端口镜像原理与配置

1、端口镜像原理与配置课程目标：l 了解端口镜像的概念和分类l 掌握交换机和路由器端口镜像的基本配置目 录第1章 端口镜像的概念11.1 端口镜像概述11.2 端口镜像的分类21.2.1 基于端口的镜像31.2.2 基于流的镜像41.3 路由器配置端口镜像的注意事项4第2章 基于端口的镜像基本配置72.1 交换机基于端口的镜像72.1.1 交换机基于端口的镜像基本配置72.1.2 交换机基于端口的镜像配置实例72.2 低端路由器基于端口的镜像92.2.1 低端路由器基于端口的镜像基本配置92.2.2 低端路由器基于端口的镜像配置实例102.3 高端路由器基于端口的镜像112.3.1 高端路由器基于

2、端口的镜像基本配置112.3.2 高端路由器基于端口的镜像配置实例112.4 端口镜像的维护与诊断13第3章 基于流的镜像基本配置143.1 交换机基于流的镜像143.1.1 交换机基于流的镜像基本配置143.1.2 交换机基于流的镜像配置实例143.2 路由器基于流的镜像163.2.1 路由器基于流的镜像基本配置163.2.2 路由器基于流的镜像配置实例16第1章 端口镜像的概念& 知识点l 端口镜像的基本概念。l 端口镜像的分类。l 路由器配置端口镜像的注意事项。1.1 端口镜像概述端口镜像是指将交换机或路由器上一个或多个端口（被镜像端口）的数据复制到一个指定的目的端口（监控端口）上，通过

3、镜像可以在监控端口上获取这些被镜像端口的数据，以便进行网络流量分析、错误诊断等。被监控流量所在端口称为源端口，监控端口称为目的端口，目的端口直接与网络分析器相连。如Error! Reference source not found.所示，箭头表示PC-A到PC-B的数据流，箭头表示PC-B到PC-A的数据流。两种数据流都通过端口镜像到监控端口，由网络监控分析器进行分析和诊断。图1.11 端口镜像的概念ZXR10数据设备端口镜像应遵循规则：1最多可支持8组端口镜像，每组最多可支持8个被镜像端口。2在一块接口板中，最多只能配置一组端口镜像。3支持跨接口板的端口镜像，即被镜像端口、监控端口可以在不同

4、接口板上，此时交换机上最多只能配置一组端口镜像。4可以只监控被镜像端口发送的数据，或只监控被镜像端口接收的数据。1.2 端口镜像的分类端口镜像可以从功能、镜像模式和工作范围等方面进行分类。按照功能划分，端口镜像模块分为两种类型：l基于端口的镜像端口镜像就是将被监控端口上的数据复制到指定的监控端口，对数据进行分析和监视。在基于端口的镜像模式下，如果源端口和目的端口类型相同，则不用改变链路层封装，直接使用原数据包的链路层转发；若不同，则将原来链路层以上的内容进行二次封装，使用目的接口的链路层封装。l基于流的镜像流镜像就是将匹配访问控制列表规则的业务流复制到指定的监控端口，用于报文的分析和监视。在流

5、镜像模式下，由于只对网络层的内容进行镜像，原数据链路层不再被使用，直接使用目的端口的封装类型。按照镜像模式划分，端口镜像分为：lMirror模式把监控流量的副本发送到目的端口进行分析，对原流量不产生任何影响。lRedirect模式把监控流量本身发送到目的端口进行分析，导致原流量不能到达原目的地。按照工作范围划分，端口镜像可分为：l本地镜像源端口和目的端口在同一个路由器上。l远程镜像（基于GRE封装的端口镜像）源端口和目的端口分布在不同的路由器上，镜像流量经过GRE封装后可以实现跨路由器传输。端口镜像的处理过程大体可以划分为以下步骤：1数据包采集l基于端口的镜像，则连同数据链路层一起采集。l基于

