目  录

1 TAP

1.1 TAP简介

1.1.1 TAP工作机制

1.1.2 TAP设备部署方式

1.2 TAP配置限制和指导

1.3 TAP配置任务简介

1.4 TAP配置准备

1.5 开启全局TAP模式

1.6 定义类

1.7 定义流行为

1.7.1 M:N复制

1.7.2 重新标记报文的VLAN Tag

1.7.3 删除报文的外层VLAN Tag

1.7.4 添加报文的外层VLAN Tag

1.7.5 重新标记报文的IP/MAC地址

1.7.6 添加时间戳及以太网头

1.7.7 报文截断

1.7.8 删除Tunnel报文头

1.8 定义TAP策略

1.9 接口入方向上应用TAP策略

1.10 TAP显示和维护

1.11 TAP典型配置举例

1.11.1 M:N复制基本组网配置举例

1.11.2 M:N复制到聚合接口配置举例

1.11.3 重新标记报文的VLAN Tag

1.11.4 删除报文的外层VLAN Tag

1.11.5 添加报文的外层VLAN Tag

1.11.6 重新标记报文的目的MAC地址

1.11.7 添加时间戳及以太网头

1.11.8 报文截断

1.11.9 NVGRE报文头删除

 

1 TAP

1.1  TAP简介

数据中心网络日益庞大，对网络的安全和性能要求也越来越高，如何深入网络内部提取与监控流量，成为了亟待解决的问题。TAP技术应运而生。

TAP（Test Access Point）也叫分路器，它能够在不中断网络正常流量的情况下，实时获取网络流量，并进行高速复制与转发。TAP将收到的流量进行汇总，复制成多份后同时发送给多台监控设备，以便监控设备进行用户上网行为分析、异常流量监测和网络应用监控等。

1.1.1  TAP工作机制

TAP功能通过QoS策略实现，我们将TAP类型的QoS策略简称为TAP策略。TAP策略中通过配置流分类规则对报文进行标记，配置流行为动作对被标记报文进行编辑和重定向到监控组。其中，监控组中可以配置多个成员接口，报文被复制成多份，由多个成员接口发出。

1. 报文编辑动作

TAP策略支持的报文编辑动作包括：

·     重新标记报文的IP或MAC地址

·     添加、删除或重新标记报文的VLAN Tag

·     报文截断

·     新增时间戳及以太网头

·     删除Tunnel报文头

2. TAP处理流程

报文进入TAP设备后的处理流程如图1-1所示：

图1-1 TAP处理流程

 

1.1.2  TAP设备部署方式

TAP设备可以直路部署和旁路部署在网络中：

·     直路部署：TAP设备串联在用户网络中，可以在不影响用户流量正常收发的前提下，对用户流量直接进行复制，并将复制后的流量发送给监控设备，供其进行流量分析与监测。此模式下，TAP仅可以配置重定向到监控组动作，不可以配置报文编辑动作。

·     旁路部署：TAP设备旁挂在用户网络上，由用户网络设备负责将待处理流量送至TAP设备，TAP设备将收到的流量发送给监控设备，供其进行流量分析与监测。此模式下，TAP可以按需配置报文编辑动作。

图1-2 部署模式示意图

 

1.2  TAP配置限制和指导

在TAP策略中，流行为中必须配置重定向到监控组动作，其他报文编辑动作可以根据需求配置。当同一个流行为中配置了多个动作时，命中规则的报文会被执行所有的报文编辑动作，然后执行重定向到监控组动作。

开启全局TAP模式后，收到的未知三层报文无法转发，收到的已知三层报文可以正常转发。

应用TAP策略之前，需要先取消该设备上IRF端口与物理端口的绑定关系，否则TAP策略将下发失败。关于IRF端口的详细介绍，请参见“虚拟化技术”中的“IRF配置”。

TAP策略通过QoS策略实现，部分QoS命令的详细介绍请参见“ACL和QoS命令参考”中的“QoS”。

1.3  TAP配置任务简介

TAP配置任务如下：

(1)     开启全局TAP模式

(2)     定义类

(3)     定义流行为

¡     M:N复制

¡     重新标记报文的VLAN Tag

¡     删除报文的外层VLAN Tag

¡     添加报文的外层VLAN Tag

¡     重新标记报文的IP/MAC地址

¡     添加时间戳及以太网头

¡     报文截断

¡     删除Tunnel报文头

(4)     定义TAP策略

(5)     接口入方向上应用TAP策略

1.4  TAP配置准备

配置重定向到监控组时，请先定义监控组。有关监控组的详细介绍，请参见“网络管理和监控配置指导”中的“镜像”。

1.5  开启全局TAP模式

1. 功能简介

当设备连接在生产网络和监控设备之间仅作为TAP使用时，请开启全局TAP模式。开启全局TAP模式后，设备将会关闭二层报文转发功能，防止环路和广播风暴的产生。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启全局TAP模式。

tap enable

缺省情况下，全局TAP模式处于关闭状态。

1.6  定义类

(1)     进入系统视图。

system-view

(2)     创建一个类，并进入类视图。

traffic classifier classifier-name [ operator { and | or } ]

(3)     定义匹配数据包的规则。

if-match match-criteria

缺省情况下，未定义匹配数据包的规则。

if-match命令的介绍，请参见“ACL和QoS命令参考”中的“QoS”。

1.7  定义流行为

1.7.1  M:N复制

1. 功能简介

在某些网络场景中，需要将M个接口流入设备的报文转发给N个监控设备。此时，需要配置TAP的M:N复制功能。

图1-3 M:N复制组网模型

 

