问
MLAG本地镜像
1天前提问
- 0关注
- 0收藏，56浏览
最佳答案
zhiliao_Gixe
二段
在MLAG组网中做本地镜像，如果目的端口只有一个，需要将镜像目的端口配置在MLAG成员设备中的一台设备上，并将该端口配置为MLAG的保留接口（即不加入MLAG链路聚合组）。
关键配置步骤如下：
1. 在MLAG两台设备上，将需要镜像的源端口或VLAN通过`mirroring-group`命令绑定到镜像组。
2. 选择其中一台设备（例如Device A）的一个物理端口作为镜像目的端口。该端口不能是MLAG聚合成员端口，也不能配置为MLAG的普通业务口。
3. 在Device A上，将该目的端口加入镜像组。例如：
mirroring-group 1 mirroring-port GigabitEthernet 1/0/10 inbound
mirroring-group 1 monitor-port GigabitEthernet 1/0/24
其中，G1/0/24是目的端口。
4. 确保该目的端口的配置（如VLAN、STP等）与分析设备匹配。
注意：此方案下，只有配置了目的端口的这台设备（Device A）能够将本地流量镜像出来。如果需要对另一台设备（Device B）的本地流量进行镜像，需要在Device B上也配置独立的镜像组和目的端口，或者考虑使用远程镜像（RSPAN）将Device B的流量跨MLAG链路引到Device A的目的端口。
关键配置步骤如下：
1. 在MLAG两台设备上，将需要镜像的源端口或VLAN通过`mirroring-group`命令绑定到镜像组。
2. 选择其中一台设备（例如Device A）的一个物理端口作为镜像目的端口。该端口不能是MLAG聚合成员端口，也不能配置为MLAG的普通业务口。
3. 在Device A上，将该目的端口加入镜像组。例如：
mirroring-group 1 mirroring-port GigabitEthernet 1/0/10 inbound
mirroring-group 1 monitor-port GigabitEthernet 1/0/24
其中，G1/0/24是目的端口。
4. 确保该目的端口的配置（如VLAN、STP等）与分析设备匹配。
注意：此方案下，只有配置了目的端口的这台设备（Device A）能够将本地流量镜像出来。如果需要对另一台设备（Device B）的本地流量进行镜像，需要在Device B上也配置独立的镜像组和目的端口，或者考虑使用远程镜像（RSPAN）将Device B的流量跨MLAG链路引到Device A的目的端口。
额
0_1
发表时间：1天前
可以实现！
虽然 MLAG 由两台设备组成，但你可以通过以下方式将两台设备上的镜像流量汇聚到同一个目的端口（即流量监控设备的单口）：
虽然 MLAG 由两台设备组成，但你可以通过以下方式将两台设备上的镜像流量汇聚到同一个目的端口（即流量监控设备的单口）：
方案一：【推荐】使用“远程镜像 + 本地汇聚”或“镜像流量重定向到同一台设备”
方案二：【简化版】仅在主动/主用设备上做镜像（牺牲部分流量完整性）
方案三：【高级】使用 ERSPAN / GRE 封装镜像流量后统一发送（需支持）
详细分析与解决方案
背景说明
- MLAG-1 和 MLAG-2 是两台交换机，通过 Peer-Link 互联，对外呈现为一个逻辑设备。
- 流量可能从任意一台设备进入或离开（取决于 ECMP、MAC 表项等）。
- 你想镜像的是“经过 MLAG 的流量”，比如服务器访问互联网的流量。
- 监控设备只有一个网口 → 只能接收一路镜像流。
推荐方案：【集中式镜像】—— 将所有镜像流量引导至其中一台设备，再从该设备输出到监控口
原理：
利用 MLAG 的 Peer-Link 或内部转发机制，把另一台设备需要镜像的流量“拉过来”，在本机统一镜像输出。
步骤（以 H3C/Huawei/Cisco 为例，通用思路）：
1. 在 MLAG-1 上配置本地镜像组（Mirror Group）
1# 创建镜像组
2mirroring-group 1 local
3
4# 添加源端口（例如连接服务器的端口）
5mirroring-group 1 mirroring-port GigabitEthernet 1/0/1 both
6
7# 设置目的端口（连接监控设备的端口）
8mirroring-group 1 monitor-port GigabitEthernet 1/0/242. 在 MLAG-2 上配置“远程镜像”或“镜像流量重定向到 MLAG-1”
注意：不是所有厂商都支持直接跨设备镜像到对端的目的端口。如果 unsupported，则采用下面的替代方法：
