交换机+流镜像

官网有的啊

🔍 核心方案与官方案例

方案一：基于GRE隧道的三层远程端口镜像（最典型）

这是最常见的实现方式，通过在网络设备间建立GRE隧道，将镜像流量跨三层网络传输。

• S6800产品典型配置案例：一个非常详细的官方配置案例，完整演示了如何通过配置业务环回组、GRE Tunnel接口和OSPF路由，将源端口的流量镜像到远端服务器。

  • 配置要点包括：创建service-loopback group、配置interface tunnel、配置mirroring-group并将tunnel接口指定为监控端口。

• H3C官方配置指导：在官网的“网络管理和监控配置指导”手册中，你可以找到“三层远程端口镜像配置举例（Tunnel方式ERSPAN）”这一节，这是最权威的参考。

方案二：基于QoS策略的流镜像（更灵活）

这种方式更精细，可以根据ACL（访问控制列表） 匹配特定的流量（如特定IP段、协议等），然后将匹配的报文镜像出去。

• 针对VLAN做镜像的案例：这个案例介绍了如何通过配置高级ACL、流分类和流行为，将匹配的流量镜像到指定接口。

  • 关键在于traffic behavior中使用mirror-to命令，并指定目的IP和源IP进行GRE封装。

方案三：通过PBR（策略路由）实现镜像

在较新的软件版本中（如R7595），H3C引入了通过策略路由来镜像报文的功能。

• 三层远程流镜像功能实现案例：这个案例提到了在S125等设备上，可以使用apply mirror-to-destination命令，在策略路由中直接将报文镜像到GRE隧道。这为配置提供了更多选择。

三层远程流镜像（ERSPAN/GRE 流镜像）案例获取渠道 + 完整配置实例
一、官方文档案例获取渠道（权威完整，优先查阅）
渠道 1：新华三官网配置指导（中文完整案例）
镜像配置指导（含三层远程流镜像 ERSPAN）
链接：https://www.h3c.com/cn/d_202605/2843320_30005_0.htmH3C
章节「2.8 流镜像配置举例」包含：三层远程流镜像（GRE 封装跨三层路由） 完整组网、配置步骤、校验命令，适配全系列 S5120/S5560/S6520/S6800 V7 交换机。
镜像典型配置举例文档（独立案例手册）
链接：https://wwwsg-proxy.h3c.com/cn/d_202309/1923150_30005_0.htmwwwsg-prox...
文档 6.2 小节：三层远程流镜像配置举例，分源交换机、中间三层设备、目的交换机三段完整配置文件。
英文硬件专属手册（数据中心框式 S6800/S9800）
链接：https://www.h3c.com/en/d_202311/1960531_294551_0.htmH3C
章节Example: Configuring Layer 3 remote flow mirroring (GRE encapsulation)，万兆 / 40G/100G 接口三层远程流镜像工程案例。
渠道 2：知了社区（实战落地案例、排错场景）
链接：https://zhiliao.h3c.com/
搜索关键词：三层远程流镜像、ERSPAN流镜像，大量混合组网（IRF+M-LAG + 三层远程流镜像）、跨机房监控、防火墙旁路审计真实项目案例，附带现场故障排查步骤。
渠道 3：本地设备内置帮助命令（设备离线查阅）
登录交换机命令行，输入：
bash
运行
display mirroring-group ?
# 查看三层远程流镜像内置配置示例
display qos policy flow-mirror example

