabitethernet 1/0/2

[DeviceA-GigabitEthernet1/0/2] port access vlan 5

# 关闭目的端口GigabitEthernet1/0/2上的生成树协议。

[DeviceA-GigabitEthernet1/0/2] undo stp enable

[DeviceA-GigabitEthernet1/0/2] quit

2. Device B的配置（中间设备）

# 创建业务VLAN 2和VLAN 3。

<DeviceB> system-view

[DeviceB] vlan 2 to 3

# 创建VLAN 5作为远程镜像VLAN。

[DeviceB] vlan 5

[DeviceB-vlan5] quit

# 配置端口GigabitEthernet1/0/1的端口类型为Trunk端口，允许业务VLAN 2、VLAN 3和镜像VLAN 5的报文通过。

[DeviceB] interface gigabitethernet 1/0/1

[DeviceB-GigabitEthernet1/0/1] port link-type trunk

[DeviceB-GigabitEthernet1/0/1] port trunk permit vlan 2 3 5

[DeviceB-GigabitEthernet1/0/1] quit

# 配置端口GigabitEthernet1/0/2的端口类型为Trunk端口，允许业务VLAN 2、VLAN 3和镜像VLAN 5的报文通过。

[DeviceB] interface gigabitethernet 1/0/2

[DeviceB-GigabitEthernet1/0/2] port link-type trunk

[DeviceB-GigabitEthernet1/0/2] port trunk permit vlan 2 3 5

[DeviceB-GigabitEthernet1/0/2] quit

3. Device C的配置（源设备）

# 创建业务VLAN 2和VLAN 3。

<DeviceC> system-view

[DeviceC] vlan 2 to 3

# 将端口GigabitEthernet1/0/1加入VLAN 2。

[DeviceC] interface gigabitethernet 1/0/1

[DeviceC-GigabitEthernet1/0/1] port access vlan 2

[DeviceC-GigabitEthernet1/0/1] quit

# 将端口GigabitEthernet1/0/2加入VLAN 3。

[DeviceC] interface gigabitethernet 1/0/2

[DeviceC-GigabitEthernet1/0/2] port access vlan 3

[DeviceC-GigabitEthernet1/0/2] quit

# 创建远程源镜像组1。

[DeviceC] mirroring-group 1 remote-source

# 创建VLAN 5作为远程镜像VLAN。

[DeviceC] vlan 5

[DeviceC-vlan5] quit

# 配置远程源镜像组1的远程镜像VLAN为VLAN 5，源端口为GigabitEthernet1/0/1，出端口为GigabitEthernet1/0/3。

[DeviceC] mirroring-group 1 remote-probe vlan 5

[DeviceC] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 inbound

[DeviceC] mirroring-group 1 monitor-egress gigabitethernet 1/0/3

# 配置端口GigabitEthernet1/0/3的端口类型为Trunk端口，允许业务VLAN 2、VLAN 3和镜像VLAN 5的报文通过。

[DeviceC] interface gigabitethernet 1/0/3

[DeviceC-GigabitEthernet1/0/3] port link-type trunk

[DeviceC-GigabitEthernet1/0/3] port trunk permit vlan 2 3 5

[DeviceC-GigabitEthernet1/0/3] quit

# 关闭出端口GigabitEthernet1/0/3上的生成树协议。

[DeviceC-GigabitEthernet1/0/3] undo stp enable

[DeviceC-GigabitEthernet1/0/3] quit

6.5  验证配置

# 在完成上述配置后，在DeviceC上显示镜像组1的配置信息。

[DeviceC] display mirroring-group 1

Mirroring group 1:

    Type: Remote source

    Status: Active

    Mirroring port:

        GigabitEthernet1/0/1  Inbound

    Monitor egress port: GigabitEthernet1/0/3

        Remote probe VLAN: 5

# 在DeviceA上显示镜像组1的配置信息。

[DeviceA] display mirroring-group 1

Mirroring group 1:

    Type: Remote destination

    Status: Active

    Monitor port: GigabitEthernet1/0/2

    Remote probe VLAN: 5

# 以研发部某台主机10.1.1.2通过ping方式访问市场部某台主机12.1.1.2为例，进行镜像测试，数据监测设备的抓包数据如图8所示。本例以Wireshark网络封包分析软件的显示为例。

图8 Wireshark的抓包数据

 

