H3C 端口镜像配置

格式：docx
大小：77.05 KB
文档页数：14

第1章端口镜像配置

1.1 端口镜像简介

端口镜像是将指定端口的报文复制一份到镜像目的端口，镜像目的端口会与数据监测设备相连，用户利用这些数据监测设备来分析复制到目的端口的报文，进行网络监控和故障排除。

图1-1 端口镜像示意图

1.1.1 端口镜像的分类

端口镜像分为本地端口镜像和远程端口镜像两种镜像方式：

 本地端口镜像是指将设备的一个或多个端口（源端口）的报文复制到本设备的一个监视端口（目的端口），用于报文的监视和分析。其中，源端口和目的端口必须在同一台设备上。

 远程端口镜像突破了源端口和目的端口必须在同一台设备上的限制，使源端口和目的端口间可以跨越多个网络设备。目前，远程端口镜像功能可以穿越二层网络，但无法穿越三层网络。

1.1.2 端口镜像的实现方式

端口镜像通过镜像组的方式实现，镜像组可以分为本地镜像组、远程源镜像组和远程目的镜像组。下面将分别介绍两类端口镜像的实现方式。

1. 本地端口镜像

本地端口镜像通过本地镜像组的方式实现。

源端口和目的端口在同一个本地镜像组中，设备将源端口的报文复制一份并转发到目的端口。

2. 远程端口镜像远程端口镜像通过远程源镜像组和远程目的镜像组互相配合的方式实现。

远程端口镜像的应用如图1-2所示。

图1-2 远程端口镜像应用示意图

图中各设备的作用如下：

 源设备：源端口所在的设备，用户需要在源设备上创建远程源镜像组。本设备负责将源端口的报文复制一份，然后通过出端口将报文在远程镜像VLAN中进行广播，传输给中间设备或目的设备。

 中间设备：网络中处于源设备和目的设备之间的设备。本设备负责将镜像报文传输给下一个中间设备或目的设备。如果源设备与目的设备直接相连，则不存在中间设备。用户需要确保远程镜像VLAN内源设备到目的设备的二层互通性。

 目的设备：远程镜像目的端口所在的设备，用户需要在目的设备上创建远程目的镜像组。目的设备收到报文后，比较报文的VLAN ID和远程目的镜像组的远程镜像VLAN是否相同，如果相同，则将该报文通过镜像目的端口转发给监控设备。

1.1.3 端口镜像支持的其他功能

镜像组还支持一个目的端口监视多个源端口的功能。

1.2 配置本地端口镜像

配置本地端口镜像时，用户首先要创建一个本地镜像组，然后为本地镜像组配置源端口和目的端口。

表1-1 配置本地端口镜像

操作命令说明

进入系统视图 system-view -

创建本地镜像组 mirroring-group group-id local 必选操作命令说明

为镜像组配置源端口在系统视图下配置源端口 mirroring-group group-idmirroring-port mirroring-port-list{ inbound | outbound | both } 二者必选其一

用户可以在系统视图下同时配置多个源端口，也可以在具体的端口视图下配置源端在端口视图下配置源端口 interface interface-type interface-number

[ mirroring-group group-id ]mirroring-port { inbound | outbound | both }

quit 操作命令说明

口，两种视图下的配置效果相同

为镜像组配置目的端口在系统视图下配置目的端口 mirroring-group group-idmonitor-port monitor-port-id 二者必选其一

两种视图下的配置效果相同在端口视图下配置目的端口 interface interface-type interface-number

[ mirroring-group group-id ]monitor-port

 说明： l 本地镜像组需要配置源端口、目的端口才能生效。

l 建议用户不要在目的端口上开启STP、RSTP或MSTP，否则可能会影响镜像功能的正常使用。

l 建议本地镜像目的端口不用做其他用途，仅用于端口镜像。

l 源端口和目的端口不能是现有镜像组的成员端口。

l 指定的镜像组必须预先创建，一个镜像组只能配置一个目的端口。

1.3 配置远程端口镜像

配置远程端口镜像时，用户需要在两台设备上分别配置远程源镜像组和远程目的镜像组。

1.3.1 配置远程源镜像组

远程源镜像组需要配置源端口、出端口以及远程镜像VLAN。

表1-2 配置远程源镜像组

操作命令说明

进入系统视图 system-view -

创建远程源镜像组 mirroring-group group-idremote-source 必选

为镜像组配置源端口在系统视图下配置源端mirroring-group group-idmirroring-port mirroring-port-list{ both | inbound | outbound } 二者必选其一

用户可操作命令说明

口以在系统视图下同时配置多个源端口，也可以在具体的端口视图下配置源端口，两种视图下的配置效在端口视图下配置源端口 interface interface-type interface-number