2. 配置限制和指导

通过创建M个TAP类型QoS策略，且每个策略的流行为中均配置重定向到同一个监控组，监控组中配置N个成员接口作为流量出接口，然后将M个策略分别应用到M个接口上，最终实现将M个入接口接收的报文复制给N个出接口。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建一个流行为，并进入流行为视图。

traffic behavior behavior-name

(3)     配置重定向到监控组动作。

redirect monitoring-group group-id

缺省情况下，未配置重定向到监控组动作。

1.7.2  重新标记报文的VLAN Tag

1. 功能简介

在某些网络场景中，监控设备需要对报文流入设备的具体接口进行区分。此时可通过配置TAP的重新标记报文的VLAN Tag功能实现此目的。设备对不同接口收到的报文标记不同的VLAN Tag后，发送给监控设备，监控设备可以通过VLAN Tag识别报文的入接口。

图1-4 重新标记报文的VLAN Tag组网模型

 

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建一个流行为，并进入流行为视图。

traffic behavior behavior-name

(3)     配置重新标记报文的VLAN Tag动作。请至少选择其中一项进行配置。

¡     重新标记报文的CVLAN。

remark customer-vlan-id vlan-id

缺省情况下，未配置重新标记报文的CVLAN。

¡     重新标记报文的SVLAN。

remark service-vlan-id vlan-id

缺省情况下，未配置重新标记报文的SVLAN。

(4)     配置重定向到监控组动作。

redirect monitoring-group group-id

缺省情况下，未配置重定向到监控组动作。

1.7.3  删除报文的外层VLAN Tag

1. 功能简介

在某些网络场景中，监控设备需要接收不携带VLAN Tag或携带单层VLAN Tag的报文。此时，需要配置TAP的删除报文的外层VLAN Tag功能。

图1-5 删除报文的外层VLAN Tag组网模型

 

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建一个流行为，并进入流行为视图。

traffic behavior behavior-name

(3)     配置删除报文的外层VLAN Tag动作。

strip-header top-most-vlan

缺省情况下，未配置删除报文的外层VLAN Tag动作。

(4)     配置重定向到监控组动作。

redirect monitoring-group group-id

缺省情况下，未配置重定向到监控组动作。

1.7.4  添加报文的外层VLAN Tag

1. 功能简介

在某些网络场景中，设备不同接口接收到的报文可能携带各自的CVLAN，监控设备需要接收携带统一SVLAN的报文。此时，需要配置TAP的添加报文的外层VLAN Tag功能。

图1-6 添加报文的外层VLAN Tag组网模型

 

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建一个流行为，并进入流行为视图。

traffic behavior behavior-name

(3)     配置添加报文的外层VLAN Tag动作。

nest top-most vlan vlan-id [ dot1p 802.1p ]

缺省情况下，未配置添加报文的外层VLAN Tag动作。

(4)     配置重定向到监控组动作。

redirect monitoring-group group-id

缺省情况下，未配置重定向到监控组动作。

1.7.5  重新标记报文的IP/MAC地址

1. 功能简介

在某些网络场景中，监控设备需要接收目的地址为自己的报文，或根据源地址信息识别流量入接口。此时，通过配置TAP的重新标记报文的IP/MAC地址功能，可以对报文的源、目的IP地址及源、目的MAC地址进行修改，进而实现需求。

图1-7 重新标记报文的IP/MAC地址组网模型

 

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建一个流行为，并进入流行为视图。

traffic behavior behavior-name

(3)     配置重新标记报文的IP/MAC地址动作。请至少选择其中一项进行配置。

¡     重新标记报文的目的IPv4地址。

remark destination-ip ipv4-address

缺省情况下，未配置重新标记报文的目的IPv4地址动作。

¡     重新标记报文的源IPv4地址。

remark source-ip ipv4-address

缺省情况下，未配置重新标记报文的源IPv4地址动作。

¡     重新标记报文的目的IPv6地址。

remark destination-ipv6 ipv6-address

缺省情况下，未配置重新标记报文的目的IPv6地址动作。

¡     重新标记报文的源IPv6地址。

remark source-ipv6 ipv6-address

缺省情况下，未配置重新标记报文的源IPv6地址动作。

¡     重新标记报文的目的MAC地址。

remark destination-mac mac-address

缺省情况下，未配置重新标记报文的目的MAC地址动作。

¡     重新标记报文的源MAC地址。

remark source-mac mac-address

缺省情况下，未配置重新标记报文的源MAC地址动作。

(4)     配置重定向到监控组动作。

redirect monitoring-group group-id

缺省情况下，未配置重定向到监控组动作。

1.7.6  添加时间戳及以太网头

1. 功能简介

在传统的TAP应用中，主要针对网络出口设备的流量进行采集与监控，但随着网络规模的不断壮大及越来越高的性能要求，对网络内部多个节点的流量进行深入监控势在必行。此时，可以通过配置TAP的添加时间戳及以太网头功能，实现对网络内部多个节点流量的时延进行监控的目的。

开启TAP功能的设备的不同接口分别连接不同的网络设备，对接口收到的报文新增时间戳及以太网头，并使用用户自定义的以太网协议号，再通过重定向到监控组动作转发给监控设备。如图1-8所示，Server可以通过ETH Header中的以太网协议号识别此类报文，分析报文携带的时间戳T1、T2和T3，计算出网络时延。