6、流的镜像，则只采集到经过ACL过滤后的网络层的数据包。2数据包复制l在Mirror镜像模式下，采集到的数据包要复制一份，转发到镜像端口。l在Redirect镜像模式下，采样到的流量被直接送到监控端口，而不再进行原转发处理。3镜像包转发1.2.1 基于端口的镜像基于端口的镜像是把被镜像端口的进出数据报文完全拷贝一份到镜像端口，这样来进行流量观测或者故障定位。如Error! Reference source not found.所示，ZXR10 以太网交换机及ZXR10 T600/T1200的2.8.21.B.21.P2及以后版本支持多对一的镜像，即将多个端口的报文复制到一个监控端口上。图1.21

7、 基于端口的镜像1.2.2 基于流的镜像基于流镜像的交换机针对某些流进行镜像，每个连接都有两个方向的数据流，对于交换机来说，可以将这两个数据流分开进行镜像。如Error! Reference source not found.所示，一台交换机或路由器只支持配置一个监控端口。图1.22 基于流的镜像1.3 路由器配置端口镜像的注意事项l高端路由器目前只有ZXR10 T600/T1200的V2.8.21.B.21.P2以及其后的版本支持端口镜像，低端路由器中ZXR10 ZSR支持端口镜像。l最多可支持8组端口镜像会话，每组可支持88个镜像源端口。l目前高端路由器仅支持以太接口的镜像，镜像目的端口需

8、为以太实接口，低端路由器ZXR10 ZSR支持从PPP接口镜像到以太接口。l镜像目的端口只能作为镜像流量发送端口使用，不能再配置其他任何业务。l发送方向流量的镜像仅支持镜像源与目的端口在同一接口板的情况。l控制平面的报文镜像仅支持NPCIX线卡接收方向的情况。lVPLS，VPWS流量不支持端口镜像。l目前仅支持本地镜像，不支持远程镜像。l在转发过程中需要被丢弃的报文在镜像时即使配置了ACL也不再受ACL规则控制。l同时对发送和接收方向流量进行镜像时，ACL只能应用在其中一个方向。l路由器的线卡性能有限，当线卡承载大流量数据转发时，需谨慎使用端口镜像功能。第2章 基于端口的镜像基本配置& 知识点

9、l 基于端口的镜像基本配置及配置实例。2.1 交换机基于端口的镜像2.1.1 交换机基于端口的镜像基本配置交换机基于端口镜像的基本配置如下：1创建一个会话ZXR10(config)#monitor session 命令中为会话号，范围为18。2进入接口配置模式，设置被镜像端口及数据流方向ZXR10(config)#interface ZXR10(config-if)#monitor session source direction both | tx | rx其中：ldirection：配置源端口流量采集方向。lboth：配置源端口流量采集方向是入向和出向。ltx：配置源端口流量采集方向是出向

10、。lrx：配置源端口流量采集方向是入向。3设置监控端口ZXR10(config-if)#monitor session desination2.1.2 交换机基于端口的镜像配置实例如Error! Reference source not found.所示，接口fei_1/1与fei_1/2在同一个VLAN中，PC1与PC2为同一网段，接口fei_1/3连接PC3，且与fei_1/1、fei_1/2不在同一VLAN。现在PC1上长时间ping PC2，将揭开fei_1/1作为被镜像口，接口fei_1/3作为镜像口，在PC3上对fei_1/1上的数据包进行镜像抓包。图2.11 交换机基于端口的镜像

11、配置实例具体配置：ZXR10(config)#interface fei_1/1ZXR10(config-if)#switchport access vlan 10ZXR10(config-if)#switchport qinq normalZXR10(config-if)#monitor session 1 source direction bothZXR10(config-if)#exitZXR10(config)#interface fei_1/2ZXR10(config-if)#switchport access vlan 10ZXR10(config-if)#switchport q

