目  录

1 端口镜像

1.1 端口镜像简介

1.1.1 端口镜像的分类

1.1.2 端口镜像的实现方式

1.1.3 端口镜像支持的其他功能

1.2 配置端口镜像

1.2.1 配置本地端口镜像

1.2.2 配置远程端口镜像

1.3 端口镜像显示

1.4 端口镜像典型配置举例

1.4.1 本地端口镜像配置举例

1.4.2 远程端口镜像配置举例

1.4.3 ONU设备的本地端口镜像配置举例

2 流镜像

2.1 流镜像简介

2.1.1 流镜像简介

2.1.2 远程流镜像简介

2.2 配置流镜像

2.2.1 配置流镜像

2.2.2 配置远程流镜像

2.3 流镜像显示

2.4 流镜像典型配置举例

2.4.1 流镜像配置举例

2.4.2 远程流镜像配置举例

1 端口镜像

1.1  端口镜像简介

端口镜像是将指定端口的报文复制一份到镜像目的端口，镜像目的端口会与数据监测设备相连，用户利用这些数据监测设备来分析复制到目的端口的报文，进行网络监控和故障排除。

图1-1 端口镜像示意图

1.1.1  端口镜像的分类

端口镜像分为本地端口镜像和远程端口镜像两种镜像方式：

l              本地端口镜像是指将设备的一个或多个端口（源端口）的报文复制到本设备的一个监视端口（目的端口），用于报文的监视和分析。其中，源端口和目的端口必须在同一台设备上。

l              远程端口镜像突破了源端口和目的端口必须在同一台设备上的限制，使源端口和目的端口间可以跨越多个网络设备。目前，远程端口镜像功能可以穿越二层网络，但无法穿越三层网络。

1.1.2  端口镜像的实现方式

端口镜像通过镜像组的方式实现，镜像组可以分为本地镜像组、远程源镜像组和远程目的镜像组。下面将分别介绍两类端口镜像的实现方式。

1. 本地端口镜像

本地端口镜像通过本地镜像组的方式实现。

源端口和目的端口在同一个本地镜像组中，设备将源端口的报文复制一份并转发到目的端口。

2. 远程端口镜像

远程端口镜像通过远程源镜像组和远程目的镜像组互相配合的方式实现。

远程端口镜像的应用如图1-2所示。

图1-2 远程端口镜像应用示意图

图中各设备的作用如下：

l              源设备：源端口所在的设备，用户需要在源设备上创建远程源镜像组。本设备负责将源端口的报文复制一份，然后通过出端口将报文在远程镜像VLAN中进行广播，传输给中间设备或目的设备。

l              中间设备：网络中处于源设备和目的设备之间的设备。本设备负责将镜像报文传输给下一个中间设备或目的设备。如果源设备与目的设备直接相连，则不存在中间设备。用户需要确保远程镜像VLAN内源设备到目的设备的二层互通性。

l              目的设备：远程镜像目的端口所在的设备，用户需要在目的设备上创建远程目的镜像组。目的设备收到报文后，比较报文的VLAN ID和远程目的镜像组的远程镜像VLAN是否相同，如果相同，则将该报文通过镜像目的端口转发给监控设备。

1.1.3  端口镜像支持的其他功能

镜像组支持跨板镜像，即目的端口和源端口可以在同一设备的不同单板上。

同时，镜像组还支持一个目的端口监视多个源端口的功能。

1.2  配置端口镜像

1.2.1  配置本地端口镜像

1. 配置本地端口镜像

配置本地端口镜像时，用户首先要创建一个本地镜像组，然后为本地镜像组配置源端口和目的端口。

表1-1 配置本地端口镜像

2. 配置ONU设备的本地端口镜像

当S7500E系列交换机配备了OLT业务板后，便可以作为EPON系统中的OLT设备进行工作。有关EPON系统的详细介绍，请参见接入分册中“EPON-OLT”部分的介绍。

在EPON环境中，OLT设备可以对ONU设备进行远程的管理和维护。S7500E交换机支持对ONU设备进行本地端口镜像的配置，可以将ONU设备上某个UNI端口接收或发送的数据镜像至另一个UNI端口。