图1-8 新增时间戳及以太网头组网模型

 

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建一个流行为，并进入流行为视图。

traffic behavior behavior-name

(3)     配置新增时间戳及以太网头动作。

timestamp-over-ether destination-mac mac-address source-mac mac-address ethtype-id ethtype-id

缺省情况下，未配置新增时间戳及以太网头动作。

(4)     配置重定向到监控组动作。

redirect monitoring-group group-id

缺省情况下，未配置重定向到监控组动作。

1.7.7  报文截断

1. 功能简介

在某些网络场景中，为减轻监控设备处理报文的压力，或避免将报文中的净载荷信息发送到监控设备。此时，需要开启TAP的报文截断功能。

开启本功能后，设备将对报文执行截断动作。从二层头开始对报文进行截断，截断后的报文将重新计算CRC，截断长度为截断后的报文与CRC的总和。

图1-9 报文截断组网模型

 

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建一个流行为，并进入流行为视图。

traffic behavior behavior-name

(3)     开启报文截断功能。

truncation enable

缺省情况下，报文截断功能处于关闭状态。

(4)     配置重定向到监控组动作。

redirect monitoring-group group-id

缺省情况下，未配置重定向到监控组动作。

(5)     退回系统视图。

quit

(6)     配置报文截断长度。

qos truncation length length

缺省情况下，报文截断长度为128字节。

1.7.8  删除Tunnel报文头

1. 功能简介

在某些网络场景中，监控设备无法解析携带GRE/NVGRE/VXLAN头的报文。此时，需要配置TAP的删除Tunnel报文头功能。

通过strip-header命令，删除Tunnel报文头到指定的位置。

图1-10 删除GRE报文头示意图

 

图1-11 删除NVGRE报文头示意图

 

图1-12 删除VXLAN报文头示意图

 

图1-13 删除Tunnel报文头组网模型

‌

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建一个流行为，并进入流行为视图。

traffic behavior behavior-name

(3)     配置删除Tunnel报文头动作。

¡     自定义删除Tunnel报文头

strip-header position { l2 | l3 | l4 } [ offset offset-value ]

¡     删除GRE报文头

strip-header gre header-length header-length encap-eth-header destination-mac mac-address source-mac mac-address [ vlan vlan-id [ dot1p dot1p-value ] ] ethtype-id ethtype-id

¡     删除NVGRE报文头

strip-header nvgre

¡     删除VXLAN报文头

strip-header vxlan

缺省情况下，未配置删除Tunnel报文头动作。

(4)     配置重定向到监控组动作。

redirect monitoring-group group-id

缺省情况下，未配置重定向到监控组动作。

1.8  定义TAP策略

(1)     进入系统视图。

system-view

(2)     创建一个TAP策略，并进入TAP策略视图。

qos tap policy policy-name

(3)     在TAP策略中为类指定采用的流行为。

classifier classifier-name behavior behavior-name

缺省情况下，未指定类对应的流行为。

1.9  接口入方向上应用TAP策略

1. 配置限制和指导

暂不支持在三层以太网接口/三层聚合接口/三层以太网子接口/三层聚合子接口上应用TAP策略。

2. 配置步骤

(1)     进入接口视图。

interface interface-type interface-number

(2)     在接口入方向上应用已创建的TAP策略。

qos apply tap policy policy-name inbound [ inner-match ]

缺省情况下，未在接口入方向上应用TAP策略。

1.10  TAP显示和维护

在任意视图下执行display命令可以显示TAP策略的运行情况，通过查看显示信息验证配置的效果。

表1-1 TAP显示和维护

操作	命令
显示类的配置信息	display traffic classifier user-defined [ classifier-name ] [ slot slot-number ] （有关本命令的详细介绍，请参见“ACL和QoS命令参考”中的“QoS”）
显示流行为的配置信息	display traffic behavior user-defined [ behavior-name ] [ slot slot-number ] （有关本命令的详细介绍，请参见“ACL和QoS命令参考”中的“QoS”）
显示监控组的配置信息	display monitoring-group { group-id | all } （有关本命令的详细介绍，请参见“网络管理和监控命令参考”中的“镜像”）
显示TAP策略的配置信息	display qos policy user-defined tap [ policy-name [ classifier classifier-name ] ] [ slot slot-number ]
显示接口上TAP策略的配置信息和运行情况	display qos tap policy interface [ interface-type interface-number [ inbound ] [ slot slot-number ]

‌

1.11  TAP典型配置举例

1.11.1  M:N复制基本组网配置举例

1. 组网需求

Device D为TAP设备，现需要将接口Ten-GigabitEthernet1/0/1、Ten-GigabitEthernet1/0/2和Ten-GigabitEthernet1/0/3接收的所有报文均复制成两份，分别通过接口Ten-GigabitEthernet1/0/4和Ten-GigabitEthernet1/0/5发送给Server A和Server B。

2. 组网图

图1-14 M:N复制组网图

 

3. 配置步骤

(1)     开启TAP全局模式

<DeviceD> system-view

[DeviceD] tap enable

(2)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Ten-GigabitEthernet1/0/4和Ten-GigabitEthernet1/0/5。

[DeviceD] monitoring-group 1

[DeviceD-monitoring-group-1] monitoring-port ten-gigabitethernet 1/0/4 to ten-gigabitethernet 1/0/5

