1、端口镜像原理与配置,V1.1数据用服部,学习目标,了解端口镜像的概念和分类掌握交换机和路由器端口镜像的基本配置,学习内容,第一章 端口镜像的概念第二章 交换机和路由器端口镜像的基本配置,学习内容,第一章 端口镜像的概念 第一节 端口镜像的概念 第二节 端口镜像的分类 第三节 路由器镜像注意事项,什么是端口镜像？,PC-A,PC-B,端口镜像定义,端口镜像将交换机或路由器上一个或多个端口(被镜像端口)的数据复制到一个指定的目的端口(监控端口)上，通过镜像可以在监控端口上获取这些被镜像端口的数据，以便进行网络流量分析、错误诊断等。,学习内容,第一章 端口镜像的概念 第一节 端口镜像的概念 第二节
2、端口镜像的分类 第三节 路由器镜像注意事项,端口镜像的分类,基于端口的镜像端口镜像就是将被监控端口上的数据复制到指定的监控端口，对数据进行分析和监视。 基于流的镜像流镜像就是将匹配访问控制列表规则的业务流复制到指定的监控端口，用于报文的分析和监视。,基于端口的镜像,基于端口的镜像是把被镜像端口的进出数据报文完全拷贝一份到镜像端口，这样来进行流量观测或者故障定位。 以太网交换机及T600/T1200的2.8.21.B.21.P2及以后版本支持多对一的镜像，即将多个端口的报文复制到一个监控端口上。,被镜像口,镜像口,镜像数据,业务数据,被镜像口,镜像口,镜像数据,业务数据,基于流的镜像,基于流镜像
3、的交换机针对某些流进行镜像，每个连接都有两个方向的数据流，对于交换机来说这两个数据流可以分开镜像。一台交换机或路由器只支持配置一个监控端口。,Fei_1/1,Fei_1/2,数据流1 的镜像数据,数据流1的业务数据,数据流2的业务数据,Fei_1/1,Fei_1/2,学习内容,第一章 端口镜像的概念 第一节 端口镜像的概念 第二节 端口镜像的分类 第三节 路由器镜像注意事项,高端路由器目前只有T600/T1200的V2.8.21.B.21.P2以及其后的版本支持，低端路由器ZSR也支持镜像；最多可支持8组端口镜像会话，每组可支持88个镜像源端口；目前高端路由器仅支持以太接口的镜像 ，镜像目的端
4、口需为以太实接口，低端路由器ZSR支持从PPP接口镜像到以太接口 ；镜像目的端口只能作为镜像流量发送端口使用，不能再配置其他任何业务； tx方向流量的镜像仅支持镜像源与目的端口同板的情况；控制平面的报文镜像仅支持NPCIX线卡rx方向的情况；VPLS，VPWS流量不支持镜像；目前仅支持本地镜像，不支持远程镜像；在转发过程中需要被丢弃的报文在镜像时即使配置了ACL也不再受ACL规则控制；同时镜像rx和tx方向流量时，ACL只能应用在其中一个方向；在下行发送时no arp后上送的包不支持镜像； 线卡性能有限，当线卡承载大流量数据转发时，需谨慎使用端口镜像功能。,路由器端口镜像注意事项,学习内容,第
5、二章 端口镜像的基本配置 第一节 基于端口镜像的基本配置 第二节 基于端口镜像的配置案例 第三节 基于流镜像的基本配置 第四节 基于流镜像的配置案例,交换机基于端口镜像的基本配置,创建一个会话 (全局配置) monitor session 向会话条目添加源或目的端口(接口配置) monitor session destination | source direction both | tx | rx ,路由器基于端口镜像的基本配置,启用镜像功能 (全局配置) monitor session enable/disable创建会话并加入镜像源、目的端口(全局配置) monitor session
6、source direction destination ,学习内容,第二章 端口镜像的基本配置 第一节 基于端口镜像的基本配置 第二节 基于端口镜像的配置案例 第三节 基于流镜像的基本配置 第四节 基于流镜像的配置案例,交换机基于端口镜像的配置案例(1),PC1192.168.0.1/24,PC2192.168.0.2/24,PC3,网络拓扑,Fei_1/1,Fei_1/3,Fei_1/2,交换机基于端口镜像的配置案例(2),组网说明接口fei_1/1与fei_1/2在同一个vlan，pc1与pc2为同一网段； fei_1/3接pc3，且与fei_1/1、fei_1/2不在同一vlan。在p
7、c1上长时间ping pc2。fei_1/1作为被镜像口，fei_1/3作为镜像口，在pc3上对fei_1/1上的数据包进行镜像抓包。,交换机基于端口镜像的配置案例(3),详细配置,interface fei_1/1 negotiation auto switchport access vlan 10 switchport qinq normal monitor session 1 source direction bothinterface fei_1/2 negotiation auto switchport access vlan 10 switchport qinq normalint