以上抓包信息表明，配置的二层远程端口镜像功能生效，数据监测设备可以成功对对研发部发送的报文进行监控。

6.6  配置文件

·     设备Device A：

#

 mirroring-group 1 remote-destination

 mirroring-group 1 remote-probe vlan 5

#

vlan 2 to 3

#

vlan 5

#

interface Vlan-interface2

 ip address 10.1.1.1 255.255.255.0

#

interface Vlan-interface3

 ip address 12.1.1.1 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 to 3 5

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 port access vlan 5

 undo stp enable

 mirroring-group 1 monitor-port

#

·     设备Device B：

#

vlan 2 to 3

#

vlan 5

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 to 3 5

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 to 3 5

#

·     设备Device C：

#

 mirroring-group 1 remote-source

 mirroring-group 1 remote-probe vlan 5

#

vlan 2 to 3

#

vlan 5

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 port access vlan 2

 mirroring-group 1 mirroring-port inbound

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 port access vlan 3

#

interface GigabitEthernet1/0/3

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 to 3 5

 mirroring-group 1 monitor-egress

#

6.7  相关资料

·     产品配套“网络管理和监控配置指导”中的“镜像”。

·     产品配套“网络管理和监控命令参考”中的“镜像”。

 

 

7  反射端口方式二层远程端口镜像

7.1  简介

本案例介绍反射端口方式二层远程端口镜像的配置方法。

7.2  组网需求

某公司市场部通过二层网络连接到核心设备Device A，使用10.1.1.0/24网段。现要求通过配置反射端口方式二层远程端口镜像功能，使用数据监测设备对市场部发送的报文进行监控。

图9 反射端口方式二层远程端口镜像组网图

 