表1-2 配置ONU设备的本地端口镜像

1.2.2  配置远程端口镜像

配置远程端口镜像时，用户需要在两台设备上分别配置远程源镜像组和远程目的镜像组。

1. 配置远程源镜像组

远程源镜像组需要配置源端口、出端口以及远程镜像VLAN。

表1-3 配置远程源镜像组

2. 配置远程目的镜像组

远程目的镜像组需要配置远程镜像VLAN和目的端口。

表1-4 配置远程目的镜像组

1.3  端口镜像显示

在完成上述配置后，在任意视图下执行display命令可以显示配置后镜像组的运行情况，通过查看显示信息验证配置的效果。

表1-5 端口镜像显示

1.4  端口镜像典型配置举例

1.4.1  本地端口镜像配置举例

1. 组网需求

某公司内部通过交换机实现各部门之间的互连，网络环境描述如下：

l              研发部通过端口GigabitEthernet 2/0/1接入Switch C；

l              市场部通过端口GigabitEthernet 2/0/2接入Switch C；

l              数据监测设备连接在Switch C的GigabitEthernet 2/0/3端口上。

网络管理员希望通过数据监测设备对研发部和市场部收发的报文进行监控。

使用本地端口镜像功能实现该需求，在Switch C上进行如下配置：

l              端口GigabitEthernet 2/0/1和GigabitEthernet 2/0/2为镜像源端口；

l              连接数据监测设备的端口GigabitEthernet 2/0/3为镜像目的端口。

2. 组网图

图1-3 配置本地端口镜像组网图

3. 配置步骤

配置Switch C：

# 创建本地镜像组。

<SwitchC> system-view

[SwitchC] mirroring-group 1 local

# 为本地镜像组配置源端口和目的端口。

[SwitchC] mirroring-group 1 mirroring-port GigabitEthernet 2/0/1 GigabitEthernet 2/0/2 both

[SwitchC] mirroring-group 1 monitor-port GigabitEthernet 2/0/3

# 显示所有镜像组的配置信息。

[SwitchC] display mirroring-group all

mirroring-group 1:

    type: local

    status: active

    mirroring port:

        GigabitEthernet2/0/1  both

        GigabitEthernet2/0/2  both

    monitor port: GigabitEthernet2/0/3

配置完成后，用户就可以在数据监测设备上监控研发部和市场部收发的所有报文。

1.4.2  远程端口镜像配置举例

1. 组网需求

某公司内部通过交换机实现各部门之间的互连，网络环境描述如下：

l              部门1通过端口GigabitEthernet 2/0/1接入Switch A；

l              部门2通过端口GigabitEthernet 2/0/2接入Switch A；

l              Switch A的端口GigabitEthernet 2/0/3和Switch B的端口GigabitEthernet 2/0/1相连；

l              Switch B的端口GigabitEthernet 2/0/2和Switch C的端口GigabitEthernet 2/0/1相连；

l              数据监测设备连接在Switch C的GigabitEthernet 2/0/2端口上。

网络管理员希望通过数据监测设备对部门1和部门2发送的报文进行监控。

使用远程端口镜像功能实现该需求，进行如下配置：

l              Switch A充当源设备，Switch B充当中间设备，Switch C充当目的设备；

l              在Switch A上配置远程源镜像组，定义VLAN 2为远程镜像VLAN，端口GigabitEthernet 2/0/1和GigabitEthernet 2/0/2为镜像源端口，端口GigabitEthernet 2/0/3为出端口；

l              配置Switch A的端口GigabitEthernet 2/0/3、Switch B的端口GigabitEthernet 2/0/1和GigabitEthernet 2/0/2、Switch C的端口GigabitEthernet 2/0/1的端口类型为Trunk端口，并且都允许VLAN 2的报文通过；

l              在Switch C上配置远程目的镜像组，定义VLAN 2为远程镜像VLAN，连接数据监测设备的端口GigabitEthernet 2/0/2为镜像目的端口。

