交换机端口镜像配置及说明
端口镜像概述
在介绍端口镜像配置之前,我们先来看了解一下什么是端口镜像,端口镜像就是把交换机一个或多个端口(VLAN)的数 据镜像到一个或多个端口的方法。那么为什么需要端口镜像?通常为了部署IDS产品需要监听网络流量(网络分析仪同样也需要),但是在目前广泛采用的交换网 络中监听所有流量有相当大的困难,因此需要通过配置交换机来把一个或多个端口(VLAN)的数据转发到某一个端口来实现对网络的监听。
端口镜像几种别名
1.PortMirroring:通常指允许把一个端口的流量复制到另外一个端口,同时这个端口不能再传输数据。
2.MonitoringPort:监控端口
3.SpanningPort:通常指允许把所有端口的流量复制到另外一个端口,同时这个端口不能再传输数据。
4.SPANport:在Cisco产品中,SPAN通常指SwitchPortANalyzer。某些交换机的SPAN端口不支持传输数据。
5.LinkModeport
支持端口镜像的交换机
大多数中档以上的交换机都支持端口镜像功能,但支持程度不同。
端口镜像配置方法
1.Cisco交换机
特点:
Ciscocatylist2550、Ciscocatylist3550支持2组monitorsession
Cisco交换机的端口镜像配置方法
enpassword
configterm
Switch(config)#monitor session 1 destination interfacefast 0/4(1为sessionid,id范围为1-2)
Switch(config)#monitor session 1 source interfacefast 0/1,fast 0/2,fast0/3(空格,逗号,空格) Switch(config)#exit
Switch#copy running-conf startup-conf
Switch#show port-monitor
2.Extreme交换机
特点:
只能创建多对一或者一对一的镜像端口
可以监听VLAN的流量
Extreme会镜像IN和OUT的流量。这就意味着在镜像VLAN的时候,会看到一个报文至少两次——从VLAN的某个端口出来,并且进入VLAN的另一个端口。
版本高于4.1的Extreme交换机端口镜像配置方法
{enable disable}mirroring on port
开启/关闭端口镜像功能,并且指定镜像流量从何端口流出,port-no只能是一个端口
configure mirroring {add delete}{vlan port}
指定镜像哪个或哪些VLAN或端口的流量{vlan port}
部分可以重复多次
版本低于4.1的Extreme交换机端口镜像配置方法
enable mirror to port port-no
开启端口镜像功能,并且指定镜像流量从何端口流出,port-no只能是一个端口
disable mirror
关闭端口镜像功能
configmirroraddport
镜像端口port-no的流量,如果这个端口包含多个VLAN这些流量都会被镜像到目的端口
config mirror add port
vlan
镜像端口port-no中指定VLAN的流量
config mirror add vlan
镜像端口中指定VLAN的所有端口的流量
config mirror del port
取消对port-no的端口镜像
config mirror del vlan
取消对指定VLAN的端口镜像
show mirror
显示端口镜像情况
3.Foundry交换机
特点:
可以创建多对多的端口镜像
Foundry交换机端口镜像配置方法
在配置模式中(Configuration Mode):
interface
port monitor{{rx tx both}}
确定镜像流量从哪个端口流出,修改此端口配置
指定要镜像哪些端口的哪些流量(rx指接收的流量,tx指发送的流量,both指双向流量),{{rx tx both}}部分可以重复
4.Juniper交换机
特点:
每交换机只能有一个监听端口
只能镜像IPv4的流量
只能镜像发送(transitonly)的流量,不能镜像接收的流量
JuniperM系列和T系列端口镜像配置方法
定义抽样过滤器,选择感兴趣的流量
user@router#show interface unit 0 familyi net filter {inputmirror-sample;}
5.华为交换机
华为3050交换机端口镜像配置方法
SwitchA相关配置
1.将端口E0/2配置为监控端口
[SwitchA]monitor-port Ethernet0/2
2.将端口E0/1配置为镜像端口
[SwitchA]mirroring-port Ethernet0/1 both
补充说明:支持多对一的端口镜像。
镜像端口配置时,可以使用参数定义被监控报文的方向。例如:参数both,表示同时监控端口的接收和发送报文;参数inbound,表示只监控端口接收 的报文;参数outbound,表示只监控端口发送的报文。需要注意的是:端口镜像是有风险的,它能加重交换机负载,造成设备不稳定,同时在某些情况下会 丢包,不能保证100%镜像流量。例如,由于多个源端口镜像到一个目的端口,目的端口无法处理造成丢包。