7.3  配置注意事项

·     为确保源设备与目的设备之间的镜像报文可以二层转发，中间设备连接到源设备和目的设备方向的端口上需允许远程镜像VLAN通过。

·     建议用户先配目的设备，再配中间设备，最后配源设备，以保证镜像流量的正常转发。

配置远程端口镜像的目的设备和源设备时均需要注意：

·     配置远程镜像VLAN时：

¡     要求该VLAN为静态VLAN并预先创建。

¡     要求该VLAN不用做其他用途，仅用于远程镜像功能。

¡     要求该VLAN只能被一个远程源镜像组使用。

·     源设备和目的设备上的远程镜像组必须使用相同的远程镜像VLAN。

配置远程端口镜像的目的设备时需要注意：

·     目的端口不能是现有镜像组的成员端口。

·     目的端口不用做其他用途，仅用于端口镜像。

配置远程端口镜像的源设备时需要注意：

·     请不要将源端口加入到远程镜像VLAN中，否则会影响镜像功能的正常使用。

·     建议选择设备上未被使用的端口作为反射端口，并不要在该端口上连接网线，否则会影响镜像功能的正常使用。

·     在将端口配置为反射端口时，该端口上已存在的所有配置都将被清除；在配置为反射端口后，该端口上不能再配置其他业务。

·     当IRF端口只绑定了一个物理端口时，请勿将该物理端口配置为反射端口，以免IRF分裂。

7.4  配置步骤

1. Device A的配置（目的设备）

# 创建业务VLAN 2。

<DeviceA> system-view

[DeviceA] vlan 2

# 创建VLAN 5作为远程镜像VLAN。

[DeviceA] vlan 5

[DeviceA-vlan5] quit

# 创建VLAN 2接口并配置IP地址作为相应VLAN的网关。

[DeviceA] interface vlan-interface 2

[DeviceA-Vlan-interface2] ip address 10.1.1.1 24

[DeviceA-Vlan-interface2] quit

# 配置端口GigabitEthernet1/0/1的端口类型为Trunk端口，允许业务VLAN 2和镜像VLAN 5的报文通过。

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] port link-type trunk

[DeviceA-GigabitEthernet1/0/1] port trunk permit vlan 2 5

[DeviceA-GigabitEthernet1/0/1] quit

# 创建远程目的镜像组1。

[DeviceA] mirroring-group 1 remote-destination

# 为远程目的镜像组1配置远程镜像VLAN为VLAN 5，及配置连接数据监测设备的端口GigabitEthernet1/0/2为目的端口。

[DeviceA] mirroring-group 1 remote-probe vlan 5

[DeviceA] mirroring-group 1 monitor-port gigabitethernet 1/0/2

# 将镜像目的端口加入远程镜像VLAN。将镜像数据发送给监测设备时，不需要携带远程镜像VLAN的VLAN Tag，因此将该端口配置为Access端口。

[DeviceA] interface gigabitethernet 1/0/2

[DeviceA-GigabitEthernet1/0/2] port access vlan 5

# 关闭目的端口GigabitEthernet1/0/2上的生成树协议。

[DeviceA-GigabitEthernet1/0/2] undo stp enable

[DeviceA-GigabitEthernet1/0/2] quit

2. Device B的配置（中间设备）

# 创建业务VLAN 2。

<DeviceB> system-view

[DeviceB] vlan 2

# 创建VLAN 5作为远程镜像VLAN。

[DeviceB] vlan 5

[DeviceB-vlan5] quit

# 配置端口GigabitEthernet1/0/1的端口类型为Trunk端口，允许业务VLAN 2和镜像VLAN 5的报文通过。

[DeviceB] interface gigabitethernet 1/0/1

[DeviceB-GigabitEthernet1/0/1] port link-type trunk

[DeviceB-GigabitEthernet1/0/1] port trunk permit vlan 2 5

[DeviceB-GigabitEthernet1/0/1] quit

# 配置端口GigabitEthernet1/0/2的端口类型为Trunk端口，允许业务VLAN 2和镜像VLAN 5的报文通过。

[DeviceB] interface gigabitethernet 1/0/2

[DeviceB-GigabitEthernet1/0/2] port link-type trunk

[DeviceB-GigabitEthernet1/0/2] port trunk permit vlan 2 5

[DeviceB-GigabitEthernet1/0/2] quit

3. Device C的配置（源设备）

# 创建业务VLAN 2。

<DeviceC> system-view

[DeviceC] vlan 2

# 将端口GigabitEthernet1/0/1加入VLAN 2。

[DeviceC] interface gigabitethernet 1/0/1

[DeviceC-GigabitEthernet1/0/1] port access vlan 2

[DeviceC-GigabitEthernet1/0/1] quit

# 创建远程源镜像组1。

[DeviceC] mirroring-group 1 remote-source

# 创建VLAN 5作为远程镜像VLAN。

[DeviceC] vlan 5

[DeviceC-vlan5] quit

# 配置远程源镜像组1的远程镜像VLAN为VLAN 5，源端口为GigabitEthernet1/0/1，反射端口为GigabitEthernet1/0/2。

[DeviceC] mirroring-group 1 remote-probe vlan 5

[DeviceC] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 inbound

[DeviceC] mirroring-group 1 reflector-port gigabitethernet 1/0/2

# 配置端口GigabitEthernet1/0/3为Trunk口，并允许业务VLAN 2和镜像VLAN 5的报文通过。

[DeviceC] interface gigabitethernet 1/0/3

[DeviceC-GigabitEthernet1/0/3] port link-type trunk

[DeviceC-GigabitEthernet1/0/3] port trunk permit vlan 2

[DeviceC-GigabitEthernet1/0/3] quit

7.5  验证配置

# 显示Device A上所有镜像组的配置信息。

[DeviceA] display mirroring-group all

Mirroring group 1:

    Type: Remote destination

    Status: Active

    Monitor port: GigabitEthernet1/0/2

    Remote probe VLAN: 5

# 显示Device C上所有镜像组的配置信息。

[DeviceC] display mirroring-group all

Mirroring group 1:

    Type: Remote source

    Status: Active

    Mirroring port:

        GigabitEthernet1/0/1  inbound

    Reflector port: GigabitEthernet1/0/2

    Remote probe VLAN: 5

7.6  配置文件

·     设备Device A：

#

 mirroring-group 1 remote-destination

 mirroring-group 1 remote-probe vlan 5

#

vlan 2

#

vlan 5

#

interface Vlan-interface2

 ip address 10.1.1.1 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 to 2 5

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 port access vlan 5

 undo stp enable

 mirroring-group 1 monitor-port

#

·     设备Device B：

#

vlan 2

#

vlan 5

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 to 2 5

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 to 2 5

#

·     设备Device C：

#

 mirroring-group 1 remote-source

 mirroring-group 1 remote-probe vlan 5

#

vlan 2

#

vlan 5

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 port access vlan 2

 mirroring-group 1 mirroring-port inbound

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 mirroring-group 1 reflector-port

