配置基于ACL的远程流镜像示例

组网图形

图1 配置远程流镜像组网图

远程流镜像简介

• 配置注意事项
• 组网需求
• 配置思路
• 操作步骤
• 配置文件

远程流镜像简介

流镜像是指在设备上配置一定的规则，将符合规则的特定业务流复制到观察端口进行分析和监控；远程则是指观察端口与监控设备通过中间网络相连。

流镜像有基于MQC和基于ACL两种配置方式。前者配置复杂，但是支持匹配的规则比后者多，而且基于MQC方式的流镜像支持入方向（即接收报文方向）、出方向（即发送报文方向）的流镜像；后者配置简便，但是没有前者支持匹配的规则多，而且基于ACL方式的流镜像只支持入方向的流镜像。

配置注意事项

• 观察端口专门用于镜像报文的转发，因此不要在上面配置其他业务，防止镜像报文与其他业务的数据报文在观察端口上同时转发会互相影响。尤其是当某一接口为Eth-Trunk接口的成员接口时，不要配置该成员接口为观察端口，如果确实需要，请确保该成员接口所承载的业务流量以及镜像流量占用的带宽未超过该接口带宽。
  
• 在设备上应用镜像功能时，如果镜像过多，会占用较多的设备内部转发带宽，影响其他业务转发。另外，如果镜像端口的带宽大于观察端口的带宽，比如，镜像端口的带宽是1000Mbit/s，观察端口的带宽是100Mbit/s，会导致观察端口因带宽不足而不能及时转发全部的镜像报文，发生丢包。
  
• 本举例适用如下产品和版本：

• 框式交换机：V200R005C00及后续版本
• S2700-EI、S3700-SI、S3700-EI、S3700-HI、S5700-EI、S5710-EI、S5720-EI、S5700-HI、S5710-HI、S5720-HI、S5730-HI、S5731-H、S5731-S、S5731S-S、S5731S-H、S5731-H-K、S5732-H、S5732-H-K、S2730S-S、S5735-L-I、S5735-L1、S300、S5735-L、S5735S-L1、S5735S-L、S5735S-L-M、S500、S5735-S、S5735S-S、S5735-S-I、S6700-EI、S6720-EI、S6720S-EI、S6720-HI、S6730-H、S6730S-H、S6730-H-K、S6730-S、S6730S-S：适用版本请参见“案例适用的产品和版本说明”中的表1

组网需求

如图1所示，外部访问用户通过SwitchA访问公司的服务器，防病毒监控设备Server通过SwitchB与SwitchA相连。

现在公司官网被恶意攻击瘫痪，网络管理员希望Server能够远程对TCP端口号匹配WWW端口号的报文流进行分析，定位出恶意攻击源。

配置思路

1. 在SwitchA上配置接口GE1/0/2为二层远程观察端口，负责向绑定的VLAN转发镜像报文。
2. 在SwitchA上配置高级ACL，匹配的报文流为TCP端口号是WWW端口号的报文流。
3. 在接口GE1/0/1上配置基于ACL的流策略，对上述匹配的报文进行镜像。
4. 在SwitchB上创建VLAN，关闭该VLAN的MAC地址学习功能。配置接口加入VLAN，负责将观察端口发送过来的报文向Server转发。

操作步骤

1. 在SwitchA上配置观察端口# 在SwitchA上配置接口GE1/0/2为二层远程观察端口，绑定的VLAN为VLAN10。

<HUAWEI> system-view

[HUAWEI] sysname SwitchA

[SwitchA] observe-port 1 interface gigabitethernet 1/0/2 vlan 10     //配置GE1/0/2为二层远程观察端口，观察端口索引为1，绑定的VLAN为VLAN10

1. 配置完成后，观察端口会将镜像报文向VLAN10进行转发，不需要在观察端口下进行接口加入VLAN的操作。
2. 在SwitchA上配置高级ACL# 在SwitchA上分别创建编号为3000的ACL，并配置ACL 3000的规则是匹配TCP端口号是WWW端口号的报文。

