S7500交换机镜像引起的环路问题及解决办法

S7500交换机由镜像引起的环路问题

 

一      组网：

图1：流量转发图

各端口的配置：

[S7506R]dis  cu int e4/0/2

#

interface Ethernet4/0/2

port link-type trunk

port trunk permit vlan 1 100

 mirroring-group 2 mirroring-port both

#

return

[S7506R]dis  cu int e4/0/1

#

interface Ethernet4/0/1

 port access vlan 10

 mirroring-group 2 monitor-port

#

return

[S7506R]dis  cu int g3/0/1

#

interface GigabitEthernet3/0/1

 mac-address mac-learning disable

 port link-type trunk

 port trunk permit vlan 1 100

 mirroring-group 1 mirroring-port both

#

return

[S7506R]dis  cu int g3/0/2

#

interface GigabitEthernet3/0/2

  mirroring-group 1 monitor-port

#

return          

二      问题描述：

为了实现S7500交换机跨板镜像，可能会采用上述的办法来间接实现。在两块单板之间连接一根网线，然后通过两次镜像达到目的。但是，该方法有一个缺陷：就是E4/0/2端口进来的带vlan100 TAG的报文会存在环路。

三      过程分析：

从E4/0/2端口进来的带vlan100的广播报文，经过第一次镜像后，从E4/0/1端口出来，仍然带有vlan100 的标签。由于需要实现第二次镜像，那么入端口g3/0/1也需要允许vlan100通过。不然，会进行vlan查找丢弃。

        当G3/0/1配置为trunk口并允许vlan100通过的同时，主控板和3槽位的内部端口也会trunk并允许vlan100通过，以保证跨板二层转发。那么，从G3/0/1进来的带vlan100标签的报文查找不到相应的MAC地址表项会广播一份上送主控板（为了实现报文正常镜像，需要禁止G3/0/1的MAC地址学习功能，否则只能镜像到一个方向的流量）。

        报文上送到主控板后，会同时向连接4槽位的内部端口广播一份。因为4槽位的单板也有vlan100的出端口。由于E4/0/2出方向有镜像，因此这份报文又会被镜像到E4/0/1端口。一个环路便由此诞生。

四      解决方法：

由于S7500交换机集中式单板不支持跨板镜像。

此问题最好的解决办法就是将集中式单板更换支持跨板镜像的XG-bus上行业务板。

第二个解决办法是：通过将镜像出来的流量通过一个二层交换机进行二次镜像。

第三个解决办法是：通过远程镜像，将所有出需要镜像的流量镜像到remote-probe vlan，然后将监控口加入到该probe vlan的出端口中。详细方法可参考相关案例。

注：

E4/0/1配置为access vlan10并不会影响出方向带vlan100 tag报文的通过。作为报文的镜像监控口，出报文时不检查报文的vlan标记。