利用交换机镜像点抓流量与分析协议

简介:





 

 以下信息是本人刚涉足IDC圈,整理的文档,三年过去….觉得当时写的不太好。但还是把它黏贴出来,一些理解错或者看不懂的,大家可以交流.现在关于流量,有了更全面的监控平台.对于实时捉交换机端口流量,solarwinds绝对是个首选。一些arp 或者要分析协议,还是要靠抓包软件去实现的.
 
相对我们公司涉及到一些交换机,如何做端口镜像,通过辅助抓包软件解析流量!我做个简单介绍,以下是IDC机房交换机的部分品牌:
D-Link 3226s
DES-3026
H3C-S3100-26TP-SI 
H3C-S2126-E0001P01   
H3C-S5024P-E0102P01 
TL-SL3226P
Cisco-3560
D-Link 3226s 和 DES-3026
登陆交换机主配置菜单------选择下面的Advanced setup------Mirroring Configurations(镜像配置)---- 把mirror Status选项设为Enabled,然后将Target Port 选项设置为Port24即为镜像端口,Port1端口监听模式点选为Both(即发送与接收的数据都同时监控),这样交换机就把1号端口(即2号端口至23端口,因为2-23的端口都是从1号进出流量)的数据随时随地都COPY了一份给Port 1,然后我们在Port 24上进行监听,Sniffer等抓包软件也就有了用武之地。

H3C-S3100-26TP-SI
H3C-S2126-E0001P01  
H3C-S5024P-E0102P01
 
A. web 登陆
 登陆到交换机界面---端口管理----端口镜像
 镜像端口设置为24,被镜像口选为1号端口,其他不用管!

 
  因为真如机房有个千兆H3C-S5024P 设备,1-4 端口接了4 个百兆交换机!直接把1-4号设置为被镜像端口.这样利用sniffer就可以监听到底下哪台服务器流量跑高了,比如4号端口的交换机,碰巧客户没设置ip或者这个交换机不支持网管功能,抓不了包!我们把1-4号设置为被镜像端口,利用sniffer监听,看到哪台流量跑高了.知道他的ip后,就可以知道MAC地址,用dis mac-address 0046-e68c-7c2f    就可以发现该MAC地址是从哪个端口出来,然后进入该端口后,输入mac-address blackhole 0046-e68c-7c2f vlan 1.限制这个MAC在这个端口通信,取消的话,输入undo mac-address blackhole 0046-e68c-7c2f vlan 1.如果知道哪个柜子有问题,为了更清晰分析,那么我们只把那个端口做为被镜像端口.就OK
 
判断华为中低端交换机是二层还是三层的简单方法
看型号的第二位数字,0-4是二层交换机,5-9是三层交换机,如3026/5012因为第二位是0,所以只带二层功能,3526/3924/2952/5648因第二位是5/9/9/6,所以都是带三层功能的
 
 
B. 命令行登陆
就拿H3CS5024P举个例子,其他型号我就不依依介绍了,大致一样!只是写千兆跟百兆注意下
 
要把GigabitEthernet 0/1端口上的报文复制到制定镜像端口GigabitEthernet 0/24上.
进入视图模式
Monitor-port GigabitEthernet 0/24
Mirroring-port GigabitEthernet 0/1
如果是1-4端口作为被镜像点
 
Monitor-port GigabitEthernet 0/24
Mirroring-port GigabitEthernet 0/1 to GigabitEthernet 0/4
 
删除镜像端口
Undo monitor-port
删除被镜像端口
Undo Mirroring-port GigabitEthernet 0/1
显示被镜像端口配置信息
Show mirror
 
提示

 
TL-SL3226P
进入登陆界面-----端口管理----方向模式监控
监控模式选择为:输入输出监控    监控端口选:24号端口
被监控端口选1号端口

当然,你也可以把2-23设为被监控端口,24号端口为镜像端口。效果一样的!后面我会做个截图对照一下

Cisco-3560
要把1号端口的报文镜像到24号端口
 
monitor session 1 source interface Fa0/24
monitor session 1 destination remote interface F0/1
 
有些会涉及在vlan上做个端口镜像点
 
monitor session 1 source interface Fa0/24
monitor session 1 destination remote vlan 11
 