[DeviceD-monitoring-group-1] quit

(3)     定义类

# 定义类classifier_tap，匹配所有数据包。

[DeviceD] traffic classifier classifier_tap

[DeviceD-classifier-classifier_tap] if-match any

[DeviceD-classifier-classifier_tap] quit

(4)     定义流行为

# 定义流行为behavior_tap，动作为重定向到监控组1。

[DeviceD] traffic behavior behavior_tap

[DeviceD-behavior-behavior_tap] redirect monitoring-group 1

[DeviceD-behavior-behavior_tap] quit

(5)     定义策略

# 定义TAP类型策略policy_tap，并为类指定流行为。

[DeviceD] qos tap policy policy_tap

[DeviceD-qospolicy-policy_tap] classifier classifier_tap behavior behavior_tap

[DeviceD-qospolicy-policy_tap] quit

(6)     应用策略

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/1的入方向上。

[DeviceD] interface ten-gigabitethernet 1/0/1

[DeviceD-Ten-GigabitEthernet1/0/1] qos apply tap policy policy_tap inbound

[DeviceD-Ten-GigabitEthernet1/0/1] quit

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/2的入方向上。

[DeviceD] interface ten-gigabitethernet 1/0/2

[DeviceD-Ten-GigabitEthernet1/0/2] qos apply tap policy policy_tap inbound

[DeviceD-Ten-GigabitEthernet1/0/2] quit

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/3的入方向上。

[DeviceD] interface ten-gigabitethernet 1/0/3

[DeviceD-Ten-GigabitEthernet1/0/3] qos apply tap policy policy_tap inbound

[DeviceD-Ten-GigabitEthernet1/0/3] quit

1.11.2  M:N复制到聚合接口配置举例

1. 组网需求

Device B为TAP设备，网络环境如下：

·     Device A发往Device C的流量通过Ten-GigabitEthernet1/0/1进入Device B，并通过Ten-GigabitEthernet1/0/2发往Device C；

·     Device C发往Device A的流量通过Ten-GigabitEthernet1/0/2进入Device B，并通过Ten-GigabitEthernet1/0/1发往Device A。

要求通过配置Device B实现如下需求：

·     将Ten-GigabitEthernet1/0/1收到的流量重定向到监控组中的聚合接口，最终发往Device D；

·     将Ten-GigabitEthernet1/0/2收到的流量重定向到监控组中的聚合接口，最终发往Device D；

·     Device B的聚合负载分担类型为逐流负载分担，按照报文的源、目的IP地址区分流；

·     由于Ten-GigabitEthernet1/0/1和Ten-GigabitEthernet1/0/2接口收到的两种报文流的源、目的IP是相反的，聚合接口在进行聚合负载分担时，两种报文流会经不同成员链路发往Device D，所以需要通过配置全局采用的聚合负载分担HASH算法为1类型，保证两种报文流经同一条成员链路发往Device D。

2. 组网图

图1-15 M:N复制到聚合接口组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceB> system-view

[DeviceB] tap enable

(2)     定义聚合组

# 创建二层聚合组Bridge-Aggregation 1。

[DeviceB] interface bridge-aggregation 1

[DeviceB-Bridge-Aggregation1] quit

# 将二层以太网接口Ten-GigabitEthernet1/0/3、Ten-GigabitEthernet1/0/4和Ten-GigabitEthernet1/0/5加入聚合组Bridge-Aggregation 1中。

[DeviceB] interface ten-gigabitethernet 1/0/3

[DeviceB-Ten-GigabitEthernet1/0/3] port link-aggregation group 1

[DeviceB-Ten-GigabitEthernet1/0/3] quit

[DeviceB] interface ten-gigabitethernet 1/0/4

[DeviceB-Ten-GigabitEthernet1/0/4] port link-aggregation group 1

[DeviceB-Ten-GigabitEthernet1/0/4] quit

[DeviceB] interface ten-gigabitethernet 1/0/5

[DeviceB-Ten-GigabitEthernet1/0/5] port link-aggregation group 1

[DeviceB-Ten-GigabitEthernet1/0/5] quit

(3)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Bridge-Aggregation 1

[DeviceB] monitoring-group 1

[DeviceB-monitoring-group-1] monitoring-port bridge-aggregation 1

[DeviceB-monitoring-group-1] quit

(4)     定义类

# 定义IPv4高级ACL 3001，并为其创建如下规则：匹配源IP为192.168.1.1、目的IP为192.168.2.1的数据包。

[DeviceB] acl advanced 3001

[DeviceB-acl-ipv4-adv-3001] rule permit ip source 192.168.1.1 0 destination 192.168.2.1 0

[DeviceB-acl-ipv4-adv-3001] quit

# 定义类classifier1，匹配ACL 3001。

[DeviceB] traffic classifier classifier1

[DeviceB-classifier-classifier1] if-match acl 3001

[DeviceB-classifier-classifier1] quit

# 定义IPv4高级ACL 3002，并为其创建如下规则：匹配源IP为192.168.2.1、目的IP为192.168.1.1的数据包。

[DeviceB] acl advanced 3002

[DeviceB-acl-ipv4-adv-3002] rule permit ip source 192.168.2.1 0 destination 192.168.1.1 0

