二层远程端口镜像典型配置举例

4.1  组网需求

如图4-1所示，某公司内部各部门通过二层网络连接到核心设备Device A，各部门使用不同网段的IP地址，其中研发部使用10.1.1.0/24网段，市场部使用12.1.1.0/24网段。现要求通过配置二层远程端口镜像功能，使用数据监测设备对研发部发送的报文进行监控。

图4-1 二层远程端口镜像组网图

4.2  配置思路

·     为确保源设备与目的设备之间的镜像报文可以二层转发，中间设备连接到源设备和目的设备方向的端口上需允许远程镜像VLAN通过。

·     建议用户先配目的设备，再配中间设备，最后配源设备，以保证镜像流量的正常转发。

4.3  使用版本

本举例进行配置和验证所使用的版本，如表4-1所示。

表4-1 产品与软件版本适配关系

4.4  配置注意事项

配置远程端口镜像的目的设备和源设备时均需要注意：

·     配置远程镜像VLAN时：

¡     要求该VLAN为静态VLAN并预先创建。

¡     要求该VLAN不用做其他用途，仅用于远程镜像功能。

¡     要求该VLAN只能被一个远程源镜像组使用。

·     源设备和目的设备上的远程镜像组必须使用相同的远程镜像VLAN。

配置远程端口镜像的目的设备时需要注意：

·     目的端口不能是现有镜像组的成员端口。

·     目的端口不用做其他用途，仅用于端口镜像。

配置远程端口镜像的源设备时需要注意：

·     请不要将源端口加入到远程镜像VLAN中，否则会影响镜像功能的正常使用。

·     请不要在出端口上配置下列功能：生成树协议、IGMP Snooping、静态ARP和MAC地址学习，否则会影响镜像功能的正常使用。

·     出端口不能是现有镜像组的成员端口。

·     一个镜像组内只能配置一个出端口。

·     源端口为三层接口时，只能通过配置出端口方式实现二层远程镜像。

4.5  配置步骤

1. Device A的配置（目的设备）

# 创建业务VLAN 2和VLAN 3。

<DeviceA> system-view

[DeviceA] vlan 2 to 3

# 创建VLAN 2接口和VLAN 3接口并配置IP地址作为相应VLAN的网关。

[DeviceA] interface Vlan-interface 2

[DeviceA-Vlan-interface2] ip address 10.1.1.1 24

[DeviceA-Vlan-interface2] quit

[DeviceA] interface Vlan-interface 3

[DeviceA-Vlan-interface3] ip address 12.1.1.1 24

[DeviceA-Vlan-interface3] quit

# 配置端口FortyGigE3/0/1的端口类型为Trunk端口，允许业务VLAN 2、VLAN 3和镜像VLAN 5的报文通过。

<DeviceA> system-view

[DeviceA] interface fortygige 3/0/1

[DeviceA-FortyGigE3/0/1] port link-type trunk

[DeviceA-FortyGigE3/0/1] port trunk permit vlan 2 3 5

[DeviceA-FortyGigE3/0/1] quit

# 配置端口FortyGigE3/0/2的端口类型为Trunk端口，允许业务VLAN 2和镜像VLAN 5的报文通过。

[DeviceA] interface fortygige 3/0/2

[DeviceA-FortyGigE3/0/2] port link-type trunk

[DeviceA-FortyGigE3/0/2] port trunk permit vlan 2 5

[DeviceA-FortyGigE3/0/2] quit

# 创建远程目的镜像组1。

[DeviceA] mirroring-group 1 remote-destination

# 创建VLAN 5作为远程镜像VLAN。

[DeviceA] vlan 5

[DeviceA-vlan5] quit

# 为远程目的镜像组1配置远程镜像VLAN为VLAN 5，及配置连接数据监测设备的端口FortyGigE3/0/3为目的端口。

[DeviceA] mirroring-group 1 remote-probe vlan 5

[DeviceA] mirroring-group 1 monitor-port fortygige 3/0/3

# 将镜像目的端口加入远程镜像VLAN。将镜像数据发送给监测设备时，不需要携带远程镜像VLAN的VLAN Tag，因此将该端口配置为Access端口。

[DeviceA] interface fortygige 3/0/3

[DeviceA-FortyGigE3/0/3] port access vlan 5

# 关闭目的端口FortyGigE3/0/3上的生成树协议。

[DeviceA-FortyGigE3/0/3] undo stp enable

[DeviceA-FortyGigE3/0/3] quit

2. Device B的配置（中间设备）

# 创建业务VLAN 2和VLAN 3。

<DeviceB> system-view

[DeviceB] vlan 2 to 3

# 创建VLAN 5作为远程镜像VLAN。

[DeviceB] vlan 5

[DeviceB-vlan5] quit

# 配置端口FortyGigE3/0/1的端口类型为Trunk端口，允许业务VLAN 2、VLAN 3和镜像VLAN 5的报文通过。

[DeviceB] interface fortygige 3/0/1

[DeviceB-FortyGigE3/0/1] port link-type trunk

[DeviceB-FortyGigE3/0/1] port trunk permit vlan 2 3 5

[DeviceB-FortyGigE3/0/1] quit

# 配置端口FortyGigE3/0/2的端口类型为Trunk端口，允许业务VLAN 2、VLAN 3和镜像VLAN 5的报文通过。

[DeviceB] interface fortygige 3/0/2

[DeviceB-FortyGigE3/0/2] port link-type trunk

