V5平台（iware）IPS旁路模式双区域典型配置

组网如下，IPS设备旁挂核心交换机：

一、核心交换机配置（图中S5800设备）：

1.端口镜像模式

//双区域模式，这里要设定两个镜像组。

 mirroring-group 1 local

 mirroring-group 2 local

#

vlan 1

#

vlan 10 to 20

#

interface Vlan-interface10

 ip address 10.2.2.1 255.255.255.0

#

interface Vlan-interface20

 ip address 10.0.0.1 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 mac-address mac-learning disable

mirroring-group 1 monitor-port  

#

interface GigabitEthernet1/0/2

port link-mode bridge

mac-address mac-learning disable       

// 在S75E上，关闭设备全局、以太网接口或端口组的MAC地址学习功能用mac-address max-mac-count 0,S95E为mac-address mac-learning disable。具体视设备而定。这条命令防止镜像口mac学习造成环路。还可以保护设备的安全，可以有效地防止攻击者用大量不同MAC地址的帧攻击设备。

mirroring-group 2 monitor-port         

#

interface GigabitEthernet1/0/3

 port link-mode bridge

 port access vlan 20

 mirroring-group 1 mirroring-port inbound   //将G1/0/3入方向的数据镜像到G1/0/1

#

interface GigabitEthernet1/0/4

 port link-mode bridge

 port access vlan 10

 mirroring-group 2 mirroring-port inbound   //将G1/0/4入方向的数据镜像到G1/0/2

# 

2.MQC流镜像模式

 rule 0 permit ip source 10.0.0.0 0.0.0.255 destination 10.2.2.0 0.0.0.255

acl number 3999

 rule 0 permit ip source 10.2.2.0 0.0.0.255 destination 10.0.0.0 0.0.0.255

#

vlan 1

#

vlan 10 to 20

#

//用访问控制列表匹配两个感兴趣流。

traffic classifier down operator and

 if-match acl 3888

traffic classifier up operator and

 if-match acl 3999

#

//设定对感兴趣流匹配数据的动作

traffic behavior down

 mirror-to interface GigabitEthernet1/0/1

traffic behavior up

 mirror-to interface GigabitEthernet1/0/2

#

//对感兴趣流实施动作

qos policy down

 classifier down behavior down

qos policy up  

 classifier up behavior up

#

user-group system

#

interface NULL0

#

interface Vlan-interface10

 ip address 10.2.2.1 255.255.255.0

#

interface Vlan-interface20

 ip address 10.0.0.1 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 mac-address mac-learning disable

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 mac-address mac-learning disable

#

//在相应接口下发策略

interface GigabitEthernet1/0/3

 port access vlan 20

 qos apply policy down inbound

#

interface GigabitEthernet1/0/4

 port access vlan 10

 qos apply policy up inbound

#

1.在配置之前首先要将“工作模式”中的“连接模式”设置为旁路模式，在这种模式下，IPS收到数据包检测之后会丢弃，不会将收到的数据发送出去，直连模式则是将数据收到检测后再发出去，如果物理上是旁路逻辑上是直连会造成环路。在设置的时候，旁路和“只上报日志”这种应用模式配合使用，直连和“完整功能集”配合使用。