关于屏蔽流量高的服务器
执行conf t,
mac-address static 0046-e68c-7c2f vlan 1 drop;限制通信
no mac-address static 0046-e68c-7c2f vlan 1 drop,取消限制
 
 
小技巧: 机房备份好每个网段的 MAC ip 对应表!经常更新。这对于我们找 arp ddos    的机器有很大的帮助!我个人是用科来网络这个软件自带 MAC 扫描工具,然后把数据备份到它自带的数据库。以方便网络故障分析
 
关于用什么软件抓包?我平时用的就以下三种
 
Sniffer      这个软件名字应该很熟悉了,对于不是很熟悉操作!可以到网上找个wolf培训视频教程
 
OmniPeek 功能非常非常强大!
 
科来网络    (推荐)相对不怎么熟悉一些协议,或者软件操作来说!这个很实用!易上手
 
现在用科来软件,对TL-SL3226P 做端口镜像做个介绍
 
打开 立即开始采集----选个网络适配器,然后确定!进入界面点“端点”,就可以看到详细信息。首先我把1号做为被控镜像点,24号为镜像点!如下图(因为我是远程抓的包,服务器一般会连不上,会很卡在那里,抓一会,我就把镜像关了,所以截的图,有些可能没显示那么全面)

下面这个图是2-23口做为被镜像口,24号口为镜像口

 

提示:因为科来这个软件是受限制,抓的ip只到50个,不限制是需要授权收费的,如果是捉真如那个s5024p的交换机,估计要用到sniffer或者OmniPeek,但也可以这样做,先用solarwinds抓,看到哪个端口流量跑高,再对那个端口做镜像!利用科来软件抓!
 
下面这个图是用OmniPeek 捉的图,因为我对这个软件不是很熟悉,还在学当中!供看一下,做个比较吧!


只是一些表面描述,需要对大家还是有点帮助.



    本文转自viong 51CTO博客,原文链接:http://blog.51cto.com/viong/287027,如需转载请自行联系原作者


相关文章
|
2月前
|
网络协议 网络性能优化 网络虚拟化
【亮剑】介绍了华为三层交换机的配置命令,包括基本配置(系统启动、接口配置、基础设置)、路由协议(OSPF、BGP)配置和高级功能(VLAN、ACL、QoS)配置
【4月更文挑战第30天】本文介绍了华为三层交换机的配置命令,包括基本配置(系统启动、接口配置、基础设置)、路由协议(OSPF、BGP)配置和高级功能(VLAN、ACL、QoS)配置。通过这些命令,网络工程师可以有效地管理设备、优化网络性能并解决网络问题。熟练掌握这些命令对于提升网络运行效率至关重要。
|
10月前
|
网络架构
交换机与路由器技术-36-端口镜像
交换机与路由器技术-36-端口镜像
41 0
|
10月前
|
网络架构
交换机与路由器技术-22-OSPF路由协议
交换机与路由器技术-22-OSPF路由协议
46 0
|
10月前
|
网络架构
交换机与路由器技术-21-RIP路由协议
交换机与路由器技术-21-RIP路由协议
43 0
|
10月前
|
网络架构
交换机与路由器技术-20-动态路由协议
交换机与路由器技术-20-动态路由协议
33 0
|
10月前
|
网络架构
交换机与路由器技术-17-生成树协议配置
交换机与路由器技术-17-生成树协议配置
38 0
|
10月前
|
网络架构
交换机与路由器技术-18-热备份路由选择协议HSRP
交换机与路由器技术-18-热备份路由选择协议HSRP
47 0
|
10月前
|
网络架构
交换机与路由器技术-16-生成树协议STP
交换机与路由器技术-16-生成树协议STP
40 0
|
11月前
|
存储 缓存 网络协议
交换机、IP地址、ARP协议
划分洪泛范围—隔离广播域(收到所有洪泛信息的设备集合) 每一个接口都是一个广播域 转发数据 路由表
93 0
|
监控 网络协议 网络性能优化
网络基础 港湾FlexHammer5010交换机镜像端口配置
网络基础 港湾FlexHammer5010交换机镜像端口配置
204 0