8、erface fei_1/3 negotiation auto switchport access vlan 1 switchport qinq normal monitor session 1 destination,交换机基于端口镜像的配置案例(4),显示端口镜像配置与状态,ZXR10(config)#show monitor session allSession 1-Source Ports: Port: fei_1/1 Monitor Direction: bothDestination Port: Port: fei_1/3,路由器基于端口镜像的配置案例(1),网络拓扑,PC1192
9、.168.0.1/24,PC210.0.0.1/24,PC3,Fei_1/1,Fei_1/3,Fei_1/2,10.1.1.1/24,路由器基于端口镜像的配置案例(2),组网说明接口fei_1/1与fei_1/2为路由器上两个端口，fei_1/1为192.168.0.0网段，fei_1/2为10.0.0.0网段。在pc1上长时间ping pc2。fei_1/1作为被镜像口，fei_1/3作为镜像口，在pc3上对fei_1/1上的数据包进行镜像抓包。,路由器基于端口镜像的配置案例(3),详细配置,Interface fei_1/1Ip address 192.168.0.2 255.255.25
10、5.0Interface fei_1/2Ip address 10.0.0.2 255.255.255.0Interface fei_1/3Ip address 10.1.1.2 255.255.255.0monitor session 1 enablemonitor session 1 source fei_1/1 direction both destination fei_1/3,路由器基于端口镜像的配置案例(4),显示端口镜像配置,Show monitor session allSession 1-Source Ports:Port: fei_1/1 Monitor Direction
11、: bothDestination Port:Port: fei_1/3,低端路由器基于端口镜像的配置案例(5),1端口镜像功能的启用和停用：monitor on | off 2配置镜像模式：monitor session source destination mode mirror|redirect 3会话的使能和停止管理：monitor session enable | disable4配置会话目的端口的镜像MAC地址(用于镜像源端口是非以太网类型)： monitor encapsulation mac-address 5配置grp协议兼容cisco的erspan类型： monitor e
12、ncapsulation cisco-erspan 6配置镜像包为以太网类型：monitor encapsulation ether-type 7强迫pppip类型封装为ipoe类型，非pppip类型封装为pppoe类型。 monitor encapsulation ppp-to-ethernet 8在Mirror模式下，支持对指定截断长度数据包的镜像 monitor session source destination mode mirror truncate-len ,低端路由器基于端口镜像的配置案例(6),以P21页图为例,Interface fei_1/1 Ip address 192
13、.168.0.2 255.255.255.0Interface fei_1/2 Ip address 10.0.0.2 255.255.255.0Interface fei_1/3 Ip address 10.1.1.2 255.255.255.0monitor on monitor session 1 source fei_1/1 destination fei_1/3 mode mirror,学习内容,第二章 端口镜像的基本配置 第一节 基于端口镜像的基本配置 第二节 基于端口镜像的配置案例 第三节 基于流镜像的基本配置 第四节 基于流镜像的配置案例,交换机基于流镜像的基本配置,流镜像配置
14、 (全局配置) traffic-mirror in rule-id cpu | interface ,路由器基于流镜像的基本配置,流镜像配置 (全局配置) monitor session source direction acl destination ,学习内容,第二章 端口镜像的基本配置 第一节 基于端口镜像的基本配置 第二节 基于端口镜像的配置案例 第三节 基于流镜像的基本配置 第四节 基于流镜像的配置案例,交换机基于流镜像的配置案例(1),网络拓扑,PC1192.168.0.1/24,PC3192.168.0.2/24,PC5,Fei_1/1,Fei_1/3,Fei_1/2,PC219