12、inq normalZXR10(config-if)#exitZXR10(config)#interface fei_1/3ZXR10(config-if)#switchport access vlan 1ZXR10(config-if)#switchport qinq normalZXR10(config-if)#monitor session 1 destination显示端口镜像配置与状态：ZXR10(config)#show monitor session allSession 1-Source Ports: Port: fei_1/1 Monitor Direction: bothD

13、estination Port: Port: fei_1/32.2 低端路由器基于端口的镜像2.2.1 低端路由器基于端口的镜像基本配置低端路由器基于端口镜像的基本配置如下：1启用或停用端口镜像功能ZXR10(config)#monitor on | off2配置镜像模式ZXR10(config)#monitor session source destination mode redirect | mirror命令中为会话号，范围为18。3使能或者停止会话ZXR10(config)#monitor session enable | disable4配置会话目的端口的镜像MAC地址（用于镜像源端

14、口是非以太网类型）ZXR10(config)#monitor encapsulation mac-address 5配置GRE协议兼容cisco的erspan类型ZXR10(config)#monitor encapsulation cisco-erspan6配置镜像包为以太网类型ZXR10(config)#monitor encapsulation ether-type7强迫PPP-IP类型封装为IPoE类型，非PPP-IP类型封装为PPPoE类型ZXR10(config)#monitor encapsulation ppp-to-ethernet8在Mirror模式下，支持对指定截断长度数

15、据包的镜像ZXR10(config)#monitor session source destination mode mirror truncate-len 2.2.2 低端路由器基于端口的镜像配置实例如Error! Reference source not found.所示，接口fei_1/1与fei_1/2为路由器上两个端口，fei_1/1属于192.168.0.0网段，fei_1/2属于10.0.0.0网段。现在PC1上长时间ping PC2，接口fei_1/1作为被镜像口，接口fei_1/3作为镜像口，在PC3上对接口fei_1/1上的数据包进行镜像抓包。图2.21 低端路由器基于端口

16、的镜像配置实例具体配置：ZXR10(config)#interface fei_1/1ZXR10(config-if)#ip address 192.168.0.2 255.255.255.0ZXR10(config-if)#exitZXR10(config)#interface fei_1/2ZXR10(config-if)#ip address 10.0.0.2 255.255.255.0ZXR10(config-if)#exitZXR10(config)#interface fei_1/3ZXR10(config-if)#ip address 10.1.1.2 255.255.255.0

17、ZXR10(config-if)#exitZXR10(config)#monitor onZXR10(config)#monitor session 1 source fei_1/1 destination fei_1/3 mode mirror2.3 高端路由器基于端口的镜像2.3.1 高端路由器基于端口的镜像基本配置高端路由器基于端口镜像的基本配置如下：1启用镜像功能ZXR10(config)#monitor session enable | disable命令中为会话号，范围为18。2创建会话并加入镜像源、目的端口ZXR10(config)#monitor session source

18、direction tx | rx | both destination 其中：ldirection：配置源端口流量采集方向。lboth：配置源端口流量采集方向是入向和出向。ltx：配置源端口流量采集方向是出向。lrx：配置源端口流量采集方向是入向。2.3.2 高端路由器基于端口的镜像配置实例如Error! Reference source not found.所示，接口fei_1/1与fei_1/2为路由器上两个端口，fei_1/1属于192.168.0.0网段，fei_1/2属于10.0.0.0网段。现在PC1上长时间ping PC2，接口fei_1/1作为被镜像口，接口fei_1/3作为

19、镜像口，在PC3上对接口fei_1/1上的数据包进行镜像抓包。图2.31 高端路由器基于端口的镜像配置实例具体配置：ZXR10(config)#interface fei_1/1ZXR10(config-if)#ip address 192.168.0.2 255.255.255.0ZXR10(config-if)#exitZXR10(config)#interface fei_1/2ZXR10(config-if)#ip address 10.0.0.2 255.255.255.0ZXR10(config-if)#exitZXR10(config)#interface fei_1/3ZXR1

