XCM8800系列交換機(jī)本地端口鏡像與ACL鏡像功能配置與說明

1、XCM8800系列交換機(jī)本地端口鏡像與ACL鏡像功能配置與說明文檔說明：端口鏡像功能是大多數(shù)網(wǎng)絡(luò)監(jiān)控，排除故障的重要組成部分。依靠端口鏡像功能，網(wǎng)絡(luò)管理者能通過監(jiān)測、下載、分析數(shù)據(jù)包了解到網(wǎng)絡(luò)情況，解決網(wǎng)絡(luò)中存在的問題。XCM88系列交換機(jī)不僅提供了常用的端口鏡像功能，同時(shí)還能夠通過ACL匹配需要分析的流量實(shí)現(xiàn)更細(xì)化的鏡像功能，大大提高數(shù)據(jù)包分析的精度。文檔適用性：本文檔主要介紹XCM8800本地鏡像功能，對(duì)于遠(yuǎn)程鏡像功能有所涉及，但不作具體介紹。鏡像規(guī)則與限制：1. 當(dāng)關(guān)閉鏡像功能時(shí)，所有的過濾器不能被配置2. 要改變監(jiān)控端口，首先要移除所有的過濾器3. 不能鏡像監(jiān)控端口4. 鏡像配置被移除

2、，當(dāng)下列情況發(fā)生：o 刪除一個(gè)VLAN（對(duì)于所有基于VLAN的過濾）o 刪除一個(gè)VLAN的端口（對(duì)于所有VLAN，基于端口的過濾）o 不配置一個(gè)插槽（slot）（對(duì)于在該插槽上面的所有基于端口的過濾）5. 任何的鏡像端口也可以為負(fù)載共享（或鏈路聚合）而啟用，然而，負(fù)載共享組的每個(gè)單獨(dú)端口必須被明確配置為鏡像。6. 鏡像過濾器不限制在一個(gè)模塊上，可以在多個(gè)模塊上起用。7. 不能使用管理端口進(jìn)行鏡像8. 如果你需要鏡像的標(biāo)簽包是1519到1522字節(jié)，在1對(duì)多的鏡像情況下，需要啟用JUMBO幀和LOOPBACK 端口。9. LOOPBACK口是一個(gè)實(shí)際的物理端口，是專用于鏡像端口，不能用于其它配置

3、，當(dāng)被指定時(shí)，LED會(huì)發(fā)亮。10. 由于某些限制，下面類型的包在使用出站VLAN將不能被出口鏡像或者基于虛擬端口的鏡像。o CPU產(chǎn)生的包o 2層多播流量11. 當(dāng)流量接近線速時(shí)，鏡像速率可能下降，由于鏡像是復(fù)制流量，當(dāng)負(fù)載高時(shí)，可用帶寬將優(yōu)先用于常規(guī)流量，而不是鏡像流量?；剧R像功能配置步驟與命令：步驟1：配置鏡像模式#configure mirroring mode standard/enhancedstandard 標(biāo)準(zhǔn)模式下，當(dāng)一個(gè)數(shù)據(jù)包匹配入站鏡像過濾器和出站鏡像過濾器時(shí)，只能鏡像到一份數(shù)據(jù)包。enhanced 增強(qiáng)模式下，當(dāng)一個(gè)數(shù)據(jù)包匹配入站鏡像過濾器和出站鏡像過濾器時(shí)，會(huì)同時(shí)鏡像

4、到兩份數(shù)據(jù)包。在使用遠(yuǎn)程鏡像功能時(shí)，必須起用增強(qiáng)模式。步驟2：配置監(jiān)控端口（流量副本傳輸?shù)酱硕丝冢?enable mirroring to port M鏡像到一個(gè)端口#enable mirroring to port-list X-Y loopback-port Z鏡像到多個(gè)端口，loopback端口用于過渡流量使用，必須是模塊上一個(gè)真實(shí)存在的物理端口，該端口被配置為loopback后，燈會(huì)亮起。步驟3：配置被監(jiān)控端口(過濾器)#enable mirroring add vlan |port ingress/egressvlan 基于VLAN配置鏡像過濾器,后面跟VLAN的名字port 基于端

5、口配置鏡像過濾器，后面跟PORT的號(hào)碼ingress 在入站方向上進(jìn)行鏡像監(jiān)控，將流量送到監(jiān)控口egress 在出站方向上進(jìn)行鏡像監(jiān)控，將流量送到監(jiān)控口注意：1、基于VLAN的鏡像只能將被監(jiān)控端口的入站的數(shù)據(jù)包送到鏡像端口上。2、以上的M，X，Y，Z等分別代表不同的物理端口號(hào)配置實(shí)例：我們嘗試使用以上拓?fù)?，?duì)PC1-XCM8810-PC2設(shè)備的ICMP流量進(jìn)行監(jiān)控：基本配置：1. PC1 的IP：10.1.1.100 網(wǎng)關(guān)：10.1.1.12. PC2 的IP：10.1.2.100 網(wǎng)關(guān)：10.1.2.13. XCM8810交換機(jī)起用三層交換特性，起用VLAN特性，起用VLAN間路由特性：VL