15、2.168.1.1/24,PC4192.168.1.2/24,交换机基于流镜像的配置案例(2),组网说明接口fei_1/1、fei_1/2在同一个vlan，pc1和pc3、pc2和pc4分别在同一网段；fei_1/3接pc5，且与fei_1/1、fei_1/2不在同一vlan。在pc1、pc2分别ping pc3、pc4。fei_1/3作为镜像口，在pc5上对pc1到pc3的数据流进行镜像抓包。,交换机基于流镜像的配置案例(3),详细配置,acl basic number 1 rule 1 permit 192.168.0.0 0.0.0.0 rule 2 permit 192.168.1.0
16、 0.0.0.0traffic-mirror in 1 rule-id 1 interface,interface fei_1/3 negotiation auto switchport access vlan 1 switchport qinq normal monitor session 1 destination,interface fei_1/1 negotiation auto ip access-group 1 in switchport access vlan 10 switchport qinq normalinterface fei_1/2 negotiation auto
17、switchport access vlan 10 switchport qinq normal,交换机基于流镜像的配置案例(4),查看流镜像配置,ZXR10(config)#show acl acl basic number 1 rule 1 permit 192.168.0.0 0.0.0.0 rule 2 permit 192.168.1.0 0.0.0.0,ZXR10(config)#show qostraffic-mirror in 1 rule-id 1 interface,ZXR10(config)#show monitor session 1Session 1-Source P
18、orts:Destination Port: Port: fei_1/3,路由器基于流镜像的配置案例(1),网络拓扑,PC1192.168.0.1/24,PC310.0.0.1/24,Fei_1/1,Fei_1/3,Fei_1/2,PC210.1.1.1/24,R1,R2,PC4172.16.0.1/24,Fei_1/1,Fei_1/2,Fei_1/3,路由器基于流镜像的配置案例(2),组网说明R1上接入PC1、PC2的两个网段；R2上接PC3、PC4。在pc1、pc2同时ping pc3。R2上的fei_1/3作为镜像口，fei_1/1作为被镜像口，在pc4上只对pc1到pc3的数据流进行镜
19、像抓包。,路由器基于流镜像的配置案例(3),详细配置,R1上：Interface fei_1/1Ip address 192.168.0.2 255.255.255.0Interface fei_1/2Ip address 10.1.1.2 255.255.255.0Interface fei_1/3Ip address 188.0.0.1 255.255.255.0Router ospf 1Network 188.0.0.0 0.0.0.255 area 0Redistribute connected,路由器基于流镜像的配置案例(4),详细配置,R2上：Interface fei_1/1Ip
20、 address 188.0.0.2 255.255.255.0Interface fei_1/2Ip address 10.0.0.2 255.255.255.0Interface fei_1/3Ip address 172.16.0.2 255.255.255.0Router ospf 1Network 188.0.0.0 0.0.0.255 area 0Redistribute connected,路由器基于流镜像的配置案例(5),详细配置,acl standard number 10 permit 192.168.0.0 0.0.0.255monitor session 1 enablemonitor session 1 source fei_1/1 direction rx acl 10 in destinationfei_1/3 show monitor session 1Session 1-Source Ports:Destination Port:Port: fei_1/3,小结,端口镜像的概念及用途？端口镜像的分类？基于端口、基于流两种端口镜像的基本配置？路由器上使用端口镜像的注意事项？,谢 谢,
