目  录

第1章 镜像配置

1.1 镜像简介

1.1.1 端口镜像

1.1.2 远程端口镜像

1.1.3 流镜像

1.1.4 远程流镜像

1.2 S7500支持的镜像

1.3 镜像配置

1.3.1 配置端口镜像

1.3.2 配置远程端口镜像

1.3.3 配置流镜像

1.3.4 配置远程流镜像

第1章  镜像配置

1.1  镜像简介

镜像一般是将符合指定规则的报文复制到镜像目的端口。一般镜像目的端口会接入数据检测设备，用户利用这些设备对镜像过来的报文进行分析，进行网络监控和故障排除等。

图1-1 镜像示意图

1.1.1  端口镜像

端口镜像，即将指定端口接收或者发送的报文复制到指定的本地端口。

1.1.2  远程端口镜像

远程端口镜像，突破了镜像源端口和镜像目的端口必须在同一台交换机上的限制，使镜像源端口和镜像目的端口可以在不同的网络设备上，从而方便网管人员对远程交换机设备进行管理。

远程端口镜像的应用示意图如下所示。

图1-2 远程端口镜像应用示意图

实现了远程端口镜像功能的交换机分为三种：

l              源交换机：被监测的端口所在的交换机，负责将镜像流量复制到Remote-probe VLAN中，然后二层转发给中间交换机或目的交换机。

l              中间交换机：网络中处于源交换机和目的交换机之间的交换机，通过Remote-probe VLAN把镜像流量传输给下一个中间交换机或目的交换机。如果源交换机与目的交换机直接相连，则不存在中间交换机。

l              目的交换机：远程镜像目的端口所在的交换机，将从Remote-probe VLAN接收到的镜像流量通过镜像目的端口转发给监控设备。

各个交换机上参与镜像的端口如表1-1所示。

表1-1 交换机上参与镜像的端口

为了实现远程端口镜像功能，需要定义一个特殊的VLAN，称之为Remote-probe VLAN。这个VLAN只传输镜像报文，不能用来承载正常的业务数据。所有被镜像的报文通过该VLAN从源交换机传递到目的交换机的指定端口，实现在目的交换机上对源交换机的远程端口的报文进行监控的功能。对Remote-probe VLAN有以下要求：

l              建议将该VLAN中的设备互连端口都配置为Trunk端口。

l              不能将缺省VLAN、管理VLAN设置成Remote-probe vlan。

l              需要通过配置保证Remote-probe VLAN从源交换机到目的交换机的二层互通性。

1.1.3  流镜像

流镜像就是将匹配ACL规则的业务流复制到指定的本地端口，用于报文分析和监视。在配置流镜像前用户需要先定义符合需求的ACL规则，设备会引用这些ACL规则进行流识别。

1.1.4  远程流镜像

远程流镜像就是将匹配ACL规则的业务流复制到指定镜像组的反射端口，配合远程端口镜像的相应配置最终把匹配的业务流复制到其它设备的指定端口上。类似于本地流镜像，用户需要在配置镜像前预先定义符合需求的ACL规则。另外，用户需要完成远程端口镜像的全部配置（配置镜像源端口除外）。

1.2  S7500支持的镜像

表1-2 S7500系列交换机支持的镜像功能及相关命令

1.3  镜像配置

镜像的介绍请参见1.1  镜像简介。

1.3.1  配置端口镜像

1. 配置准备

l              确定了镜像源端口，确定了被镜像报文的方向

l              确定了镜像目的端口

2. 在以太网端口视图下配置端口镜像

表1-3 在以太网端口视图下配置端口镜像

3. 在系统视图下配置端口镜像

表1-4 在系统视图下配置端口镜像

4. 配置举例

l              镜像源端口为GigabitEthernet 2/0/1，对端口接收和发送的报文都进行镜像

l              镜像目的端口为GigabitEthernet 2/0/4

配置1：

<H3C> system-view

[H3C] mirroring-group 1 local

[H3C] interface GigabitEthernet 2/0/4

[H3C-GigabitEthernet2/0/4] mirroring-group 1 monitor-port

[H3C-GigabitEthernet2/0/4] quit

[H3C] interface GigabitEthernet 2/0/1

[H3C-GigabitEthernet2/0/1] mirroring-group 1 mirroring-port both

配置2：

<H3C> system-view

[H3C] mirroring-group 1 local

[H3C] mirroring-group 1 monitor-port GigabitEthernet 2/0/4

[H3C] mirroring-group 1 mirroring-port GigabitEthernet 2/0/1 both

1.3.2  配置远程端口镜像

1. 配置准备

l              确定了源交换机、中间交换机、目的交换机

l              确定了镜像源端口、反射端口、镜像目的端口、Remote-probe VLAN

l              通过配置保证了Remote-probe VLAN内从源交换机到目的交换机的二层互通性

l              确定了被监控报文的方向

l              启动了Remote-probe VLAN

2. 源交换机上的配置过程

表1-5 源交换机上的配置过程

3. 中间交换机上的配置过程

表1-6 中间交换机上的配置过程

4. 目的交换机上的配置过程

表1-7 目的交换机上的配置过程

5. 配置举例

组网需求：

l              Switch A通过GigabitEthernet 2/0/2和数据检测设备相连

l              Switch A的Trunk端口GigabitEthernet 2/0/1和Switch B的Trunk端口GigabitEthernet 2/0/1相连