[DeviceB-FortyGigE3/0/2] port trunk permit vlan 2 3 5

[DeviceB-FortyGigE3/0/2] quit

3. Device C的配置（源设备）

# 创建业务VLAN 2和VLAN 3。

<DeviceC> system-view

[DeviceC] vlan 2 to 3

# 将端口FortyGigE3/0/1加入VLAN 2。

[DeviceC] interface fortygige 3/0/1

[DeviceC-FortyGigE3/0/1] port access vlan 2

[DeviceC-FortyGigE3/0/1] quit

# 将端口FortyGigE3/0/2加入VLAN 3。

[DeviceC] interface fortygige 3/0/2

[DeviceC-FortyGigE3/0/2] port access vlan 3

[DeviceC-FortyGigE3/0/2] quit

# 创建远程源镜像组1。

[DeviceC] mirroring-group 1 remote-source

# 创建VLAN 5作为远程镜像VLAN。

[DeviceC] vlan 5

[DeviceC-vlan5] quit

# 配置远程源镜像组1的远程镜像VLAN为VLAN 5，源端口为FortyGigE3/0/1，出端口为FortyGigE3/0/3。

[DeviceC] mirroring-group 1 remote-probe vlan 5

[DeviceC] mirroring-group 1 mirroring-port fortygige 3/0/1 inbound

[DeviceC] mirroring-group 1 monitor-egress fortygige 3/0/3

# 配置端口FortyGigE3/0/3的端口类型为Trunk端口，允许业务VLAN 2、VLAN 3和镜像VLAN 5的报文通过。

[DeviceC] interface fortygige 3/0/3

[DeviceC-FortyGigE3/0/3] port link-type trunk

[DeviceC-FortyGigE3/0/3] port trunk permit vlan 2 3 5

[DeviceC-FortyGigE3/0/3] quit

# 关闭出端口FortyGigE3/0/3上的生成树协议、MAC地址学习功能。

[DeviceC-FortyGigE3/0/3] undo stp enable

[DeviceC-FortyGigE3/0/3] undo mac-address mac-learning enable

[DeviceC-FortyGigE3/0/3] quit

4. Device D的配置（源设备）

# 创建业务VLAN 2。

<DeviceD> system-view

[DeviceD] vlan 2

[DeviceD-vlan2] quit

# 将端口FortyGigE3/0/1加入VLAN 2。

[DeviceD] interface fortygige 3/0/1

[DeviceD-FortyGigE3/0/1] port access vlan 2

[DeviceD-FortyGigE3/0/1] quit

# 创建远程源镜像组1。

[DeviceD] mirroring-group 1 remote-source

# 创建VLAN 5作为远程镜像VLAN。

[DeviceD] vlan 5

[DeviceD-vlan5] quit

# 配置远程源镜像组1的远程镜像VLAN为VLAN 5，对源端口FortyGigE3/0/1入方向进行镜像，出端口为FortyGigE3/0/2。

[DeviceD] mirroring-group 1 remote-probe vlan 5

[DeviceD] mirroring-group 1 mirroring-port fortygige 3/0/1 inbound

[DeviceD] mirroring-group 1 monitor-egress fortygige 3/0/2

# 配置端口FortyGigE3/0/2的端口类型为Trunk端口，允许业务VLAN 2和镜像VLAN 5的报文通过。

[DeviceD] interface fortygige 3/0/2

[DeviceD-FortyGigE3/0/2] port link-type trunk

[DeviceD-FortyGigE3/0/2] port trunk permit vlan 2 5

# 关闭出端口FortyGigE3/0/2上的生成树协议、MAC地址学习功能。

[DeviceD-FortyGigE3/0/2] undo stp enable

[DeviceD-FortyGigE3/0/2] undo mac-address mac-learning enable

[DeviceD-FortyGigE3/0/2] quit

4.6  验证配置

# 在完成上述配置后，在DeviceC上显示镜像组1的配置信息。

[DeviceC] display mirroring-group 1

Mirroring group 1:

    Type: Remote source

    Status: Active

    Mirroring port:

        FortyGigE3/0/1  Inbound

    Monitor egress port: FortyGigE3/0/3

        Remote probe VLAN: 5

# 在DeviceA上显示镜像组1的配置信息。

[DeviceA] display mirroring-group 1

Mirroring group 1:

    Type: Remote destination

    Status: Active

    Monitor port: FortyGigE3/0/3

    Remote probe VLAN: 5

# 以研发部某台主机10.1.1.2通过ping方式访问市场部某台主机12.1.1.2为例，进行镜像测试，数据监测设备的抓包数据如图4-2所示。

图4-2 Wireshark的抓包数据

以上抓包信息表明，配置的二层远程端口镜像功能生效，数据监测设备可以成功对对研发部发送的报文进行监控。