#

interface GigabitEthernet1/0/3

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 2 5

#

7.7  相关资料

·     产品配套“网络管理和监控配置指导”中的“镜像”。

·     产品配套“网络管理和监控命令参考”中的“镜像”。

 

8  配置封装参数方式三层远程端口镜像

8.1  简介

本案例介绍配置封装参数方式三层远程端口镜像的配置方法。

8.2  组网需求

某公司研发部使用10.1.1.1/24网段。现要求通过配置三层远程端口镜像功能，使用数据监测设备对研发部访问Internet的报文进行监控。

图10 三层远程端口镜像组网图

 

 

8.3  配置注意事项

如果源设备和目的设备之间存在中间设备，则需要在中间设备上配置单播路由协议，以确保源设备与目的设备之间的三层网络畅通。

8.4  配置步骤

1. Device A的配置

# 配置接口GigabitEthernet1/0/1的IP地址为10.1.1.1。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] port link-mode route

[DeviceA-GigabitEthernet1/0/1] ip address 10.1.1.1 24

[DeviceA-GigabitEthernet1/0/1] quit

# 配置接口GigabitEthernet1/0/2的IP地址为20.1.1.1。

[DeviceA] interface gigabitethernet 1/0/2

[DeviceA-GigabitEthernet1/0/2] port link-mode route

[DeviceA-GigabitEthernet1/0/2] ip address 20.1.1.1 24

[DeviceA-GigabitEthernet1/0/2] quit

# 配置接口GigabitEthernet1/0/3的IP地址为100.1.1.1。

[DeviceA] interface gigabitethernet 1/0/3

[DeviceA-GigabitEthernet1/0/3] port link-mode route

[DeviceA-GigabitEthernet1/0/3] ip address 100.1.1.1 24

[DeviceA-GigabitEthernet1/0/3] quit

# 配置OSPF协议。

<DeviceB> system-view

[DeviceB] ospf 1

[DeviceB-ospf-1] area 0

[DeviceB-ospf-1-area-0.0.0.0] network 10.1.1.0 0.0.0.255

[DeviceB-ospf-1-area-0.0.0.0] network 20.1.1.0 0.0.0.255

[DeviceB-ospf-1-area-0.0.0.0] quit

[DeviceB-ospf-1] quit

# 创建本地镜像组1。

[DeviceA] mirroring-group 1 local

# 为本地镜像组1配置源端口。

[DeviceA] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 inbound

# 为本地镜像组1配置目的端口及镜像报文的封装参数。

[DeviceA] mirroring-group 1 monitor-port gigabitethernet 1/0/2 destination-ip 40.1.1.2 source-ip 20.1.1.1

2. Device B的配置

# 配置接口GigabitEthernet1/0/1的IP地址为20.1.1.2。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] port link-mode route

[DeviceA-GigabitEthernet1/0/1] ip address 20.1.1.2 24

[DeviceA-GigabitEthernet1/0/1] quit

# 配置接口GigabitEthernet1/0/2的IP地址为40.1.1.1。

[DeviceA] interface gigabitethernet 1/0/2

[DeviceA-GigabitEthernet1/0/2] port link-mode route

[DeviceA-GigabitEthernet1/0/2] ip address 40.1.1.1 24

[DeviceA-GigabitEthernet1/0/2] quit

# 配置OSPF协议。

<DeviceB> system-view

[DeviceB] ospf 1

[DeviceB-ospf-1] area 0

[DeviceB-ospf-1-area-0.0.0.0] network 20.1.1.0 0.0.0.255

[DeviceB-ospf-1-area-0.0.0.0] network 40.1.1.0 0.0.0.255

[DeviceB-ospf-1-area-0.0.0.0] quit

[DeviceB-ospf-1] quit

8.5  验证配置

# 在完成上述配置后，在DeviceA上显示镜像组1的配置信息。

[DeviceA] display mirroring-group 1

Mirroring group 1:

    Type: Local

    Status: Active

    Mirroring port:

