S3100系列交换机多机环境下的远程端口镜像

S3100系列交换机多机环境下的远程端口镜像

 

一      组网需求：

用户为某银行一级分行，使用S3100-EI系列交换机作为本地IP话机的接入交换机，IP话机用于客服作业，所以要求部署一台录音服务器，将所有对话都录制下来，对于S3100-EI来说，即把多台交换机上的报文镜像到连接录音服务器的端口上。

组网拓扑图简化如下:

 

从拓扑上可以了解到整网不存在环路，所有IP话机部署在SSU05，SSU06，SSU09三台交换机上，录音服务器部署在SSU10上，所以要求是将SSU05，SSU06，SSU09上的多个连接IP话机的双向流量镜像到SSU10上连接录音服务器的端口上。

二      配置步骤：

1          起初配置

客户按照操作手册上的远程端口镜像操作指导进行配置，定义Probe VLAN为VLAN 811，在SSU05，SSU06，SSU09三台交换机上配置镜像组，定义为remote-source；在SSU10上定义为remote-destination。具体配置见附件:

所有配置看上去都符合配置规范，但录音的效果是所有录音文件都成了3秒一段的小碎片，且无任何声音记录。从抓包分析，抓到的报文都是同一IP话机地址到出口IP PBX地址的流，从交换机现象上来看，CPU，Memory利用率都正常，但是镜像的反射口等高速闪烁，在端口流量统计中发现，反射口的速率已达百兆。

种种现象表明，应该出现了环路，但在交换机上使能STP和loop-detection口均未发现交换机环路和交换机下联环路。此时仅有一种可能性，就是镜像环路，由于远程镜像反射口上STP和loop-detection都是不生效的，且交换机上业务正常，说明环路存在于probe-vlan中。由于所有交换机的probe vlan都定义为VLAN811，而每个反射口都是VLAN 811内的一个环回口，本案例中三台交换机为源，那就说明在VLAN 811中有3个环回口，在SSU05上的镜像报文经过环回后进入VLAN 811，在SSU06和SSU09的环回口上这些报文被再次环回，重新进入VLAN 811，然后在另外两台交换机上会又一次环回，如此往复无休止矣！造成了环回口上广播风暴，链路到达拥塞状态，而此环回只在VLAN 811内产生，作为Probe VLAN，交换机在该VLAN内不学习MAC，所以即使环回也不会造成交换机多余的CPU负担，CPU利用率正常，业务VLAN内业务使用正常，使得该环路不易被发现。

2          最终配置

既然了解到问题原因是由于Probe VLAN内同时有三个环回口造成，那么解决方法就是将三台镜像源交换机的Probe VLAN分开，这样一个Probe VLAN只有一个环回口，不会造成镜像的环路。但这带来两个问题：

1 SSU10上配置远程镜像remote-destination，一个镜像组中不能同时配置三个Probe VLAN。

2 三个Probe VLAN中的数据转发到SSU10的过程中还有经过中途交换机的需求，如SSU05的报文需经过SSU09后才能到能SSU10，那么在中途交换机上如何配置呢？

为了解决第一个问题，我们不再使用标准的远程镜像remote-destination配置，而根据远程端口镜像的原理，将交换机互连口配置为TRUNK口，允许所有三个镜像VLAN 通过，不配置镜像组，将连接录音服务器的端口配置为hybrid口，允许三个Probe VLAN的报文untagged发出。

第二个问题的实质是在我们配置了Probe VLAN的时候，事实上交换机同步禁止了该VLAN内的地址学习。那么此时我们就不能单独配置Trunk允许三个Probe VLAN通过，同时还要将非本机镜像组Probe VLAN的两个VLAN禁止MAC地址学习。否则，由于镜像的是双向的报文，报文有来有回，VLAN内MAC地址学习必然频繁刷新，造成转发问题，只有关闭了MAC地址学习，镜像报文才能按照远程镜像设计思路中的未知单播按广播转发的顺利到达监控口。同理，SSU10中虽然没有配置镜像组，但是三个Probe VLAN的MAC地址学习同样需要关闭。

经过调整后，该问题解决，录音服务器能够正常工作。配置见附件:

三      结论:

通常我操作指导仅针对简单需求环境下的标准配置，而这种多机同时镜像到一个端口的应用其实非常普遍。同理，使用这个方法也能解决另外一些问题，如由于交换机大多数情况下一个监控口（Monitor Port）仅能存在于一个镜像组中，在双机或多机既有远程镜像又有本地镜像，同时要求镜像到同一监控口的情况下，对于监控口的配置方法可以参照本案例中SSU10的配置方法。