端口镜像——配置原理篇

镜像是指将通过指定端口（镜像端口）或者指定VLAN（镜像VLAN）的报文复制一份到另外一个指定端口（观察端口），而后转发到网络监控设备，供网络管理员进行网络监控与故障管理。

看官们能够经过下面的这张图了解下镜像具体的工做机制，以及须要注意的地方。

那么镜像在网络维护中具体能作些什么呢？

1、故障定位

在系统运行过程当中，可能因为系统软件处理异常、网络设备硬件故障、计算机病毒或用户不正常使用等缘由形成网络上流量异常或产生错误报文。为了在不影响系统运行的状况下对网络上的报文进行分析，以定位故障产生的缘由，这时候就可使用镜像。

2、业务可视

为了更好的理解企业内部业务流量模型, 在网络汇聚或核心交换机上，对业务流量进行镜像，以便在不影响正常业务的状况下，使企业各种应用清晰可视。 好比说, 多少用户在上班时间访问QQ； 员工访问公司内部服务器的访问量排名状况。

3、入侵检测

为了发现各类攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性, 在企业的上行接口，将全部出入的流量镜像到一个IDS服务器上，进行实时分析。好比外部访问公司服务器的访问量激增，分析一下这些是否是属于攻击报文等。

另外，要特别说明一下，江湖就要有江湖的规矩，坏了规矩，就会招致整个武林的一致声讨。因此，虽然镜像功能如此的强大，可是在华为S系列交换机上用的是时候，请谨记：

该功能主要用于网络检测和故障管理，可能涉及使用我的用户某些通讯内容。华为公司没法单方采集或存储用户通讯内

容。建议您只有在所适用法律法规容许的目的和范围内方可启用相应的功能。在使用、存储用户通讯内容的过程当中，您应采起足够的措施以确保用户的通讯内容受到严格保护。

好了，看官们如今了解到镜像强大的威力以后，那咱们下面就来看看华为S系列交换机哪些不一样方式的镜像功能。

功能 定义 产品支持状况 端口镜像 将指定端口（镜像端口）的报文复制到观察端口。 全支持 流镜像 将指定类型的报文复制到观察端口。 全支持 VLAN镜像 将指定VLAN（镜像VLAN）的报文复制到观察端口。 框式交换机和S5720HI不支持 MAC镜像 将指定MAC地址的报文复制到观察端口。

框式交换机和S5720HI不支持

如何配置？

不管上述的哪一种方式，主要配置下面两步：

一、建立观察端口。不一样的场景能够选择不一样的命令，如表所示。

场景	对应配置命令
观察端口与监控设备直连，本地镜像。	observe-port [ <observe-port-index> ] <interfaceinterface-type interface-number>
观察端口与监控设备经过中间二层网络相连，二层远程镜像。	observe-port [ <observe-port-index> ] <interfaceinterface-type interface-number> vlan <vlan-id>
观察端口与监控设备经过中间三层网络相连，三层远程镜像。（仅框式交换机支持）	observe-port [ <observe-port-index> ] <interfaceinterface-type interface-number> destination-ip <dest-ip-address> source-ip <source-ip-address> [ dscp <dscp-value> | vlan <vlan-id> ] *

PS：若是须要将报文复制到多个观察端口，能够将上面的命令执行屡次，或者配置观察端口组进行批量配置。

二、将指定的报文镜像到观察端口。不一样的镜像方式对应有不一样的命令，如表所示。

镜像方式	镜像方式
端口镜像	port-mirroring to observe-port <observe-port-index> { both | inbound | outbound }
流镜像	基于MQC：mirroring to observe-port <observe-port-index>基于ACL：traffic-mirror
VLAN镜像	mirroring to observe-port <observe-port-index> inbound
MAC镜像	mac-mirroring mac-address to observe-port <observe-port-index> inbound

PS：both | inbound | outbound分别表示镜像设备双向（接收和发送两个方向）/入方向（接收方向）/出方向（发送方向）的报文。

下面小编再经过简单的组网环境演示一下咱们经常使用的二层远程端口镜像是如何配置的吧。

如图所示，员工A与DNS服务器在同一个VLAN，经过二层网络通讯，如今监控PC经过在SwitchA配置的二层远程端口镜像，来监控员工A访问DNS服务器的记录。

一、具体每台交换机上的配置以下：

l SwitchA的配置文件

#

sysname SwitchA

#

vlan batch 10 20   //VLAN10为用户VLAN，VLAN20用于转发镜像报文

#

observe-port 1 interface GigabitEthernet0/0/1 vlan 20  //配置GE0/0/1为二层远程观察端口，

用的观察端口索引为1，远程镜像VLAN为VLAN20，复制的报文会经过GE0/0/1向VLAN20转发

#

interface GigabitEthernet0/0/1   //观察端口不须要加入VLAN20，上面的配置已实现镜像报文经过GE0/0/1向VLAN20转发

#

interface GigabitEthernet0/0/2

port link-type access

port default vlan 10    //端口加入VLAN，员工A与DNS之间通讯

port-mirroring to observe-port 1 inbound  //将GE0/0/2入方向的报文（即接收到的员工A发送的报文）镜像到观察端口1（即GE0/0/1）

#

interface GigabitEthernet0/0/3

port link-type access

port default vlan 10   //端口加入VLAN，员工A与DNS之间通讯

l SwitchB的配置文件

#

sysname SwitchB

#

vlan batch 20  //用于转发镜像报文到监控PC

#

interface GigabitEthernet0/0/1

port link-type trunk

port trunk allow-pass vlan 20  //端口加入VLAN，用于转发镜像报文到监控PC

#

interface GigabitEthernet0/0/2

port link-type access

port default vlan 20  //端口加入VLAN，用于转发镜像报文到监控PC

二、在SwitchA查看端口镜像的配置状况：

三、 检查员工A与DNS服务器间通讯的报文是否镜像到监控PC：

先在监控PC上启用抓包工具，而后在员工A的PC上向DNS服务器发个ping报文。最后经过抓包工具抓取报文。

能够发现抓取到了源地址为员工A地址、目的地址为监控PC地址的ping报文。