H3C S10508交换机采用Packet-filter策略过滤本地镜像流量案例

在某网络中，部分内网终端PC，访问外网流量存在丢包问题。管理员希望在S10508交换机上通过本地镜像观察终端流量转发情况，如下图所示：

管理员在S10508设备上，将XGE1/0/34、XGE1/0/35接口作为镜像源端口，XGE1/0/36接口作为镜像目的端口，在抓包PC2上运行抓包软件，希望抓包PC1访问外网流量的情况。

 
<S10508>display mirroring-group all
Mirroring group 1:
    Type: Local
    Status: Active
    Mirroring port:
        Ten-GigabitEthernet1/0/34  Both
        Ten-GigabitEthernet1/0/35  Both
    Monitor port: Ten-GigabitEthernet1/0/36
    

但是由于XGE1/0/34、XGE1/0/35接口流量太大，PC2一旦开启抓包软件就出现PC“卡死”故障。

对于开启抓包软件就出现PC“卡死”故障，说明抓包PC收到的流量报文太大，导致PC缓存不足，因此出现“卡死”的情况。要解决该问题，关键点就是要减少传递给抓包PC的报文数量，同时不能丢失PC1访问外网的报文。

通常情况下，管理员会选择采用“流镜像”的方式来部署镜像策略。采用流镜像方式，需要在XGE1/0/34和XGE1/0/35接口inbound/outbound方向部署Qos策略，此方式将占用S10508设备IFP（inbound）硬件ACL资源，但实际设备上，没有足够的IFP硬件ACL资源，因此只能采用其他方式部署。

这里，管理员采用Packet-filter策略过滤本地镜像流量的方式，其部署方式如下：

# acl advanced 3333  rule 1 permit ip source 192.168.1.1 0 //匹配源IP为PC1的流量  rule 2 permit ip destination 192.168.1.1 0 //匹配目的IP为PC1的流量  rule 3 deny ip //除rule1、2匹配的流量外，其他流量均不匹配 # interface Ten-GigabitEthernet1/0/34  port link-mode bridge  port link-type trunk  port trunk permit vlan all  mirroring-group 1 mirroring-port both //将XGE1/0/34作为镜像源端口 # interface Ten-GigabitEthernet1/0/35  port link-mode bridge  port link-type trunk  port trunk permit vlan all  mirroring-group 1 mirroring-port both //将XGE1/0/35作为镜像源端口 # interface Ten-GigabitEthernet1/0/36  port link-mode bridge  port link-type trunk  port trunk permit vlan all  mirroring-group 1 monitor-port //将XGE1/0/36作为镜像目的端口  packet-filter 3333 outbound //在镜像目的端口出方向上部署包过滤策略 #   对于进入交换机XGE1/0/34X、GE1/0/35的流量，在交换机内部先通过本地镜像到XGE1/0/36接口，当流量从XGE1/0/36发出去前，匹配ACL 3333仅允许源地址或目的地址为192.168.1.1的流量通过，其他流量全部丢弃。 此时，PC2上开启抓包软件后，可以抓取到PC1访问外网的流量，其他不需要的报文不会被获取到。    

当镜像源端口上配置了Packet-filter inbound，流量先匹配Packet-filter策略，再被镜像；

当镜像目的端口上配置了Packet-filter outbound，流量先匹配镜像策略，再匹配配Packet-filter。