[ mirroring-group group-id ]mirroring-port { both | inbound | outbound }

quit 操作命令说明

果相同

为镜像组配置出端口在系统视图下配置出端口 mirroring-group group-id monitor-egress monitor-egress-port-id 二者必选其一

两种视图下的配置效果相同在端口视图下配置出端口 interface interface-type interface-number

mirroring-group group-idmonitor-egress

quit

为镜像组配置远程镜像VLAN mirroring-group group-idremote-probe vlan rprobe-vlan-id 必选

 说明：

l 远程源镜像组的所有端口都属于同一台设备，一个远程源镜像组只能配置一个出端口。

l 出端口不能为现有镜像组的成员端口。 l 建议用户不要将源端口加入到远程镜像VLAN，远程镜像VLAN不用做其他用途，仅用于远程镜像功能。

l 建议用户不要在出端口上配置下列功能：STP、RSTP、MSTP、802.1x、IGMP

Snooping、静态ARP和MAC地址学习功能，否则可能会影响镜像功能的正常使用。

l 配置远程镜像VLAN时，要求该VLAN为静态VLAN并预先创建。被配置成远程镜像VLAN后，该VLAN不能直接删除，必须先删除远程镜像VLAN的配置才能够删除这个VLAN。如果镜像组生效后，远程镜像VLAN被取消，那么该镜像组将失效。

l 一个端口只能加入到一个镜像组；一个VLAN只能被一个镜像组使用。

1.3.2 配置远程目的镜像组

远程目的镜像组需要配置远程镜像VLAN和目的端口。

表1-3 配置远程目的镜像组

操作命令说明

进入系统视图 system-view -

创建远程目的镜像组 mirroring-group group-id remote-destination 必选

为镜像组配置远程镜像VLAN mirroring-group group-id remote-probe

vlan rprobe-vlan-id 必选

为镜像组配置目的端口在系统视图下配置目的端口 mirroring-group group-id monitor-port monitor-port-id 二者必选其一

两种视图下的配置效果相同在端口视图下配置目的端口 interface interface-type interface-number

[ mirroring-group group-id ] monitor-port

quit 操作命令说明

进入目的端口视图 interface interface-type interface-number

将目的端口加入远程镜像VLAN 目的端口为Access端口 port access vlan rprobe-vlan-id 三者必选其一

目的端口为Trunk端口 port trunk permit vlan

rprobe-vlan-id

目的端口为Hybrid端口 port hybrid vlan rprobe-vlan-id { tagged | untagged }

 说明：

l 远程镜像目的端口不能是现有镜像组的成员端口。

l 远程镜像目的端口可以为Access、Trunk或Hybrid端口，远程镜像目的端口必须加入到远程镜像VLAN中。

l 一个端口只能加入到一个镜像组；一个VLAN只能被一个镜像组使用。

l 建议用户不要在远程镜像目的端口上使能STP、RSTP或MSTP，否则可能会影响镜像功能的正常使用。

l 建议远程镜像目的端口不用做其他用途，仅用于端口镜像。

1.4 端口镜像显示在完成上述配置后，在任意视图下执行display命令可以显示配置后镜像组的运行情况，通过查看显示信息验证配置的效果。

表1-4 端口镜像显示

操作命令

显示端口镜像组的配置信息 display

mirroring-group { group-id | all | local | remote-destination |

remote-source

}

1.5 端口镜像典型配置举例

1.5.1 本地端口镜像配置举例

1. 组网需求

某公司内部通过交换机实现各部门之间的互连，网络环境描述如下：

 研发部通过端口GigabitEthernet 1/0/1接入Switch C；

 市场部通过端口GigabitEthernet 1/0/2接入Switch C；

 数据监测设备连接在Switch C的GigabitEthernet 1/0/3端口上。

网络管理员希望通过数据监测设备对研发部和市场部收发的报文进行监控。

使用本地端口镜像功能实现该需求，在Switch C上进行如下配置：

 端口GigabitEthernet 1/0/1和GigabitEthernet 1/0/2为镜像源端口；

H3C交换机端口镜像配置

. 1.1.1 display mirroring-group

【命令】

display mirroring-group { group-id | all | local | remote-destination |

remote-source }

【视图】

任意视图

【参数】

group-id：端口镜像组的组号，取值范围为1～2。

all：所有镜像组。

local：本地镜像组。

remote-destination：远程目的镜像组。

remote-source：远程源镜像组。

【描述】

display mirroring-group命令用来显示端口镜像组的信息。

不同的镜像组类型，其显示内容不同。设备将按照镜像组号的顺序进行显示。

【举例】

# 显示所有镜像组的信息。

display mirroring-group all

mirroring-group 1：

type: local

status: active

mirroring port:

Ethernet1/0/1 both

Ethernet1/0/2 both

monitor port: Ethernet1/0/3

mirroring-group 2: .