2. 组网图

图1-4 配置远程端口镜像组网图

3. 配置步骤

(1)        配置Switch A：

# 创建远程源镜像组。

<SwitchA> system-view

[SwitchA] mirroring-group 1 remote-source

# 创建VLAN 2。

[SwitchA] vlan 2

[SwitchA-vlan2] quit

# 为远程源镜像组配置远程镜像VLAN、源端口和出端口。

[SwitchA] mirroring-group 1 remote-probe vlan 2

[SwitchA] mirroring-group 1 mirroring-port GigabitEthernet 2/0/1 GigabitEthernet 2/0/2 inbound

[SwitchA] mirroring-group 1 monitor-egress GigabitEthernet 2/0/3

# 配置端口GigabitEthernet 2/0/3的端口类型为Trunk端口，允许VLAN 2的报文通过。

[SwitchA] interface GigabitEthernet 2/0/3

[SwitchA-GigabitEthernet2/0/3] port link-type trunk

[SwitchA-GigabitEthernet2/0/3] port trunk permit vlan 2

(2)        配置Switch B：

# 配置端口GigabitEthernet 2/0/1的端口类型为Trunk端口，允许VLAN 2的报文通过。

<SwitchB> system-view

[SwitchB] interface GigabitEthernet 2/0/1

[SwitchB-GigabitEthernet2/0/1] port link-type trunk

[SwitchB-GigabitEthernet2/0/1] port trunk permit vlan 2

[SwitchB-GigabitEthernet2/0/1] quit

# 配置端口GigabitEthernet 2/0/2的端口类型为Trunk端口，允许VLAN 2的报文通过。

[SwitchB] interface GigabitEthernet 2/0/2

[SwitchB-GigabitEthernet2/0/2] port link-type trunk

[SwitchB-GigabitEthernet2/0/2] port trunk permit vlan 2

(3)        配置Switch C：

# 配置端口GigabitEthernet 2/0/1的端口类型为Trunk端口，允许VLAN 2的报文通过。

<SwitchC> system-view

[SwitchC] interface GigabitEthernet 2/0/1

[SwitchC-GigabitEthernet2/0/1] port link-type trunk

[SwitchC-GigabitEthernet2/0/1] port trunk permit vlan 2

[SwitchC-GigabitEthernet2/0/1] quit

# 创建远程目的镜像组。

[SwitchC] mirroring-group 1 remote-destination

# 创建VLAN 2。

[SwitchC] vlan 2

[SwitchC-vlan2] quit

# 为远程目的镜像组配置远程镜像VLAN和目的端口。

[SwitchC] mirroring-group 1 remote-probe vlan 2

[SwitchC] mirroring-group 1 monitor-port GigabitEthernet 2/0/2

[SwitchC] interface GigabitEthernet 2/0/2

[SwitchC-GigabitEthernet2/0/2] port access vlan 2

配置完成后，用户就可以在数据监测设备上监控部门1和部门2发送的所有报文。

1.4.3  ONU设备的本地端口镜像配置举例

1. 组网需求

用户网络描述如下：

l              Device A（S7500E以太网交换机）的Olt3/0/1端口下连接了一台ONU设备，对应的ONU端口为Onu3/0/1:1，该ONU设备上连接有终端主机以及Server（数据监测设备）。

l              终端主机连接在ONU设备的UNI1和UNI2端口下，Server连接在ONU设备的UNI3端口下。

l              在DeviceA上远程配置ONU设备的本地端口镜像功能，将UNI1端口接收到的报文镜像至UNI3端口，使Server能够对HostA主机发出的所有报文进行收集。

2. 组网图

图1-5 配置本地端口镜像组网图

3. 配置步骤

# 进入系统视图。

<DeviceA> system-view

# 进入ONU端口视图。

[DeviceA] interface Onu 3/0/1:1

# 配置ONU设备的本地镜像源端口为UNI1端口，镜像方向为入方向。

[DeviceA-Onu3/0/1:1] uni 1 mirroring-port inbound

# 配置ONU设备的本地镜像目的端口为UNI3端口。

[DeviceA-Onu3/0/1:1] uni 3 monitor-port

配置完成后，用户就可以在Server上监控HostA发出的所有报文。

2 流镜像

2.1  流镜像简介

2.1.1  流镜像简介

流镜像通过QoS策略实现，即使用流分类技术来定义需要被镜像的报文的匹配条件，再通过配置流行为将符合条件的报文镜像至指定的方向。

流镜像可以将数据镜像到以下两个方向：

l              流镜像到端口，将符合要求的数据包复制一份，然后发送到目的端口。

l              流镜像到CPU，是把符合要求的数据包复制一份，然后发送到CPU以供分析诊断，这里的CPU指的是配置了流镜像的端口所在单板上的CPU。

