防火墙镜像流量至过渡交换机，再由过渡交换机远程镜像至探针与ACG，这种操作是否可行

这个方案在真实设备上是完全可行的，在思科（Cisco）体系中被称为RSPAN（Remote SPAN，远程端口镜像），其核心是利用一个专用的二层VLAN来传递镜像流量。H3C设备实现的“二层远程端口镜像”功能与RSPAN原理相同。

 配置方法

在你的网络中，防火墙作为镜像源，过渡交换机作为镜像目的（以下配置以H3C Comware系统为例）。

1. 创建专用的远程镜像VLAN (Remote VLAN)
   在所有相关交换机（包括作为源的防火墙，如果需要VLAN中转）上，创建一个仅用于镜像流量的VLAN，并关闭其MAC地址学习功能。

   # 在所有设备上创建Remote VLAN，例如VLAN 99

   [Device] vlan 99 [Device-vlan99] undo mac-address mac-learning enable # 关键：关闭MAC地址学习，防止环路[reference:5] [Device-vlan99] quit

2. 配置过渡交换机（作为“远程目的镜像”设备）
   在过渡交换机上，将连接探针和ACG的端口指定为镜像目的端口。

   [Switch] mirroring-group 1 remote-destination # 创建远程目的镜像组

   [Switch] mirroring-group 1 remote-probe vlan 99 # 指定远程镜像VLAN[reference:7] # 将连接探针的端口 G1/0/1 配置为目的端口 [Switch] interface gigabitethernet 1/0/1 [Switch-GigabitEthernet1/0/1] mirroring-group 1 monitor-port [Switch-GigabitEthernet1/0/1] port access vlan 99 # 将端口加入Remote VLAN [Switch-GigabitEthernet1/0/1] quit # 将连接ACG的端口 G1/0/2 配置为目的端口（一个镜像组仅支持一个目的端口，此配置实为单播，见下文限制） [Switch] interface gigabitethernet 1/0/2 [Switch-GigabitEthernet1/0/2] mirroring-group 1 monitor-port [Switch-GigabitEthernet1/0/2] port access vlan 99 [Switch-GigabitEthernet1/0/2] quit

3. 配置防火墙（作为“远程源镜像”设备）
   在防火墙上，指定被监控的业务端口为源，并指定将流量发送到Remote VLAN的出端口。

   # 创建远程源镜像组并指定源端口

   [FW] mirroring-group 1 remote-source [FW] mirroring-group 1 mirroring-port gigabitethernet 1/0/1 both # 假设 G1/0/1 是业务端口，监控进出流量[reference:8] [FW] mirroring-group 1 remote-probe vlan 99 # 指定远程镜像VLAN # 在连接交换机的出接口上，允许Remote VLAN通行，并指定为镜像报文的出口 [FW] interface gigabitethernet 1/0/2 # 连接过渡交换机的端口 [FW-GigabitEthernet1/0/2] port link-type trunk [FW-GigabitEthernet1/0/2] port trunk permit vlan 99 # 允许镜像VLAN通过[reference:9] [FW-GigabitEthernet1/0/2] mirroring-group 1 monitor-egress # 指定为镜像报文出口[reference:10] [FW-GigabitEthernet1/0/2] quit

 配置要点与验证

• 关闭MAC地址学习：在 remote-probe vlan 中必须关闭MAC地址学习功能，以避免广播风暴。

• 专用VLAN：为确保镜像流量纯净，避免广播风暴，强烈建议远程镜像VLAN仅用于镜像功能，不承载任何其他业务。

• 生成树协议(STP)：为防止环路，可以关闭镜像目的端口的STP功能。

• 验证：配置完成后，可使用 display mirroring-group all 命令查看镜像组的配置和状态。

 配置限制与替代方案

上面多目的端口的配置方法，实际上利用了VLAN内广播转发，严格来说属于广播模式，会带来带宽压力。因为在H3C设备上，一个远程目的镜像组只能配置一个 monitor-port，如果需要将流量可靠地镜像到多个设备，建议使用以下更优的方案。

• 方案一：利用VLAN广播（上文配置）
  这种方法配置简单但比较简陋，它会让流量在VLAN内广播。优点是修改少，缺点是所有VLAN内的端口都会收到流量，增加网络开销。

• 方案二：配置多个镜像组（推荐）
  这是更规范、更推荐的解决方案。它能为每个监控设备创建独立的镜像组，实现流量的精确“单播”，避免广播风暴。

  # 在源设备（防火墙）上，将同一源端口（如G1/0/1）加入多个镜像组

  [FW] mirroring-group 1 mirroring-port GigabitEthernet 1/0/1 both [FW] mirroring-group 2 mirroring-port GigabitEthernet 1/0/1 both

• 方案三：利用交换芯片单播（设备相关）
  一些高端交换机支持交换芯片的单播转发，可以避免广播，但对设备型号有要求。具体请在H3C官网查看对应产品的配置手册。