. type: remote-source

status: inactive

mirroring port:

Ethernet1/0/4 inbound

reflector port:

remote-probe vlan: 1900

表1-1 display mirroring-group命令显示信息描述表

字段描述

mirroring-group 端口镜像组的组号

type 镜像组的类型，包括local（本地镜像组）、remote-source（远程源镜像组）、remote-destination（远程目的镜像组）

华为交换机做镜像端口以及删除的方法

交换机工作于OSI参考模型的第二层，即数据链路层。交换机内部的CPU会在每个端口成功连接时，通过将MAC地址和端口对应，形成一张MAC表。华为交换机有端口镜像为了方便观察或者监控端口流量。该怎么配置端口镜像以及删除端口镜像呢?下面我们就来看看详细的教程。

方法步骤

1、配置端口对端口镜像。将镜像端口GE0/0/2入方向的报文(即接收到的报文)复制到观察端口GE0/0/1上，GE0/0/1与监控设备直连。

2、一个端口对应多个镜像口。将镜像端口GE0/0/4入方向的报文(即接收到的报文)复制到观察端口GE0/0/1～GE0/0/3上，GE0/0/1～GE0/0/3与监控设备直连。

3、对于一个端口对应多个镜像端口我们也可以这样配置，不过需要版本支持。

4、多个镜像端口对应一个端口。将镜像端口GE0/0/1～GE0/0/3入方向的报文(即接收到的报文)复制到观察端口GE0/0/10上，GE0/0/10与监控设备直连。

5、删除端口镜像。在镜像端口下执行命令undo port-mirroring，删除观察端口与镜像端口的绑定关系，恢复镜像端口为普通端口。

6、在系统视图下执行命令undo observe-port，删除观察端口。

补充：交换机基本使用方法

作为基本核心交换机使用，连接多个有线设备使用：网络结构如下图，基本连接参考上面的【方法/步骤1：基本连接方式】

作为网络隔离使用：对于一些功能好的交换机，可以通过模式选择开关选择网络隔离模式，实现网络隔离的作用，可以只允许普通端口和UPlink端口通讯，普通端口之间是相互隔离不可以通讯的

除了作为核心交换机(中心交换机)使用，还可以作为扩展交换机(接入交换机)来扩展网络放在路由器上方，扩展网络供应商的网络线路(用于一条线路多个IP的网络)，连接之后不同的路由器用不同的IP连接至公网

相关阅读：交换机硬件故障常见问题

H3C 多个目的镜像端口

文档名称文档密级

2007-04-27 H3C机密，未经许可不得扩散第1页, 共2页 S5500S5500--EI系列交换机实现多监控口功能的配置系列交换机实现多监控口功能的配置一、组网需求组网需求：：使用本地镜像功能实现一台设备上有多个监控端口。二、组网图组网图：：三、配置步骤配置步骤：：（1）创建监控vlan并禁止监控vlan下mac地址学习功能。 [H3C]vlan 30 [H3C-vlan30]mac-address mac-learning disable #创建本地监控组，并去使能STP功能。 [H3C]mirroring-group 1 local [H3C]stp disable （2）将属于业务vlan10的G1/0/25作为被镜像端口。 [H3C]interface GigabitEthernet1/0/25 [H3C-GigabitEthernet1/0/25] port access vlan 10 文档名称文档密级

2007-04-27 H3C机密，未经许可不得扩散第2页, 共2页 [H3C-GigabitEthernet1/0/25] mirroring-group 1 mirroring-port both （3）用短网线将属于vlan1的“监控口”G1/0/1连接到属于监控vlan30的G1/0/6端口上, 需要注意的是G1/0/1端口所属vlan一定要与后面的G1/0/6等“监控口”不在同一vlan，否则会出现广播风暴。 [H3C]interface GigabitEthernet1/0/1 [H3C-GigabitEthernet1/0/1] mirroring-group 1 monitor-port （4）将镜像报文打上监控vlan的tag，在该vlan内转发，否则镜像报文会由于vlan tag与监控vlan不同而被丢弃。 [H3C]interface GigabitEthernet1/0/6 [H3C-GigabitEthernet1/0/6] port access vlan 30 [H3C-GigabitEthernet1/0/6] qinq enable （5）将多个端口加入监控vlan从而实现多监控口的需求。 [H3C]interface GigabitEthernet1/0/16 [H3C-GigabitEthernet1/0/16] port access vlan 30 [H3C-GigabitEthernet1/0/16] [H3C-GigabitEthernet1/0/16]interface GigabitEthernet1/0/18 [H3C-GigabitEthernet1/0/18] port access vlan 30 四、配置关键点配置关键点：：由于一台S5500-EI交换机本地端口镜像只支持一个监控口，因此该需求需要将被镜像数据在某一vlan内广播，即所有属于该vlan内的端口都可作为监控端口使用，都能接收到被监控流量。