2.1.2  远程流镜像简介

远程流镜像技术通过流镜像与远程端口镜像功能的配合，可以实现将本地符合流分类条件的报文通过远程镜像组镜像至远端设备上的指定目的端口。

远程流镜像的实现方法是：首先在本地设备配置流镜像功能，将符合条件的报文镜像至某个出端口；然后再配置远程源镜像组，并将出端口指定为流镜像中的目的端口，从而可以使流镜像至该目的端口的报文再通过远程镜像功能镜像至远端设备。

2.2  配置流镜像

2.2.1  配置流镜像

表2-1 配置流镜像

2.2.2  配置远程流镜像

远程流镜像需要在源设备和目的设备上进行如下配置：

1. 源设备上的配置

l              流镜像配置：在源设备上配置流镜像功能，将符合条件的报文镜像至连接目的设备的端口（假设为端口A）。配置步骤请参见表2-1。

l              远程源镜像组配置：在源设备上配置远程源镜像组，并将出端口配置为流镜像配置中的目的端口（即端口A）。配置步骤请参见表1-3。

2. 目的设备上的配置

在目的设备上只需要配置远程目的镜像组即可，配置步骤请参见表1-4。

2.3  流镜像显示

完成上述配置后，在任意视图下执行display命令，可以显示配置流镜像后的运行情况。通过查看显示信息，用户可以验证配置的效果。

表2-2 流镜像显示

2.4  流镜像典型配置举例

2.4.1  流镜像配置举例

1. 组网需求

用户网络描述如下：

l              Host A（IP地址为192.168.0.1）和Host B通过端口GigabitEthernet 2/0/1接入交换机Switch；