20、0(config-if)#ip address 10.1.1.2 255.255.255.0ZXR10(config-if)#exitZXR10(config)#monitor session 1 enableZXR10(config)#monitor session 1 source fei_1/1 direction both destination fei_1/3显示端口镜像配置与状态：ZXR10(config)#show monitor session allSession 1-Source Ports:Port: fei_1/1 Monitor Direction: bothDest

21、ination Port:Port: fei_1/32.4 端口镜像的维护与诊断可以在除用户模式外所有模式下使用命令show monitor session detail | detail来显示用户配置的端口镜像会话的详细信息。第3章 基于流的镜像基本配置& 知识点l 基于流的镜像基本配置及配置实例。3.1 交换机基于流的镜像3.1.1 交换机基于流的镜像基本配置交换机基于流镜像的基本配置如下：ZXR10(config)#traffic-mirror in | rule-id cpu | interface其中，为ACL中的规则号，范围1100；cpu为配置流镜像到CPU；interface为

22、配置流镜像到端口。3.1.2 交换机基于流的镜像配置实例如Error! Reference source not found.所示，接口fei_1/1和fei_1/2在同一个VLAN中，PC1和PC3、PC2和PC4分别在同一网段；接口fei_1/3连接PC5，且与fei_1/1、fei_1/2不在同一VLAN。现在PC1和PC2上分别ping PC3和PC4。接口fei_1/3作为镜像口，在PC5上对PC1到PC3的数据流进行镜像抓包。图3.11 交换机基于流的镜像配置实例具体配置：ZXR10(config)#acl basic number 1 ZXR10(config-basic-acl

23、)#rule 1 permit 192.168.0.0 0.0.0.0ZXR10(config-basic-acl)#rule 2 permit 192.168.1.0 0.0.0.0ZXR10(config-basic-acl)#exitZXR10(config)#traffic-mirror in 1 rule-id 1 interfaceZXR10(config)#interface fei_1/1ZXR10(config-if)#ip access-group 1 inZXR10(config-if)#switchport access vlan 10ZXR10(config-if)#

24、switchport qinq normalZXR10(config-if)#exitZXR10(config)#interface fei_1/2ZXR10(config-if)#switchport access vlan 10ZXR10(config-if)#switchport qinq normalZXR10(config-if)#exitZXR10(config)#interface fei_1/3ZXR10(config-if)#switchport access vlan 1ZXR10(config-if)#switchport qinq normalZXR10(config-

25、if)#monitor session 1 destination查看流镜像配置：ZXR10(config)#show acl acl basic number 1 rule 1 permit 192.168.0.0 0.0.0.0 rule 2 permit 192.168.1.0 0.0.0.0ZXR10(config)#show qostraffic-mirror in 1 rule-id 1 interfaceZXR10(config)#show monitor session 1Session 1-Source Ports:Destination Port: Port: fei_1/

26、33.2 路由器基于流的镜像3.2.1 路由器基于流的镜像基本配置路由器基于流镜像的基本配置如下：ZXR10(config)#monitor session source direction tx | rx | both acl in | out destination 3.2.2 路由器基于流的镜像配置实例如Error! Reference source not found.所示，路由器R1上接入PC1和PC2的两个网段，R2上接入PC3和PC4的两个网段。现在PC1与PC2同时ping PC3，R2上的接口fei_1/3作为镜像口，接口fei_1/1作为被镜像口，在PC4上只对PC1到PC

27、3的数据流进行镜像抓包。图3.21 路由器基于流镜像的配置实例R1具体配置：ZXR10(config)#interface fei_1/1ZXR10(config-if)#ip address 192.168.0.2 255.255.255.0ZXR10(config-if)#exitZXR10(config)#interface fei_1/2ZXR10(config-if)#ip address 10.1.1.2 255.255.255.0ZXR10(config-if)#exitZXR10(config)#interface fei_1/3ZXR10(config-if)#ip address 188.0.0.1 255.255.255.0ZXR10(config-if)#exitZXR10(config)#router o