华为交换机：配置远程MAC镜像示例

华为交换机：配置远程MAC镜像示例

远程MAC镜像简介

远程MAC镜像是指观察端口通过一个中间网络与监控设备相连，观察端口将包含指定MAC地址的报文通过中间网络转发向监控设备。

配置注意事项

观察端口专门用于镜像报文的转发，因此不要在上面配置其他业务，防止镜像报文与其他业务的数据报文在观察端口上同时转发会互相影响。尤其是当某一接口为Eth-Trunk接口的成员接口时，不要配置该成员接口为观察端口，如果确实需要，请确保该成员接口所承载的业务流量以及镜像流量占用的带宽未超过该接口带宽。

在设备上应用镜像功能时，如果镜像过多，会占用较多的设备内部转发带宽，影响其他业务转发。另外，如果镜像端口的带宽大于观察端口的带宽，比如，镜像端口的带宽是1000Mbit/s，观察端口的带宽是100Mbit/s，会导致观察端口因带宽不足而不能及时转发全部的镜像报文，发生丢包。

MAC镜像只支持入方向镜像。

组网需求

如图14-20所示，某公司所有主机通过SwitchA与外部Internet通信，并且同属于VLAN10。监控设备Server通过SwitchB与SwitchA相连。

现在希望Server能够远程对MAC地址为0001-0001-0001的主机访问Internet的流量进行监控。

置思路

在SwitchA上创建VLAN10，将SwitchA与主机相连的接口加入VLAN10，实现主机与SwitchA间的二层互通。

在SwitchB上创建VLAN20，关闭该VLAN的MAC地址学习功能。将SwitchB与SwitchA、Server相连的接口加入VLAN20，实现SwitchB与SwitchA、Server间的二层互通。

在SwitchA上配置接口GE0/0/4为远程观察端口，负责向绑定的VLAN20转发镜像报文。

在VLAN10内配置MAC镜像，将VLAN10内指定MAC地址的主机访问Internet的流量复制一份到远程观察端口。

操作步骤

1、配置接口加入VLAN

# 在SwitchA上创建VLAN10，配置接口GE0/0/1～GE0/0/3加入VLAN10。

<HUAWEI> system-view

[HUAWEI] sysname Switch

[SwitchA] vlan batch 10

[SwitchA] interface gigabitethernet 0/0/1

[SwitchA-GigabitEthernet0/0/1] port link-type access     //设置主机侧接口链路类型为access，接口缺省链路类型不是access口

[SwitchA-GigabitEthernet0/0/1] port default vlan 10

[SwitchA-GigabitEthernet0/0/1] quit

[SwitchA] interface gigabitethernet 0/0/2

[SwitchA-GigabitEthernet0/0/2] port link-type access     //设置主机侧接口链路类型为access，接口缺省链路类型不是access口

[SwitchA-GigabitEthernet0/0/2] port default vlan 10

[SwitchA-GigabitEthernet0/0/2] quit

[SwitchA] interface gigabitethernet 0/0/3

[SwitchA-GigabitEthernet0/0/3] port link-type access     //设置主机侧接口链路类型为access，接口缺省链路类型不是access口

[SwitchA-GigabitEthernet0/0/3] port default vlan 10

[SwitchA-GigabitEthernet0/0/3] quit

# 在SwitchB上创建VLAN20，关闭该VLAN的MAC地址学习功能，配置接口GE0/0/1、GE0/0/4加入VLAN20。

该VLAN仅用于转发镜像报文，不要使用该VLAN进行其他业务转发。如果该VLAN已存在，且已学习到MAC地址，请在系统视图下执行undo mac-address vlan vlan-id命令删除该VLAN已学习到的所有MAC地址。

<HUAWEI> system-view

[HUAWEI] sysname SwitchB

[SwitchB] vlan 20

[SwitchB-vlan20] mac-address learning disable     //关闭该VLAN的MAC地址学习功能

[SwitchB-vlan20] quit

[SwitchB] interface gigabitethernet 0/0/1

[SwitchB-GigabitEthernet0/0/1] port link-type access     //设置监控设备侧接口链路类型为access，接口缺省链路类型不是access口

[SwitchB-GigabitEthernet0/0/1] port default vlan 20

[SwitchB-GigabitEthernet0/0/1] quit

[SwitchB] interface gigabitethernet 0/0/4

[SwitchB-GigabitEthernet0/0/4] port link-type trunk

[SwitchB-GigabitEthernet0/0/4] port trunk allow-pass vlan 20     //设置网络侧接口链路类型为trunk，接口缺省链路类型不是trunk口

[SwitchB-GigabitEthernet0/0/4] return

2、配置观察端口

# 在SwitchA上配置接口GE0/0/4为远程观察端口。

[SwitchA] observe-port 1 interface gigabitethernet 0/0/4 vlan 20     //配置GE0/0/4为二层远程观察端口，观察端口索引为1，绑定的VLAN为VLAN20

配置完成后，观察端口会将镜像报文向VLAN20进行转发，不需要在观察端口下进行接口加入VLAN的操作。

3、配置MAC地址镜像

# 在SwitchA上的VLAN10内配置MAC地址镜像，将其入方向绑定到远程观察端口，即将VLAN10内所有端口接收到的MAC地址为0001-0001-0001的报文复制一份到远程观察端口。

[SwitchA] vlan 10

[SwitchA-vlan10] mac-mirroring 0001-0001-0001 to observe-port 1 inbound     //VLAN10内所有接口入方向的MAC地址为0001-0001-0001报文镜像到索引为1的观察端口上

[SwitchA-vlan10] return

4、验证配置结果

# 查看观察端口的配置情况。

<SwitchA> display observe-port

  ----------------------------------------------------------------------

  Index          : 1

  Untag-packet   : No

  Forwarding     : No

  Interface      : GigabitEthernet0/0/4

  Vlan           : 20

  ----------------------------------------------------------------------

# 查看镜像端口的配置情况。

<Switch> display port-mirroring

  ----------------------------------------------------------------------

  Observe-port 1 : GigabitEthernet0/0/4

  ---------------------------------------------------------------------- 

  Mac-mirror:

  ----------------------------------------------------------------------

  Mirror-mac       Vlan    Direction     Observe-port

  ----------------------------------------------------------------------

  0001-0001-0001   10      Inbound       Observe-port 1

  ----------------------------------------------------------------------

配置文件

SwitchA的配置文件

#

sysname SwitchA

#

vlan batch 10

#

observe-port 1 interface GigabitEthernet0/0/4 vlan 20

#

vlan 10

 mac-mirroring 0001-0001-0001 to observe-port 1 inbound

#

interface GigabitEthernet0/0/1

 port link-type access

 port default vlan 10

#

interface GigabitEthernet0/0/2

 port link-type access

 port default vlan 10

#

interface GigabitEthernet0/0/3

 port link-type access

 port default vlan 10

#

return

SwitchB的配置文件

#

sysname SwitchB

#

vlan batch 20

#

vlan 20

 mac-address learning disable

#

interface GigabitEthernet0/0/1

 port link-type access

 port default vlan 20

#

interface GigabitEthernet0/0/4

 port link-type trunk

 port trunk allow-pass vlan 20

#

return