[DeviceB-acl-ipv4-adv-3002] quit

# 定义类classifier2，匹配ACL 3002。

[DeviceB] traffic classifier classifier2

[DeviceB-classifier-classifier2] if-match acl 3002

[DeviceB-classifier-classifier2] quit

(5)     定义流行为

# 定义流行为behavior1，动作为重定向到监控组1。

[DeviceB] traffic behavior behavior1

[DeviceB-behavior-behavior1] redirect monitoring-group 1

[DeviceD-behavior-behavior1] quit

(6)     定义策略

# 定义TAP类型策略policy1，并为类classifier1指定流行为behavior1。

[DeviceB] qos tap policy policy1

[DeviceB-qospolicy-policy1] classifier classifier1 behavior behavior1

[DeviceB-qospolicy-policy1] quit

# 定义TAP类型策略policy2，并为类classifier2指定流行为behavior1。

[DeviceB] qos tap policy policy2

[DeviceB-qospolicy-policy2] classifier classifier2 behavior behavior1

[DeviceB-qospolicy-policy2] quit

(7)     应用策略

# 将TAP类型策略policy1应用到接口Ten-GigabitEthernet1/0/1的入方向上。

[DeviceB] interface ten-gigabitethernet 1/0/1

[DeviceB-Ten-GigabitEthernet1/0/1] qos apply tap policy policy1 inbound

[DeviceB-Ten-GigabitEthernet1/0/1] quit

# 将TAP类型策略policy2应用到接口Ten-GigabitEthernet1/0/2的入方向上。

[DeviceB] interface ten-gigabitethernet 1/0/2

[DeviceB-Ten-GigabitEthernet1/0/2] qos apply tap policy policy2 inbound

[DeviceB-Ten-GigabitEthernet1/0/2] quit

(8)     配置全局采用的聚合负载分担类型为按报文的源、目的IP地址进行聚合负载分担。

[DeviceB] link-aggregation global load-sharing mode source-ip destination-ip

(9)     配置聚合全局负载分担算法为1类型。

[DeviceB] link-aggregation global load-sharing algorithm 1

1.11.3  重新标记报文的VLAN Tag

1. 组网需求

Device C为TAP设备，现需要通过配置Device C实现如下需求：

·     对接口Ten-GigabitEthernet1/0/25接收的报文重新标记CVLAN为10；

·     对接口Ten-GigabitEthernet1/0/26接收的报文重新标记CVLAN为20；

·     将携带CVLAN 为10和20的报文通过接口Ten-GigabitEthernet1/0/27发送给Server，使得Server可以利用VLAN Tag区分报文在Device C上的入接口。

2. 组网图

图1-16 重新标记报文的VLAN Tag组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceC> system-view

[DeviceC] tap enable

(2)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Ten-GigabitEthernet1/0/27。

[DeviceC] monitoring-group 1

[DeviceC-monitoring-group-1] monitoring-port ten-gigabitethernet 1/0/27

[DeviceC-monitoring-group-1] quit

(3)     定义类

# 定义类classifier_tap，匹配所有数据包。

[DeviceC] traffic classifier classifier_tap

[DeviceC-classifier-classifier_tap] if-match any

[DeviceC-classifier-classifier_tap] quit

(4)     定义流行为

# 定义流行为behavior_tap1，并配置两个动作：重新标记报文的CVLAN为10和重定向到监控组1。

[DeviceC] traffic behavior behavior_tap1

[DeviceC-behavior-behavior_tap1] remark customer-vlan-id 10

[DeviceC-behavior-behavior_tap1] redirect monitoring-group 1

[DeviceC-behavior-behavior_tap1] quit

# 定义流行为behavior_tap2，并配置两个动作：重新标记报文的CVLAN为20和重定向到监控组1。

[DeviceC] traffic behavior behavior_tap2

[DeviceC-behavior-behavior_tap2] remark customer-vlan-id 20

[DeviceC-behavior-behavior_tap2] redirect monitoring-group 1

[DeviceC-behavior-behavior_tap2] quit

(5)     定义策略

# 定义TAP类型策略policy_tap1，并为类classifier_tap指定流行为behavior_tap1。

[DeviceC] qos tap policy policy_tap1

[DeviceC-qospolicy-policy_tap1] classifier classifier_tap behavior behavior_tap1

[DeviceC-qospolicy-policy_tap1] quit

# 定义TAP类型策略policy_tap2，并为类classifier_tap指定流行为behavior_tap2。

[DeviceC] qos tap policy policy_tap2

[DeviceC-qospolicy-policy_tap2] classifier classifier_tap behavior behavior_tap2

[DeviceC-qospolicy-policy_tap2] quit

(6)     应用策略

# 将TAP类型策略policy_tap1应用到接口Ten-GigabitEthernet1/0/25的入方向上。

[DeviceC] interface ten-gigabitethernet 1/0/25

[DeviceC-Ten-GigabitEthernet1/0/25] qos apply tap policy policy_tap1 inbound

[DeviceC-Ten-GigabitEthernet1/0/25] quit

# 将TAP类型策略policy_tap2应用到接口Ten-GigabitEthernet1/0/26的入方向上。

[DeviceC] interface ten-gigabitethernet 1/0/26

[DeviceC-Ten-GigabitEthernet1/0/26] qos apply tap policy policy_tap2 inbound

[DeviceC-Ten-GigabitEthernet1/0/26] quit

1.11.4  删除报文的外层VLAN Tag

1. 组网需求

Device C为TAP设备，接口Ten-GigabitEthernet1/0/25和Ten-GigabitEthernet1/0/26接收的报文均携带双层VLAN Tag。

现需要通过配置Device C，删除接口Ten-GigabitEthernet1/0/25和Ten-GigabitEthernet1/0/26接收报文的外层VLAN Tag，然后将报文通过接口Ten-GigabitEthernet1/0/27发送给Server。