        GigabitEthernet1/0/1  Inbound

    Monitor port: GigabitEthernet1/0/2

                  Encapsulation: Destination IP address 40.1.1.2

                                 Source IP address 20.1.1.1

                                 Destination MAC address 1025-4125-412b

8.6  配置文件

·     设备Device A：

#

ospf 1

 area 0.0.0.0

  network 10.1.1.0 0.0.0.255

  network 20.1.1.0 0.0.0.255

#

interface GigabitEthernet1/0/1

 port link-mode route

 ip address 10.1.1.1 255.255.255.0

 mirroring-group 1 mirroring-port inbound

#

interface GigabitEthernet1/0/2

 port link-mode route

 ip address 20.1.1.1 255.255.255.0

 mirroring-group 1 monitor-port  destination-ip 40.1.1.2 source-ip 20.1.1.1

#

interface GigabitEthernet1/0/3

 port link-mode route

 ip address 100.1.1.1 255.255.255.0

#

·     设备Device B：

#

ospf 1

 area 0.0.0.0

  network 20.1.1.0 0.0.0.255

  network 40.1.1.0 0.0.0.255

#

interface GigabitEthernet1/0/1

 port link-mode route

 ip address 20.1.1.2 255.255.255.0

#

interface GigabitEthernet1/0/2

 port link-mode route

 ip address 40.1.1.1 255.255.255.0

#

8.7  相关资料

·     产品配套“网络管理和监控配置指导”中的“镜像”。

·     产品配套“网络管理和监控命令参考”中的“镜像”。

 

9  本地流镜像快速配置指南

9.1  简介

本案例介绍本地流镜像的配置方法。

9.2  组网需求

某公司研发部使用10.1.1.0/24网段,现要求通过配置本地流镜像功能，使用数据监测设备对研发部主机访问互联网的WWW流量进行监控。

图11 本地流镜像组网示意图

 

9.3  配置步骤

# 配置GigabitEthernet1/0/1接口IP地址为10.1.1.0/24，连接研发部设备。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] port link-mode route

[Device-GigabitEthernet1/0/1] ip address 10.1.1.0 24

[Device-GigabitEthernet1/0/1] quit

#定义对研发部上网流量进行镜像的QoS策略，创建ACL 3000，匹配研发部的上网流量。

[Device] acl number 3000

[Device-acl-adv-3000] rule permit tcp destination-port eq www source 10.1.1.0 0.0.0.255

[Device-acl-adv-3000] quit

# 创建流分类classifier_research，匹配ACL 3000。

[Device] traffic classifier classifier_research

[Device-classifier-classifier_research] if-match acl 3000

[Device-classifier-classifier_research] quit

# 定义流行为behavior_research，动作为镜像至端口GigabitEthernet1/0/2。

[Device] traffic behavior behavior_research

[Device-behavior-behavior_research] mirror-to interface gigabitethernet 1/0/2

[Device-behavior-behavior_research] quit

# 定义策略policy_research，为类classifier_research指定流行为behavior_research。

[Device] qos policy policy_research

[Device-qospolicy-policy_research] classifier classifier_research behavior behavior_research

[Device-qospolicy-policy_research] quit

# 将policy_research策略应用到GigabitEthernet1/0/1端口的入方向。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] qos apply policy policy_research inbound

[Device-GigabitEthernet1/0/1] quit

9.4  验证配置

# 在完成上述配置后，在Device上验证流镜像的配置信息。

[Device] display qos policy interface

  Interface: GigabitEthernet1/0/1

  Direction: Inbound

  Policy: policy_research

   Classifier: classifier_research

     Operator: AND

     Rule(s) :

      If-match acl 3000

     Behavior: behavior_research

      Mirroring:

        Mirror to the interface: GigabitEthernet1/0/2

9.5  配置文件

#

acl number 3000

 rule 0 permit tcp source 10.1.1.0 0.0.0.255 destination-port eq www

#

traffic classifier classifier_research operator and

 if-match acl 3000

#

traffic behavior behavior_research

 mirror-to interface GigabitEthernet1/0/2

#

qos policy policy_research

 classifier classifier_research behavior behavior_research

#

interface GigabitEthernet1/0/1

 port link-mode route

 ip address 10.1.1.0 0.0.0.255

 qos apply policy policy_research inbound

#

9.6  相关资料

·     产品配套“网络管理和监控配置指导”中的“镜像”。

·     产品配套“网络管理和监控命令参考”中的“镜像”。