替代方案（更实用）：【双设备独立镜像 + 外部汇聚器】
如果你的交换机不支持跨设备镜像到单一目的端口，那么：
➤ 方法 A：使用外部 TAP 或分光器（硬件层解决）
- 在 MLAG-1 和 MLAG-2 各自配置本地镜像，分别输出到两个端口。
- 使用一个网络分光器（TAP） 或 带多个输入口的数据包聚合器（如 NetOptics, Garland, 或软件工具如 tcpreplay + Linux bridge），将两路镜像流合并成一路，再送给监控设备。
优点：完全兼容任何交换机，无配置限制。
缺点：需要额外硬件成本。
缺点：需要额外硬件成本。
➤ 方法 B：使用 ERSPAN / GRE 封装镜像流量（软件层汇聚）
如果设备支持 ERSPAN（Encapsulated Remote SPAN）或类似功能（H3C 叫 “RSPAN over IP” 或 “GRE Mirror”）：
示例（H3C 风格伪命令）：
1# 在 MLAG-2 上配置 ERSPAN 源
2mirroring-group 2 remote-source
3mirroring-group 2 mirroring-port GigabitEthernet 1/0/1 both
4mirroring-group 2 destination-ip <MLAG-1的管理IP>
5mirroring-group 2 source-ip <MLAG-2的管理IP>
6
7# 在 MLAG-1 上配置 ERSPAN 目的 + 本地输出
8mirroring-group 2 remote-destination
9mirroring-group 2 monitor-port GigabitEthernet 1/0/24这样，MLAG-2 的镜像流量会被封装成 UDP/GRE 包发送到 MLAG-1，然后和本地镜像一起从同一个口输出给监控设备。
优点：无需额外硬件，纯软件实现。
缺点：增加 CPU 负担，延迟略高，需设备支持。
不推荐方案：只在主设备上做镜像
有些工程师会图省事，只在 MLAG-1 上做镜像，认为“大部分流量走这里”。
风险：
- 如果负载均衡导致部分流量走 MLAG-2，这部分流量不会被镜像 → 监控数据不完整。
- 对于安全审计、故障排查来说，缺失流量可能导致误判。
总结对比表
| 方案 | 是否完整镜像 | 是否需要额外硬件 | 配置复杂度 | 适用场景 |
|---|---|---|---|---|
| 集中式镜像（Peer-Link 牵引） | 完整 | 否 | 中等 | 设备支持跨设备镜像 |
| ERSPAN/GRE 封装汇聚 | 完整 | 否 | 较高 | 设备支持远程镜像 |
| 外部 TAP/聚合器 | 完整 | 是 | 低 | 万能兼容，预算允许 |
| 单设备镜像 | 不完整 | 否 | 最低 | 临时测试，非生产环境 |
一、核心问题分析
在 MLAG 双活架构下，本地镜像（Local Mirroring） 只能将本设备的流量镜像到本设备的目的端口，而你的流量监控设备只有一个物理口，只能接在其中一台 MLAG 设备（如 MLAG-2）上。
要实现 同时抓取 MLAG-1 和 MLAG-2 的流量，有两种成熟方案：
方案 1：流镜像 + 跨设备 ERSPAN（推荐，最标准）
将 MLAG-1 的流量通过 ERSPAN（远程镜像） 封装后，发送到 MLAG-2，再由 MLAG-2 统一镜像给监控设备。
1. 核心思路
- MLAG-1：将需要镜像的流量封装为 ERSPAN 隧道，发送到 MLAG-2 的 IP 地址。
- MLAG-2：接收 ERSPAN 流量，与本地需要镜像的流量一起，镜像到连接监控设备的物理端口。
- 监控设备：只需要一个口，就能收到两台 MLAG 设备的完整流量。
2. 配置步骤（CLI 示例）
在 MLAG-1 上配置（远程源）：
bash
运行
# 1. 创建远程镜像组
mirroring-group 1 remote-source
mirroring-group 1 remote-probe vlan 4094 # 用 MLAG peer-link 所在 VLAN
mirroring-group 1 monitor-ip 10.0.0.2 # MLAG-2 的 IP 地址
mirroring-group 1 source-ip 10.0.0.1 # MLAG-1 的 IP 地址
# 2. 配置流分类（匹配需要镜像的流量）
traffic classifier MLAG-TRAFFIC operator and
if-match any # 或精确匹配 VLAN/ACL
quit
# 3. 配置流行为（镜像到远程组）
traffic behavior MIRROR-TO-MLAG2