2. 组网图

图1-17 删除报文的外层VLAN Tag组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceC> system-view

[DeviceC] tap enable

(2)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Ten-GigabitEthernet1/0/27。

[DeviceC] monitoring-group 1

[DeviceC-monitoring-group-1] monitoring-port ten-gigabitethernet 1/0/27

[DeviceC-monitoring-group-1] quit

(3)     定义类

# 定义类classifier_tap，匹配所有数据包。

[DeviceC] traffic classifier classifier_tap

[DeviceC-classifier-classifier_tap] if-match any

[DeviceC-classifier-classifier_tap] quit

(4)     定义流行为

# 定义流行为behavior_tap，并配置两个动作：删除报文的外层VLAN Tag和重定向到监控组1。

[DeviceC] traffic behavior behavior_tap

[DeviceC-behavior-behavior_tap] strip-header top-most-vlan

[DeviceC-behavior-behavior_tap] redirect monitoring-group 1

[DeviceC-behavior-behavior_tap] quit

(5)     定义策略

# 定义TAP类型策略policy_tap，并为类指定流行为。

[DeviceC] qos tap policy policy_tap

[DeviceC-qospolicy-policy_tap] classifier classifier_tap behavior behavior_tap

[DeviceC-qospolicy-policy_tap] quit

(6)     应用策略

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/25的入方向上。

[DeviceC] interface ten-gigabitethernet 1/0/25

[DeviceC-Ten-GigabitEthernet1/0/25] qos apply tap policy policy_tap inbound

[DeviceC-Ten-GigabitEthernet1/0/25] quit

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/26的入方向上。

[DeviceC] interface ten-gigabitethernet 1/0/26

[DeviceC-Ten-GigabitEthernet1/0/26] qos apply tap policy policy_tap inbound

[DeviceC-Ten-GigabitEthernet1/0/26] quit

1.11.5  添加报文的外层VLAN Tag

1. 组网需求

Device C为TAP设备， 接口Ten-GigabitEthernet1/0/25和Ten-GigabitEthernet1/0/26接收的报文均携带单层VLAN Tag。

现需要通过配置Device C，对接口Ten-GigabitEthernet1/0/25和Ten-GigabitEthernet1/0/26接收报文添加外层的VLAN Tag为10，然后将报文通过接口Ten-GigabitEthernet1/0/27发送给Server。

2. 组网图

图1-18 添加报文的外层VLAN Tag组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceC> system-view

[DeviceC] tap enable

(2)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Ten-GigabitEthernet1/0/27。

[DeviceC] monitoring-group 1

[DeviceC-monitoring-group-1] monitoring-port ten-gigabitethernet 1/0/27

[DeviceC-monitoring-group-1] quit

(3)     定义类

# 定义类classifier_tap，匹配所有数据包。

[DeviceC] traffic classifier classifier_tap

[DeviceC-classifier-classifier_tap] if-match any

[DeviceC-classifier-classifier_tap] quit

(4)     定义流行为

# 定义流行为behavior_tap，并配置两个动作：添加报文的外层VLAN Tag为10和重定向到监控组1。

[DeviceC] traffic behavior behavior_tap

[DeviceC-behavior-behavior_tap] nest top-most vlan 10

[DeviceC-behavior-behavior_tap] redirect monitoring-group 1

[DeviceC-behavior-behavior_tap] quit

(5)     定义策略

# 定义TAP类型策略policy_tap，并为类指定流行为。

[DeviceC] qos tap policy policy_tap

[DeviceC-qospolicy-policy_tap] classifier classifier_tap behavior behavior_tap

[DeviceC-qospolicy-policy_tap] quit

(6)     应用策略

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/25的入方向上。

[DeviceC] interface ten-gigabitethernet 1/0/25

[DeviceC-Ten-GigabitEthernet1/0/25] qos apply tap policy policy_tap inbound

[DeviceC-Ten-GigabitEthernet1/0/25] quit

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/26的入方向上。

[DeviceC] interface ten-gigabitethernet 1/0/26

[DeviceC-Ten-GigabitEthernet1/0/26] qos apply tap policy policy_tap inbound

[DeviceC-Ten-GigabitEthernet1/0/26] quit

1.11.6  重新标记报文的目的MAC地址

1. 组网需求

Device B为TAP设备，现需要通过配置Device B，对接口Ten-GigabitEthernet1/0/25接收报文重新标记其目的MAC地址为Server的MAC地址，然后将报文通过接口Ten-GigabitEthernet1/0/26发送给Server。

2. 组网图

图1-19 重新标记报文的目的MAC地址组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceB> system-view

[DeviceB] tap enable

(2)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Ten-GigabitEthernet1/0/26。