l              Switch B的Trunk端口GigabitEthernet 2/0/2和Switch C的Trunk端口GigabitEthernet 2/0/1相连

l              Switch C的端口GigabitEthernet 2/0/2和PC1相连

需求为通过数据检测设备对PC1发送的报文进行监控和分析。

使用远程端口镜像功能实现该需求，进行如下配置。

l              定义VLAN 10为Remote-probe VLAN；

l              Switch A为目的交换机，连接数据监控设备的端口GigabitEthernet 2/0/2为镜像目的端口。GigabitEthernet 2/0/2必须为Access端口，并且不能使能STP及LACP。

l              Switch B为中间交换机

l              Switch C为源交换机，GigabitEthernet 2/0/2为镜像源端口，定义GigabitEthernet 2/0/3为反射端口。GigabitEthernet 2/0/3必须为Access端口，并且不能使能STP及LACP。

组网图：

图1-3 远程端口镜像组网示意图

配置步骤：

# Switch C的配置

<H3C> system-view

[H3C] vlan 10

[H3C-vlan10] remote-probe vlan enable

[H3C-vlan10] quit

[H3C] interface GigabitEthernet 2/0/1

[H3C-GigabitEthernet2/0/1] port link-type trunk

[H3C-GigabitEthernet2/0/1] port trunk permit vlan 10

[H3C-GigabitEthernet2/0/1] quit

[H3C] mirroring-group 1 remote-source

[H3C] mirroring-group 1 mirroring-port GigabitEthernet 2/0/2 inbound

[H3C] mirroring-group 1 reflector-port GigabitEthernet 2/0/3

[H3C] mirroring-group 1 remote-probe vlan 10

[H3C] display mirroring-group remote-source

mirroring-group 1:

    type: remote-source

    status: active

    mirroring port:

        GigabitEthernet2/0/2  inbound

    reflector port: GigabitEthernet2/0/3

    remote-probe vlan: 10

# Switch B的配置

<H3C> system-view

[H3C] vlan 10

[H3C-vlan10] remote-probe vlan enable

[H3C-vlan10] quit

[H3C] interface GigabitEthernet 2/0/1

[H3C-GigabitEthernet2/0/1] port link-type trunk

[H3C-GigabitEthernet2/0/1] port trunk permit vlan 10

[H3C-GigabitEthernet2/0/1] quit

[H3C] interface GigabitEthernet 2/0/2

[H3C-GigabitEthernet2/0/2] port link-type trunk

[H3C-GigabitEthernet2/0/2] port trunk permit vlan 10

# Switch A的配置

<H3C> system-view

[H3C] vlan 10

[H3C-vlan10] remote-probe vlan enable

[H3C-vlan10] quit

[H3C] interface GigabitEthernet 2/0/1

[H3C-GigabitEthernet2/0/1] port link-type trunk

[H3C-GigabitEthernet2/0/1] port trunk permit vlan 10

[H3C-GigabitEthernet2/0/1] quit

[H3C] mirroring-group 1 remote-destination

[H3C] mirroring-group 1 monitor-port GigabitEthernet 2/0/2

[H3C] mirroring-group 1 remote-probe vlan 10

[H3C] display mirroring-group remote-destination

mirroring-group 1:

    type: remote-destination

    status: active

    monitor port: GigabitEthernet2/0/2

    remote-probe vlan: 10

1.3.3  配置流镜像

1. 配置准备

l              定义了进行流识别的ACL。关于定义ACL的描述请参见“ACL”模块

l              确定了镜像目的端口

l              确定需要进行流镜像配置的端口和被镜像流的方向

2. 配置过程

表1-8 在以太网端口视图下配置流镜像

acl-rule：应用的ACL，可以是多种ACL的组合。A型业务板的组合方式如表1-9；非A型业务板的组合方式如表1-10。

表1-9 A型业务板的组合应用ACL方式

表1-10 非A型业务板的组合应用ACL方式

3. 配置举例

组网需求：

l              交换机的GigabitEthernet 2/0/1接入了10.1.1.1/24网段

l              镜像来自10.1.1.1/24网段的报文到镜像目的端口GigabitEthernet 2/0/4

配置步骤：

<H3C> system-view

[H3C] acl number 2000

[H3C-acl-basic-2000] rule permit source 10.1.1.1 0.0.0.255

[H3C-acl-basic-2000] rule deny source any

[H3C-acl-basic-2000] quit

[H3C] mirroring-group 3 local

[H3C] mirroring-group 3 monitor-port GigabitEthernet 2/0/4

[H3C] interface GigabitEthernet 2/0/1

[H3C-GigabitEthernet2/0/1] qos

[H3C-qosb-GigabitEthernet2/0/1] mirrored-to inbound ip-group 2000 interface GigabitEthernet 2/0/4