6、AN SAM-1 的IP：10.1.1.1 分配的端口有8：10VLAN SAM-2 的IP：10.1.2.1 分配的端口有8：124. Monitor laptop 是監(jiān)控入筆記本 安裝有Wireshark的免費(fèi)流量監(jiān)控軟件，接到XCM8810的8：14號(hào)端口上。5. 端口表示為“插槽:端口號(hào)” 例如：8:10代表從上往下數(shù)第八個(gè)插槽第十個(gè)端口。以下給出三層交換機(jī)上面的基本VLAN等的配置：#create vlan sam-1#create vlan sam-2#configure vlan sam-1 tag 500#configure vlan sam-2 tag 1000#config

7、ure vlan default delete ports 8:10,8:12,8:14#configure vlan sam-1 add ports 8:10 untagged#configure vlan sam-2 add ports 8:12 untagged#configure vlan sam-1 ipaddress 10.1.1.1 255.255.255.0#configure vlan sam-2 ipaddress 10.1.2.1 255.255.255.0#enable ipforwarding vlan sam-1#enable ipforwarding vlan s

8、am-2#save以下開始配置端口鏡像功能-基本型：#configure mirroring mode standard#enable mirroring to port 8:14#enable mirroring add port 8:10 /默認(rèn)情況下不選，則是應(yīng)用在ingress、egress兩個(gè)方向#enable mirroring add port 8:12通過PC1的長時(shí)間PING進(jìn)行測試： ping 10.1.2.100 t,通過LAPTOP上面的wireshark抓包。以下分別是將在vlan、port作端口鏡像時(shí)應(yīng)用到端口8:10和8:12抓icmp包情況：端口8:10端口8:

9、12Port 默認(rèn)不寫(ingress/egress)echo-requestecho-replyPort 默認(rèn)不寫(ingress/egress)echo-requestecho-replyPort ingressecho-requestPort ingressecho-replyPort egressecho-replyPort egressecho-requestvlan sam-1（只鏡像入站流量）echo-requestvlan sam-2（只鏡像入站流量）echo-reply通過ACL方式實(shí)現(xiàn)端口鏡像功能：步驟1：編寫ACL，將ACL中的ACTION項(xiàng)填寫為Mirroring。具體

10、原理請(qǐng)參考文檔：XCM8800 系列交換機(jī) ACL 基礎(chǔ)介紹步驟2：配置鏡像模式步驟3：配置監(jiān)控端口（流量副本傳輸?shù)酱硕丝冢┎襟E4：將ACL配置在需要被監(jiān)控的端口上。具體原理請(qǐng)參考文檔：XCM8800 系列交換機(jī) ACL 基礎(chǔ)介紹配置實(shí)例：仍然以上例為基礎(chǔ)，使icmp流量作為需要監(jiān)控的對(duì)象，向鏡像監(jiān)控端口發(fā)送流量。vlan 配置請(qǐng)參考上例中的配置語句以下是ACL的policy配置：#edit policy samentry sama if protocol icmp;source-address 10.1.1.0/24;icmp-type echo-request;destination-ad

11、dress 10.1.2.0/24;then mirror;count number; 以下配置開啟端口鏡像功能：#configure mirroring mode standard#enable mirroring to port 8:14以下配置ACL到端口8:10和8:12：configure access-list sam ports 8:10,8:12通過PC1的長時(shí)間PING進(jìn)行測試： ping 10.1.2.100 t,通過LAPTOP上面的wireshark抓包。以下分別是通過ACL將在vlan、port作端口鏡像時(shí)應(yīng)用到端口8:10和8:12抓icmp包情況：端口8:10端口

12、8:12Port 默認(rèn)不寫（ingress）echo-requestPort 默認(rèn)不寫（ingress）echo-replyPort ingressecho-requestPort ingressecho-replyPort egressACL不能被應(yīng)用于出站方向Port egressACL不能被應(yīng)用于出站方向vlan sam-1（只鏡像入站流量）echo-requestvlan sam-2（只鏡像入站流量）echo-reply以下是檢查ACL或鏡像、刪除鏡像常用命令：show mirroring /查看鏡像show access-list count vlan sam-1 /查看ACL匹配的包數(shù)和ACL應(yīng)用位置。show configure vlan /查看vlan配置show policy sam /查看名字叫sam的ACL POLICYcheck poli