[SwitchA] acl number 3000     //创建ACL 3000，规则配置为允许TCP端口号是WWW端口号的报文通过

[SwitchA-acl-adv-3000] rule permit tcp destination-port eq www

[SwitchA-acl-adv-3000] quit

1. 在SwitchA上配置基于ACL的流策略# 在SwitchA的接口GE1/0/1上配置基于ACL的流策略，对上述匹配的报文进行镜像。

[SwitchA] interface gigabitethernet 1/0/1

[SwitchA-GigabitEthernet1/0/1] traffic-mirror inbound acl 3000 to observe-port 1     //将GE1/0/1入方向上匹配ACL 3000规则的报文流镜像到索引为1的观察端口

[SwitchA-GigabitEthernet1/0/1] return

1. 在SwitchB上创建VLAN，配置接口加入VLAN# 在SwitchB上创建VLAN10，关闭该VLAN的MAC地址学习功能，将接口GE1/0/1和GE1/0/2加入VLAN10。
   
   该VLAN仅用于转发镜像报文，不要使用该VLAN进行其他业务转发。如果该VLAN已存在，且已学习到MAC地址，请在系统视图下执行undo mac-address vlan vlan-id命令删除该VLAN已学习到的所有MAC地址。

<HUAWEI> system-view

[HUAWEI] sysname SwitchB

[SwitchB] vlan 10

[SwitchB-vlan10] mac-address learning disable     //关闭该VLAN的MAC地址学习功能

[SwitchB-vlan10] quit

[SwitchB] interface gigabitethernet 1/0/1

[SwitchB-GigabitEthernet1/0/1] port link-type access     //设置监控设备侧接口链路类型为access，接口缺省链路类型不是access口

[SwitchB-GigabitEthernet1/0/1] port default vlan 10

[SwitchB-GigabitEthernet1/0/1] quit

[SwitchB] interface gigabitethernet 1/0/2

[SwitchB-GigabitEthernet1/0/2] port link-type trunk     //设置网络侧接口链路类型为trunk，接口缺省链路类型不是trunk口

[SwitchB-GigabitEthernet1/0/2] port trunk allow-pass vlan 10

[SwitchB-GigabitEthernet1/0/2] return

1. 验证配置结果# 查看ACL规则和流行为信息。

<SwitchA> display traffic-applied interface gigabitethernet 1/0/1 inbound

-----------------------------------------------------------

ACL applied inbound interface GigabitEthernet1/0/1

ACL 3000

rule 5 permit tcp  destination-port eq www (match-counter 0)

ACTIONS:

mirror to observe-port 1

-----------------------------------------------------------

1. # 查看观察端口的配置情况。

<SwitchA> display observe-port

 ----------------------------------------------------------------------

 Index          : 1

 Untag-packet   : No

 Forwarding     : No

 Interface      : GigabitEthernet1/0/2

 Vlan           : 10

 ----------------------------------------------------------------------

1. # 查看镜像端口的配置情况。

<SwitchA> display port-mirroring

 ----------------------------------------------------------------------

 Observe-port 1 : GigabitEthernet1/0/2

 ----------------------------------------------------------------------

 Stream-mirror:

 ----------------------------------------------------------------------

      Behavior               Direction  Observe-port

 ----------------------------------------------------------------------

 1    SACL                   -          Observe-port 1

 ----------------------------------------------------------------------  

配置文件

• SwitchA的配置文件

#

sysname SwitchA

#

observe-port 1 interface GigabitEthernet1/0/2 vlan 10

#

acl number 3000

rule 5 permit tcp destination-port eq www

#

interface GigabitEthernet1/0/1

traffic-mirror inbound acl 3000 to observe-port 1

#

return

• SwitchB的配置文件

#

sysname SwitchB

#

vlan batch 10

#

vlan 10

mac-address learning disable

#

interface GigabitEthernet1/0/1

port link-type access

port default vlan 10

#

interface GigabitEthernet1/0/2

port link-type trunk

port trunk allow-pass vlan 10

#

return