[DeviceB] monitoring-group 1

[DeviceB-monitoring-group-1] monitoring-port ten-gigabitethernet 1/0/26

[DeviceB-monitoring-group-1] quit

(3)     定义类

# 定义类classifier_tap，匹配所有数据包。

[DeviceB] traffic classifier classifier_tap

[DeviceB-classifier-classifier_tap] if-match any

[DeviceB-classifier-classifier_tap] quit

(4)     定义流行为

# 定义流行为behavior_tap，并配置两个动作：重新标记报文的目的MAC地址为0050-ba27-bed3和重定向到监控组1。

[DeviceB] traffic behavior behavior_tap

[DeviceB-behavior-behavior_tap] remark destination-mac 0050-ba27-bed3

[DeviceB-behavior-behavior_tap] redirect monitoring-group 1

[DeviceB-behavior-behavior_tap] quit

(5)     定义策略

# 定义TAP类型策略policy_tap，并为类指定流行为。

[DeviceB] qos tap policy policy_tap

[DeviceB-qospolicy-policy_tap] classifier classifier_tap behavior behavior_tap

[DeviceB-qospolicy-policy_tap] quit

(6)     应用策略

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/25的入方向上。

[DeviceB] interface ten-gigabitethernet 1/0/25

[DeviceB-Ten-GigabitEthernet1/0/25] qos apply tap policy policy_tap inbound

[DeviceB-Ten-GigabitEthernet1/0/25] quit

1.11.7  添加时间戳及以太网头

1. 组网需求

Device D为TAP设备，现需要通过配置Device D实现如下需求：

·     对接口Ten-GigabitEthernet1/0/25接收的协议为TCP的报文添加目的MAC地址为0050-ba27-bed4，源MAC地址为0050-ba27-bed1，以太网协议号为FF；

·     对接口Ten-GigabitEthernet1/0/26接收的协议为TCP的报文添加目的MAC地址为0050-ba27-bed4，源MAC地址为0050-ba27-bed2，以太网协议号为FF；

·     对接口Ten-GigabitEthernet1/0/27接收的协议为TCP的报文添加目的MAC地址为0050-ba27-bed4，源MAC地址为0050-ba27-bed3，以太网协议号为FF；

·     然后将上述被编辑报文通过接口Ten-GigabitEthernet1/0/28发送给Server。

2. 组网图

图1-20 添加时间戳及以太网头组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceD> system-view

[DeviceD] tap enable

(2)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Ten-GigabitEthernet1/0/28。

[DeviceD] monitoring-group 1

[DeviceD-monitoring-group-1] monitoring-port ten-gigabitethernet 1/0/28

[DeviceD-monitoring-group-1] quit

(3)     定义类

# 创建一个编号为3001的IPv4高级ACL，并定义匹配协议类型为TCP的规则。

[DeviceD] acl advanced 3001

[DeviceD-acl-ipv4-adv-3001] rule permit tcp

[DeviceD-acl-ipv4-adv-3001] quit

# 定义类classifier_tap，匹配IPv4 ACL3001。

[DeviceD] traffic classifier classifier_tap

[DeviceD-classifier-classifier_tap] if-match acl 3001

[DeviceD-classifier-classifier_tap] quit

(4)     定义流行为

# 定义流行为behavior_tap1，并配置两个动作：添加目的MAC地址为0050-ba27-bed4，源MAC地址为0050-ba27-bed1，以太网协议号为FF；重定向到监控组1。

[DeviceD] traffic behavior behavior_tap1

[DeviceD-behavior-behavior_tap1] timestamp-over-ether destination-mac 0050-ba27-bed4 source-mac 0050-ba27-bed1 ethtype-id ff

[DeviceD-behavior-behavior_tap1] redirect monitoring-group 1

[DeviceD-behavior-behavior_tap1] quit

# 定义流行为behavior_tap2，并配置两个动作：添加目的MAC地址为0050-ba27-bed4，源MAC地址为0050-ba27-bed2，以太网协议号为FF；重定向到监控组1。

[DeviceD] traffic behavior behavior_tap2

[DeviceD-behavior-behavior_tap2] timestamp-over-ether destination-mac 0050-ba27-bed4 source-mac 0050-ba27-bed2 ethtype-id ff

[DeviceD-behavior-behavior_tap2] redirect monitoring-group 1

[DeviceD-behavior-behavior_tap2] quit

# 定义流行为behavior_tap3，并配置两个动作：添加目的MAC地址为0050-ba27-bed4，源MAC地址为0050-ba27-bed3，以太网协议号为FF；重定向到监控组1。

[DeviceD] traffic behavior behavior_tap3

[DeviceD-behavior-behavior_tap3] timestamp-over-ether destination-mac 0050-ba27-bed4 source-mac 0050-ba27-bed3 ethtype-id ff

