二层远程镜像配置问题分析

二层远程镜像配置问题分析

一、组网及配置

 　　　　　　　　　　

测试仪1~4用于模拟PC，将测试仪1~4的流量镜像到B_ZZA03_EXT_CS01设备的G2/0/24。测试仪1和3属于VLAN 702，测试仪2和4属于VLAN 703。

测试仪1：IP：26.184.249.3    MAC：0023-89bb-3d55 　VLAN 702

测试仪3：IP：26.184.249.2　　MAC：5866-ba92-3858   VLAN 702

测试仪2：IP：26.184.249.11 　MAC：0000-0000-0002   VLAN 703

测试仪4：IP：26.184.249.10　 MAC：0000-0000-0001　  VLAN 703

    现场设备的镜像配置                                

     dis mirroring-group 1              

     mirroring-group 1:

          type: remote-source

          status: active

          mirroring port:

              GigabitEthernet2/0/5  inbound

              GigabitEthernet3/0/1  inbound

          reflector port: GigabitEthernet5/0/48

          monitor egress port:

          remote-probe VLAN: 740

     dis mirroring-group 1 

     mirroring-group 1:

          type: remote-source

          status: active

          mirroring port:

              GigabitEthernet2/0/5  inbound

              GigabitEthernet3/0/1  inbound

          reflector port: GigabitEthernet5/0/48

          monitor egress port:

          remote-probe VLAN: 740 

   

二、问题描述

配置下发完后，镜像功能不成功，Monitor Server端口收不到任何流量。

三、分析过程

现场配置了stp，此时想到检查stp的状态，可以看到两台设备的反射口都是STP DISCARDING状态。

[B_ZZA03_EXT_CS02]dis stp brief                                                

 MSTID      Port                         Role  STP State     Protection        

   0        Bridge-Aggregation1          ROOT  FORWARDING    NONE              

   0        GigabitEthernet2/0/5         DESI  FORWARDING    NONE              

   0        GigabitEthernet3/0/1         DESI  FORWARDING    NONE              

   0        GigabitEthernet5/0/48        DESI  DISCARDING    NONE    

 

[B_ZZA03_EXT_CS01]dis stp brief                                                

 MSTID      Port                         Role  STP State     Protection        

   0        Bridge-Aggregation1          ROOT  FORWARDING    NONE              

   0        GigabitEthernet2/0/5         DESI  FORWARDING    NONE              

   0        GigabitEthernet3/0/1         DESI  FORWARDING    NONE              

   0        GigabitEthernet5/0/48        DESI  DISCARDING    NONE      

由此可见所有的镜像流量在反射口由于STP DISCARDING被丢弃。查看G5/0/48的丢包情况。

[B_ZZA03_EXT_CS02-diagnose]bcm 5 1 show/c/ge23        //G5/0/48口                         

RUC.ge23 :      493,070,832            +600              99/s         

RPORTD.ge23:    11,308,073             +600              99/s  　　

RDBGC3.ge23:    11,308,074             +600              99/s 

RDBGC7.ge23:    11,308,073             +600              99/s 

RDBGC8.ge23:    840                  +3                   

TDBGC2.ge23:    21,558                +196              35/s 

TDBGC4.ge23:    23,131                +216              35/s 

TDBGC6.ge23:    23,131                +216              35/s 

将两台设备的反射端口均配置STP DISABLE，但是Mirror Server却只能镜像到一份流量，通过抓包报文可以看出从B_ZZA03_EXT_CS01的3/0/1收到的这份流量可以镜像出去，但从B_ZZA03_EXT_CS02过来的流量无法镜像出去。

再进一步分析，从B_ZZA03_EXT_CS02过来目的MAC是0000-0000-0001的流量，由于此MAC被学习到了B_ZZA03_EXT_CS01的反射口G5/0/48上。

mac=00:0f:e2:f1:72:d1 vlan=1 modid=8 port=22   Group=Learnt                    

mac=00:00:00:00:00:01 vlan=740 modid=15 port=22/ge22 Group=Learnt  

在查看配置，两台设备都配置了相同的PROBE VLAN。从B_ZZA03_EXT_CS02过来目的MAC是0000-0000-0001的流量，是VLAN 740里广播到Monitor Server端口的。所以在两台设备上配置相同的PROBE VLAN是有问题的。由于在两台设备上配置了相同的PROBE VLAN，且都有一个反射口，反射口实际就是自环口，这样容易出现PROBE VLAN中流量在两台设备之间形成互踢而成环。所以镜像流量由于原端口返回，被丢弃。

现场做如下配置后，问题解决。

（1）、将B_ZZA03_EXT_CS01的Probe VLAN修改为VLAN 741；

（2）、将B_ZZA03_EXT_CS01的VLAN 740下配置禁止MAC学习；

（3）、将B_ZZA03_EXT_CS01的Monitor Server端口改为Hybrid端口，并允许VLAN 740、741 untag通过；

（4）、将两台设备的反射口配置STP DISABLE。

四、小结

1.在使能了STP的设备，反射口需要配置STP DSIABLE，否则反射口会被DISCARDING，这样任何镜像报文都无法转发。设备在将端口配置为反射口时，有明显的提示

[B_ZZA03_EXT_CS02-GigabitEthernet5/0/48]mirroring-group 1 reflector-port       

Warning: Configuring features such as STP, 802.1x, and QinQ on this port may impact the mirroring function.                                                     

%Dec 28 23:32:38:246 2013 B_ZZA03_EXT_CS02 IFNET/3/LINK_UPDOWN: GigabitEthernet5/0/48 link status is UP.     

2.这种特定镜像组网，两台设备上必须配置不同的PROBE VLAN，进行流量区分。PROBE VLAN中禁止包含有转发流量。

3.Monitor Server端口会发送两个PROBE VLAN的流量，因此端口要配置为hybrid untag，将PROBE VLAN剥离再发给Server。