1.3.4  配置远程流镜像

1. 配置准备

l              定义了进行流识别的ACL。关于定义ACL的描述请参见“ACL”模块

l              确定了源交换机、中间交换机、目的交换机

l              确定了反射端口、镜像目的端口、Remote-probe VLAN

l              通过配置保证了Remote-probe VLAN内从源交换机到目的交换机的二层互通性

l              确定了被监控报文的方向

l              启动了Remote-probe VLAN

2. 源交换机上的配置过程

表1-11 源交换机上的配置过程

acl-rule：应用的ACL，可以是多种ACL的组合。A型业务板的组合方式如表1-9；非A型业务板的组合方式如表1-10。

3. 中间交换机上的配置过程

中间交换机上的配置与远程端口镜像配置中完全相同，参见1.3.2  3. 中间交换机上的配置过程。

4. 目的交换机上的配置过程

目的交换机上的配置与远程端口镜像配置中完全相同，参见1.3.2  4. 目的交换机上的配置过程。

5. 配置举例

组网需求：

l              Switch A通过GigabitEthernet 2/0/2和数据检测设备相连

l              Switch A的Trunk端口GigabitEthernet 2/0/1和Switch B的Trunk端口GigabitEthernet 2/0/1相连

l              Switch B的Trunk端口GigabitEthernet 2/0/2和Switch C的Trunk端口GigabitEthernet 2/0/1相连

l              Switch C的端口GigabitEthernet 2/0/2接入了10.1.1.1/24网段

使用远程流镜像功能把来自10.1.1.1/24网段的报文镜像到Switch A的GigabitEthernet 2/0/2以便数据检测设备监控流量：

l              定义VLAN 10为Remote-probe VLAN

l              Switch A为目的交换机，连接数据监控设备的端口GigabitEthernet 2/0/2为镜像目的端口。GigabitEthernet 2/0/2必须为Access端口，并且不能使能STP及LACP

l              Switch B为中间交换机

l              Switch C为源交换机，定义GigabitEthernet 2/0/3为反射端口。GigabitEthernet 2/0/3必须为Access端口，并且不能使能STP及LACP。在端口GigabitEthernet 2/0/2配置流镜像功能

组网图：

图1-4 远程流镜像组网示意图

配置步骤：

# Switch A的配置

<H3C> system-view

[H3C] vlan 10

[H3C-vlan10] remote-probe vlan enable

[H3C-vlan10] quit

[H3C] interface GigabitEthernet 2/0/1

[H3C-GigabitEthernet2/0/1] port link-type trunk

[H3C-GigabitEthernet2/0/1] port trunk permit vlan 10

[H3C-GigabitEthernet2/0/1] quit

[H3C] mirroring-group 1 remote-destination

[H3C] mirroring-group 1 monitor-port GigabitEthernet 2/0/2

[H3C] mirroring-group 1 remote-probe vlan 10

[H3C] display mirroring-group remote-destination

mirroring-group 1:

    type: remote-destination

    status: active

    monitor port: GigabitEthernet2/0/2

    remote-probe vlan: 10

# Switch B的配置

<H3C> system-view

[H3C] vlan 10

[H3C-vlan10] remote-probe vlan enable

[H3C-vlan10] quit

[H3C] interface GigabitEthernet 2/0/1

[H3C-GigabitEthernet2/0/1] port link-type trunk

[H3C-GigabitEthernet2/0/1] port trunk permit vlan 10

[H3C-GigabitEthernet2/0/1] quit

[H3C] interface GigabitEthernet 2/0/2

[H3C-GigabitEthernet2/0/2] port link-type trunk

[H3C-GigabitEthernet2/0/2] port trunk permit vlan 10

# Switch C的配置

<H3C> system-view

[H3C] acl number 2000

[H3C-acl-basic-2000] rule permit source 10.1.1.1 0.0.0.255

[H3C-acl-basic-2000] rule deny source any

[H3C-acl-basic-2000] quit

[H3C] vlan 10

[H3C-vlan10] remote-probe vlan enable

[H3C-vlan10] quit

[H3C] interface GigabitEthernet 2/0/1

[H3C-GigabitEthernet2/0/1] port link-type trunk

[H3C-GigabitEthernet2/0/1] port trunk permit vlan 10

[H3C-GigabitEthernet2/0/1] quit

[H3C] mirroring-group 1 remote-source

[H3C] mirroring-group 1 reflector-port GigabitEthernet 2/0/3

[H3C] mirroring-group 1 remote-probe vlan 10

[H3C] interface GigabitEthernet 2/0/2

[H3C-GigabitEthernet2/0/2] qos

[H3C-qosb-GigabitEthernet2/0/2] mirrored-to inbound ip-group 2000 interface GigabitEthernet 2/0/3 reflector

[H3C-qosb-GigabitEthernet2/0/2] display qos-interface GigabitEthernet2/0/2 mirrored-to

GigabitEthernet2/0/2: mirrored-to

 Inbound:

   Matches: Acl 2000 rule 0  running

     Mirrored to: mirroring-group 1