某局点交换机上三层路由口只能镜像单方向报文问题

某局点交换机上三层路由口只能镜像单方向报文问题

一、问题描述

客户拓扑图如下，客户想将S6800设备上的某些端口的双向流量通过镜像发送到服务器上去，但是当配置完成后，在服务器上进行观察发现只能收到单方向入方向的报文，无法收到出方向的报文。

二、过程分析

通过对S6800和S5560交换机上的配置进行分析看，现场客户先将S6800设备上的端口双向流量镜像到S5560设备端口上，在通过S5560交换机上通过在镜像vlan中广播进行传输将镜像数据传到服务器上。

看两设备上配置，S6800交换机上的源端口是一个路由口，而目的端口是一个聚合口，聚合口下默认配置，如下：

#

mirroring-group 1 local

#

interface Ten-GigabitEthernet1/0/48

port link-mode route

description ISP_TEL_S12510_T0/0/24_14.29.121.229_Up-Link

flow-interval 5

ip address 14.29.121.230 255.255.255.252

sflow flow collector 1

sflow sampling-rate 16000

sflow counter collector 1

sflow counter interval 60

packet-filter 3457 inbound

mirroring-group 1 mirroring-port both

#             

interface Bridge-Aggregation1

description to ADS-mirror

mirroring-group 1 monitor-port

#

      在S5560设备上，和S6800互联的接口为一个二层接口端口下access到vlan3001,

关闭了mac学习功能。

interface Ten-GigabitEthernet1/0/49     -----------和S6800互联接口

port link-mode bridge

port access vlan 3001

flow-interval 5

undo mac-address mac-learning enable

interface Ten-GigabitEthernet1/0/50   -----------连接服务器的接口

port link-mode bridge

port access vlan 3001

stp edged-port

     通过分析配置看设备上的配置不存在问题，将现场设备上的配置进行实验室复现，复现出现场的问题。将pc直接接到S6800设备的出接口上，在pc上抓包可以抓到双向的报文。但是抓取到的出方向报文是带有vlan tag 4095的:

    而中间透传S5560交换机后在PC上抓包只能抓取到入方向的单方向报文：

    通过分析和确认，交换机上端口启用三层路由口后底层实现上还是通过三层虚接口来实现的（vlan 4095），报文在从三层端口发出的时候会将外层4095的标签剥去，但是镜像的实现上：路由口以及 access口报文出方向去标签的动作是在镜像动作之后，所以out方向的报文镜像都是带有vlan标签的（4095），报文被镜像到5560接口上时，接口由于access了3001，vlan检查不通过给扔掉。

三、解决方法

通过上面分析可以看出，出方向报文无法发送到服务器上的原因是由于三层路由口镜像出来的报文带有tag4095导致在S5560设备接口上vlan检查不通过被丢弃，所以需要解决的是在S5560接口上检查通过放通out方向的报文。可以通过如下的两个方法实现：

1、 在S6800交换机上通过远程镜像来实现

 在S6800设备上可以通过镜像到vlan中，在vlan3001中透传，5560上透传3001，关闭3001的mac学习，服务器接口access 3001。该方法的实现相当于在S6800设备上先将报文打上外层3001的tag，在报文进入S5560设备接口的时候外层标签已经是3001，端口可以放通报文通过，在和服务器互联的端口上将外层3001标签剥去。

可以抓到双向的报文，但是由于三层口和镜像实现的机制问题，该双向报文中out方向的报文是带有4095的，这个是去不掉的。二层口上不存在这个问题。6800上配置如下，S5560设备上配置不变。

#

mirroring-group 1 remote-source

mirroring-group 1 remote-probe vlan 3001

#

interface Ten-GigabitEthernet3/0/16

port link-mode bridge

mirroring-group 1 reflector-port

#

2、 在S5560交换机上通过QINQ功能来实现

   该方法在S6800交换机上不做配置修改，只在S5560交换机的端口上开启qinq功能，报文在进入S5560交换机端口的时候由于qinq会先打上外层tag 3001，打上3001tag的报文会被端口放通，在和服务器互联的端口上将外层3001标签剥去。S5560交换机上端口配置如下,S6800交换机上配置不做修改。

interface Ten-GigabitEthernet1/0/49     -----------和S6800互联接口

port link-mode bridge

port access vlan 3001

flow-interval 5

qinq enable

undo mac-address mac-learning enable

四、分析总结

交换机上三层路由口的实现在底层也是通过vlan虚接口（4095）实现的，镜像在三层接口实现上在剥标签之前，导致了该问题的产生，由于镜像实现的逻辑顺序没法改变，可以通过其他方法来规避。