防火墙

和正常交换机一样吧  你把安全策略做好就没问题了 

1、端口镜像：

http://www.h3c.com/cn/d_201808/1103100_30005_0.htm

2、抓包

wireshark

防火墙支持报文捕获功能，以下是配置说明，请参考：

1.10  报文捕获典型配置举例

1.10.1  报文捕获基本组网配置举例

1. 组网需求

在Device上启动报文捕获功能对设备上的流量进行捕获，具体报文捕获需求如下：

·            捕获接口GigabitEthernet1/0/1上源IP地址网段为10.1.1.0/24和目的IP地址网段为20.1.1.0/24的报文；

·            限制捕获报文的最大长度为3000字节；

·            将捕获文件上传到FTP服务器。

2. 组网图

图1-1 捕获出入设备流量配置举例组网图

3. 配置步骤

(1)       配置各接口的IP地址（略）

(2)       创建安全域并将接口加入安全域

# 向安全域Trust中添加接口GigabitEthernet1/0/1。

<Device> system-view

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

# 向安全域Untrust中添加接口GigabitEthernet1/0/2。

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

# 配置IPv4高级ACL 3000，源IP地址网段为10.1.1.0/24，目的IP地址网段为20.1.1.0/2。

[Device] acl advanced 3000

[Device-acl-ipv4-adv-3000] rule 0 permit ip source 10.1.1.0 0.0.0.255 destination 20.1.1.0 0.0.0.255

[Device-acl-ipv4-adv-3000] quit

(3)       配置安全域间实例

# 应用IPv4高级ACL 3000对安全域间实例source Trust destination Untrust收到的报文进行过滤。

[Device] zone-pair security source trust destination untrust

[Device-zone-pair-security-Trust-Untrust] packet-filter 3000

[Device-zone-pair-security-Trust-Untrust] quit

(4)       配置报文捕获功能

# 配置捕获文件的存储路径为***.***/pcap/，FTP用户名为zhangsan，密码为123。

[Device] packet-capture storage remote ftp://***.***/pcap/ user zhangsan password simple 123

# 配置捕获报文的最大长度为3000字节。

[Device] packet-capture max-bytes 3000

# 启动报文捕获功能，且在接口GigabitEthernet1/0/1上捕获匹配高级ACL 3000中permit规则的报文。

[Device] packet-capture start acl 3000 interface GigabitEthernet1/0/1

4. 验证配置

以上配置完成后，通过执行命令display packet-capture status可以查看到报文捕获的状态。

[Device] display packet-capture status

Capture status: Started

  Filter: ACL 3000

          Interface GigabitEthernet1/0/1

# 用抓包软件打开FTP服务器上的捕获报文文件进行分析。（此处以Ethereal软件为例打开捕获报文）

图1-2 用Ethereal抓包软件打开捕获的报文