[DeviceD-behavior-behavior_tap3] redirect monitoring-group 1

[DeviceD-behavior-behavior_tap3] quit

(5)     定义策略

# 定义TAP类型策略policy_tap1，并为类classifier_tap指定流行为behavior_tap1。

[DeviceD] qos tap policy policy_tap1

[DeviceD-qospolicy-policy_tap1] classifier classifier_tap behavior behavior_tap1

[DeviceD-qospolicy-policy_tap1] quit

# 定义TAP类型策略policy_tap2，并为类classifier_tap指定流行为behavior_tap2。

[DeviceD] qos tap policy policy_tap2

[DeviceD-qospolicy-policy_tap2] classifier classifier_tap behavior behavior_tap2

[DeviceD-qospolicy-policy_tap2] quit

# 定义TAP类型策略policy_tap3，并为类classifier_tap指定流行为behavior_tap3。

[DeviceD] qos tap policy policy_tap3

[DeviceD-qospolicy-policy_tap3] classifier classifier_tap behavior behavior_tap3

[DeviceD-qospolicy-policy_tap3] quit

(6)     应用策略

# 将TAP类型策略policy_tap1应用到接口Ten-GigabitEthernet1/0/25的入方向上。

[DeviceD] interface ten-gigabitethernet 1/0/25

[DeviceD-Ten-GigabitEthernet1/0/25] qos apply tap policy policy_tap1 inbound

[DeviceD-Ten-GigabitEthernet1/0/25] quit

# 将TAP类型策略policy_tap2应用到接口Ten-GigabitEthernet1/0/26的入方向上。

[DeviceD] interface ten-gigabitethernet 1/0/26

[DeviceD-Ten-GigabitEthernet1/0/26] qos apply tap policy policy_tap2 inbound

[DeviceD-Ten-GigabitEthernet1/0/26] quit

# 将TAP类型策略policy_tap3应用到接口Ten-GigabitEthernet1/0/27的入方向上。

[DeviceD] interface ten-gigabitethernet 1/0/27

[DeviceD-Ten-GigabitEthernet1/0/27] qos apply tap policy policy_tap3 inbound

[DeviceD-Ten-GigabitEthernet1/0/27] quit

1.11.8  报文截断

1. 组网需求

Device B为TAP设备，现需要通过配置Device B，对接口Ten-GigabitEthernet1/0/25接收报文进行截断，将截断后的报文通过接口Ten-GigabitEthernet1/0/26发送给Server。

2. 组网图

图1-21 报文截断组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceB> system-view

[DeviceB] tap enable

(2)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Ten-GigabitEthernet1/0/26。

[DeviceB] monitoring-group 1

[DeviceB-monitoring-group-1] monitoring-port ten-gigabitethernet 1/0/26

[DeviceB-monitoring-group-1] quit

(3)     定义类

# 创建一个编号为3001的IPv4高级ACL，并定义匹配协议类型为TCP、源IP地址为10.0.0.1且掩码为255.255.255.0的规则。

[DeviceB] acl advanced 3001

[DeviceB-acl-ipv4-adv-3001] rule permit tcp source 10.0.0.1 255.255.255.0

[DeviceB-acl-ipv4-adv-3001] quit

# 定义类classifier_tap，匹配IPv4 ACL3001。

[DeviceB] traffic classifier classifier_tap

[DeviceB-classifier-classifier_tap] if-match acl 3001

[DeviceB-classifier-classifier_tap] quit

(4)     定义流行为

# 定义流行为behavior_tap，并配置两个动作：开启报文截断功能和重定向到监控组1。

[DeviceB] traffic behavior behavior_tap

[DeviceB-behavior-behavior_tap] truncation enable

[DeviceB-behavior-behavior_tap] redirect monitoring-group 1

[DeviceB-behavior-behavior_tap] quit

(5)     配置报文截断

# 配置报文截断长度为100字节。

[DeviceB] qos truncation length 100

(6)     定义策略

# 定义TAP类型策略policy_tap，并为类指定流行为。

[DeviceB] qos tap policy policy_tap

[DeviceB-qospolicy-policy_tap] classifier classifier_tap behavior behavior_tap

[DeviceB-qospolicy-policy_tap] quit

(7)     应用策略

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/25的入方向上。

[DeviceB] interface ten-gigabitethernet 1/0/25

[DeviceB-Ten-GigabitEthernet1/0/25] qos apply tap policy policy_tap inbound

[DeviceB-Ten-GigabitEthernet1/0/25] quit

1.11.9  NVGRE报文头删除

1. 组网需求

Device B为TAP设备，由于Server不支持解析NVGRE协议报文，现需要在Device B上实现NVGRE报文头删除功能。对接口Ten-GigabitEthernet1/0/25接收的NVGRE报文进行NVGRE报文头删除，然后将报文通过接口Ten-GigabitEthernet1/0/26发送给Server。

2. 组网图

图1-22 NVGRE报文头删除组网图

‌

3. 配置步骤

(1)     开启TAP全局模式

<DeviceB> system-view

[DeviceB] tap enable

(2)     定义监控组

# 创建监控组1，并配置监控组的成员接口为Ten-GigabitEthernet1/0/26。

[DeviceB] monitoring-group 1

[DeviceB-monitoring-group-1] monitoring-port ten-gigabitethernet 1/0/26

[DeviceB-monitoring-group-1] quit

(3)     定义类

# 定义类classifier_tap，匹配NVGRE协议且VSID为FFFF28的报文。

[DeviceB] traffic classifier classifier_tap

[DeviceB-classifier-classifier_tap] if-match nvgre-vsid ffff28

[DeviceB-classifier-classifier_tap] quit

(4)     定义流行为

# 定义流行为behavior_tap，并配置两个动作：删除Tunnel报文头到外层四层头起始位置再向后偏移4字节，即删除外层二层头、外层三层头和NVGRE报文的GRE头；重定向到监控组1。

[DeviceB] traffic behavior behavior_tap

[DeviceB-behavior-behavior_tap] strip-header position l4 offset 4

[DeviceB-behavior-behavior_tap] redirect monitoring-group 1

[DeviceB-behavior-behavior_tap] quit

(5)     定义策略

# 定义TAP类型策略policy_tap，并为类指定流行为。

[DeviceB] qos tap policy policy_tap

[DeviceB-qospolicy-policy_tap] classifier classifier_tap behavior behavior_tap

[DeviceB-qospolicy-policy_tap] quit

(6)     应用策略

# 将TAP类型策略policy_tap应用到接口Ten-GigabitEthernet1/0/25的入方向上。

[DeviceB] interface ten-gigabitethernet 1/0/25

[DeviceB-Ten-GigabitEthernet1/0/25] qos apply tap policy policy_tap inbound

[DeviceB-Ten-GigabitEthernet1/0/25] quit