mirror-to mirroring-group 1
quit
# 4. 应用流策略到接口/VLAN
qos policy MIRROR-POLICY
classifier MLAG-TRAFFIC behavior MIRROR-TO-MLAG2
quit
interface XGE1/0/1 # 业务口或 VLAN 接口
qos apply policy MIRROR-POLICY inbound
qos apply policy MIRROR-POLICY outbound
quit
在 MLAG-2 上配置（本地目的）：
bash
运行
# 1. 创建本地镜像组，接收 ERSPAN 流量并转发给监控设备
mirroring-group 1 local
mirroring-group 1 monitor-port XGE1/0/24 # 连接监控设备的端口
# 2. 配置流分类，匹配 ERSPAN 隧道流量
traffic classifier ERSPAN-TRAFFIC operator and
if-match protocol gre # ERSPAN 基于 GRE 封装
quit
# 3. 配置流行为，将 ERSPAN 流量镜像到目的口
traffic behavior MIRROR-TO-MONITOR
mirror-to mirroring-group 1
quit
# 4. 应用策略，同时镜像本地流量和 ERSPAN 流量
qos policy COMBINE-MIRROR
classifier MLAG-TRAFFIC behavior MIRROR-TO-MONITOR # 本地流量
classifier ERSPAN-TRAFFIC behavior MIRROR-TO-MONITOR # 来自 MLAG-1 的流量
quit
interface XGE1/0/1 # 业务口
qos apply policy COMBINE-MIRROR inbound
qos apply policy COMBINE-MIRROR outbound
quit
interface Vlan-interface4094 # peer-link 接口，接收 ERSPAN 流量
qos apply policy COMBINE-MIRROR inbound
quit
方案 2：MLAG peer-link 镜像 + 本地聚合（简单粗暴，适合临时排查）
将两台 MLAG 设备的 peer-link 端口 都镜像到 MLAG-2 的目的口，利用 peer-link 同步两台设备的流量。
1. 核心思路
- MLAG 架构下，peer-link 会同步两台设备的所有业务流量。
- 只需要在 MLAG-2 上创建本地镜像组，将 本地业务口 + peer-link 口 都作为源端口，镜像到监控设备。
- 这样就能同时捕获 MLAG-1（通过 peer-link 传递）和 MLAG-2 的流量。
2. 配置步骤（CLI 示例）
bash
运行
# 在 MLAG-2 上配置
mirroring-group 1 local
# 源端口：本地业务口 + peer-link 口
mirroring-group 1 mirroring-port XGE1/0/1 to XGE1/0/20 both # 业务口
mirroring-group 1 mirroring-port XGE1/0/23 both # peer-link 口（接收 MLAG-1 的流量）
# 目的端口：连接监控设备
mirroring-group 1 monitor-port XGE1/0/24
方案对比
表格
| 方案 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|
| ERSPAN 远程镜像 | 精准、无冗余、流量完整 | 配置复杂，需 IP 网络 | 长期运维、核心业务监控 |
| peer-link 本地镜像 | 配置简单、快速生效 | peer-link 流量大时可能丢包，有冗余 | 临时排查、短期抓包 |
三、关键注意事项
- 目的端口独占：监控设备的端口必须配置为
monitor-port，不能再承载其他业务。 - 带宽考虑：如果业务流量大，确保目的端口带宽 ≥ 所有源端口带宽之和，避免丢包。
- MLAG 一致性：两台 MLAG 设备的镜像策略必须保持一致，否则会出现流量缺失。
四、最终建议
- 长期监控：优先选择 ERSPAN 远程镜像方案，最稳定、最标准。
- 临时抓包：直接用 peer-link 本地镜像方案，5 分钟就能配完。
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
额