二、三层远程流镜像（ERSPAN GRE）标准完整案例（V7 通用）
组网说明
源交换机 A（接入层 S5120）：抓取业务流量，流分类匹配指定五元组，GRE 封装三层远程镜像；
中间三层设备：普通静态 / OSPF 路由互通两端 Tunnel 接口 IP；
目的交换机 B（机房核心 S6520）：解封装 GRE，本地镜像口接审计服务器；
核心原理：流镜像 + GRE 隧道封装，跨三层路由转发镜像报文（区别二层远程镜像只能同广播域）。
1）源交换机 A 配置（产生三层远程流镜像）
bash
运行
system-view
# 1. 创建GRE三层隧道接口（三层镜像封装通道）
interface Tunnel0 mode gre
ip address 10.0.1.1 255.255.255.0
source GigabitEthernet 1/0/24 # 上联三层接口
destination 10.0.2.1 # 目的交换机Tunnel接口IP
# 配置路由保证隧道互通
ip route-static 10.0.2.0 255.255.255.0 192.168.1.1

# 2. 流分类：匹配需要镜像的业务流量（自定义五元组）
acl number 3000
rule permit ip source 192.168.10.0 0.0.0.255 destination any

traffic classifier MIRROR-CLASS operator and
if-match acl 3000

# 3. 流行为：三层远程流镜像，封装到Tunnel0
traffic behavior MIRROR-REMOTE
mirroring-to tunnel Tunnel0

# 4. QoS策略绑定分类+行为
qos policy MIRROR-POLICY
classifier MIRROR-CLASS behavior MIRROR-REMOTE

# 5. 接口下发策略（被监控业务接入口）
interface GigabitEthernet 1/0/1 to GigabitEthernet 1/0/8
qos apply policy MIRROR-POLICY inbound

2）目的交换机 B 配置（解封装、本地输出到审计服务器）
bash
运行
system-view
# 1. 对端GRE隧道，和源设备隧道IP互通
interface Tunnel0 mode gre
ip address 10.0.2.1 255.255.255.0
source GigabitEthernet 1/0/24
destination 10.0.1.1
ip route-static 10.0.1.0 255.255.255.0 192.168.2.1

# 2. 创建本地镜像组，监控口接审计服务器
mirroring-group 1 local
mirroring-group 1 monitor-port GigabitEthernet 1/0/48
# 监控口关闭STP，避免镜像报文被阻断
interface GigabitEthernet 1/0/48
undo stp enable

# 3. 流分类匹配GRE解封装后的镜像流量
acl number 3001
rule permit ip source 192.168.10.0 0.0.0.255

traffic classifier REMOTE-MIRROR-IN operator and
if-match acl 3001

# 4. 流行为：本地镜像输出
traffic behavior LOCAL-MIRROR
mirroring-group 1

# 5. 隧道接口下发策略，解封装后镜像至本地监控口
qos policy REMOTE-MIRROR-OUT
classifier REMOTE-MIRROR-IN behavior LOCAL-MIRROR
interface Tunnel0
qos apply policy REMOTE-MIRROR-OUT inbound

3）中间三层交换机仅需保证路由互通
仅配置静态 / 动态路由，放行 GRE 协议 IP 号 47，无额外镜像配置。
三、关键区分：二层远程镜像 vs 三层远程流镜像
表格
类型 实现方式 跨网段能力 适用场景
二层远程镜像（remote-probe VLAN） 专用镜像 VLAN 透传 仅同一二层广播域，不能跨三层路由 同机房两台交换机，无三层隔离
三层远程流镜像（ERSPAN/GRE） 流分类 + GRE 隧道封装 可跨多段三层路由、跨机房、跨网段 异地机房、汇聚 - 核心三层隔离场景
四、配套校验与排错命令
bash
运行
# 查看流分类/流行为/策略绑定
display traffic classifier all
display traffic behavior all
display qos policy all

# 查看GRE隧道状态
display interface Tunnel0

# 查看本地镜像组状态
display mirroring-group all

# 抓包验证隧道是否封装镜像流量
debugging tunnel gre packet

五、常见限制说明
三层远程流镜像依赖设备支持 GRE 隧道，S5110/S1224F 低端接入款不支持，S5560/S6520/S6800 全系列支持；
镜像流量会额外占用上联带宽，大流量业务建议限速；
监控口仅接审计设备，不要运行业务，关闭 STP/802.1X 等安全功能。