l              数据监测设备连接在Switch的端口GigabitEthernet 2/0/2上。

要求通过数据监测设备对Host A发出的所有报文进行分析监控。

2. 组网图

图2-1 配置流镜像组网图

3. 配置步骤

# 进入系统视图。

<Sysname> system-view

# 配置基本IPv4 ACL 2000，匹配源IP地址为192.168.0.1的报文。

[Sysname] acl number 2000

[Sysname-acl-basic-2000] rule permit source 192.168.0.1 0

[Sysname-acl-basic-2000] quit

# 配置流分类规则，使用基本IPv4 ACL 2000进行流分类。

[Sysname] traffic classfier 1

[Sysname-classifier-1] if-match acl 2000

[Sysname-classifier-1] quit

# 配置流行为，定义流镜像到GigabitEthernet 2/0/2的动作。

[Sysname] traffic behavior 1

[Sysname-behavior-1] mirror-to interface GigabitEthernet 2/0/2

[Sysname-behavior-1] quit

# 配置QoS策略1，为流分类1指定流行为1。

[Sysname] qos policy 1

[Sysname-policy-1] classifier 1 behavior 1

[Sysname-policy-1] quit

# 将QoS策略应用到端口GigabitEthernet 2/0/1上。

[Sysname] interface GigabitEthernet 2/0/1

[Sysname-GigabitEthernet2/0/1] qos apply policy 1 inbound

完成上述配置后，用户可以在数据监测设备上对Host A发出的所有报文进行分析监控。

2.4.2  远程流镜像配置举例

1. 组网需求

用户网络描述如下：

l              SwitchA的GigabitEthernet2/0/2端口下连接有10.1.1.1/24网段的主机；

l              SwitchC的GigabitEthernet2/0/2端口连接了数据监测设备。

l              SwitchA通过SwitchB连接至SwitchC，各设备互连的端口如图2-2所示。

要求配置远程流镜像功能，将通过SwitchA的GigabitEthernet2/0/2端口接收到的来自10.1.1.1/24网段的报文镜像到数据监测设备。

2. 组网图

图2-2 配置远程流镜像组网图

3. 配置步骤

l              配置Switch A：

# 配置基本IPv4 ACL 2000，匹配源IP地址为10.1.1.1/24网段的报文。

<SwitchA> system-view

[SwitchA] acl number 2000

[SwitchA-acl-basic-2000] rule permit source 10.1.1.1 255.255.255.0

[SwitchA-acl-basic-2000] quit

# 配置流分类规则，使用基本IPv4 ACL 2000进行流分类。

[SwitchA] traffic classfier 1

[SwitchA-classifier-1] if-match acl 2000

[SwitchA-classifier-1] quit

# 配置流行为，定义流镜像到端口GigabitEthernet 2/0/1的动作。

[SwitchA] traffic behavior 1

[SwitchA-behavior-1] mirror-to interface GigabitEthernet 2/0/1

[SwitchA-behavior-1] quit

# 配置QoS策略1，为流分类1指定流行为1。

[SwitchA] qos policy 1

[SwitchA-policy-1] classifier 1 behavior 1

[SwitchA-policy-1] quit

# 将QoS策略应用到端口GigabitEthernet 2/0/2上。

[SwitchA] interface GigabitEthernet 2/0/2

[SwitchA-GigabitEthernet2/0/2] qos apply policy 1 inbound

[SwitchA-GigabitEthernet2/0/2] quit

# 创建远程源镜像组1。

[SwitchA] mirroring-group 1 remote-source

# 创建VLAN 2。

[SwitchA] vlan 2

[SwitchA-vlan2] quit

# 为远程源镜像组配置远程镜像VLAN为2，源端口为GigabitEthernet2/0/48，出端口为GigabitEthernet2/0/1。

[SwitchA] mirroring-group 1 remote-probe vlan 2

[SwitchA] mirroring-group 1 mirroring-port GigabitEthernet 2/0/48 inbound

[SwitchA] mirroring-group 1 monitor-egress GigabitEthernet 2/0/1

# 配置端口GigabitEthernet2/0/1的端口类型为Trunk端口，允许VLAN 2的报文通过。

[SwitchA] interface GigabitEthernet  2/0/1

[SwitchA-GigabitEthernet2/0/1] port link-type trunk

[SwitchA-GigabitEthernet2/0/1] port trunk permit vlan 2

l              配置Switch B

# 配置端口GigabitEthernet2/0/1的端口类型为Trunk端口，允许VLAN 2的报文通过。

<SwitchB> system-view

[SwitchB] interface GigabitEthernet  2/0/1

[SwitchB-GigabitEthernet2/0/1] port link-type trunk

[SwitchB-GigabitEthernet2/0/1] port trunk permit vlan 2

[SwitchB-GigabitEthernet2/0/1] quit

# 配置端口GigabitEthernet2/0/2的端口类型为Trunk端口，允许VLAN 2的报文通过。

[SwitchB] interface GigabitEthernet  2/0/2

[SwitchB-GigabitEthernet2/0/2] port link-type trunk

[SwitchB-GigabitEthernet2/0/2] port trunk permit vlan 2

l              配置Switch C

# 配置端口GigabitEthernet2/0/1的端口类型为Trunk端口，允许VLAN 2的报文通过。

<SwitchC> system-view

[SwitchC] interface GigabitEthernet 2/0/1

[SwitchC-GigabitEthernet2/0/1] port link-type trunk

[SwitchC-GigabitEthernet2/0/1] port trunk permit vlan 2

[SwitchC-GigabitEthernet2/0/1] quit

# 创建远程目的镜像组。

[SwitchC] mirroring-group 1 remote-destination

# 创建VLAN 2。

[SwitchC] vlan 2

[SwitchC-vlan2] quit

# 为远程目的镜像组配置远程镜像VLAN和目的端口。

[SwitchC] mirroring-group 1 remote-probe vlan 2

[SwitchC] mirroring-group 1 monitor-port GigabitEthernet 2/0/2

[SwitchC] interface GigabitEthernet 2/0/2

[SwitchC-GigabitEthernet 2/0/2] port access vlan 2

配置完成后，用户就可以在数据监测设备上监控来自10.1.1.1/24网段的报文。