Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

配置端口镜像和分析器

了解端口镜像分析器

端口镜像可用于路由器和交换机上的流量分析,与集线器不同,路由器和交换机不会将数据包广播到目标设备上的每个端口。端口镜像会将所有数据包或基于策略的示例数据包的副本发送到本地或远程分析器,您可以在其中监控和分析数据。

在端口镜像分析器的上下文中,我们使用术语 交换设备。该术语表示设备(包括路由器)正在执行交换功能。

您可以在数据包级别使用分析器来帮助您:

  • 监控网络流量

  • 实施网络使用策略

  • 强制实施文件共享策略

  • 确定问题的原因

  • 识别带宽使用量大或异常的工作站或应用程序

您可以将端口镜像配置为镜像:

  • 桥接数据包(第 2 层数据包)

  • 路由数据包(第 3 层数据包)

镜像数据包可以复制到本地接口进行本地监控,也可以复制到 VLAN 或网桥域进行远程监控。

可以复制以下数据包:

  • Packets entering or exiting a port— 您可以以任意组合镜像进入或退出端口的数据包,最多可以支持 256 个端口。例如,您可以将进入某些端口的数据包和退出其他端口的数据包的副本发送到同一本地分析器端口或分析器 VLAN。

  • Packets entering or exiting a VLAN or bridge domain— 您可以将进出 VLAN 或网桥域的数据包镜像到本地分析器端口或分析器 VLAN 或网桥域。您可以将多个 VLAN(最多 256 个 VLAN)或桥接域配置为分析器的入口输入,包括一个 VLAN 范围和专用 VLAN (PVLAN)。

  • Policy-based sample packets—您可以镜像进入端口、VLAN 或网桥域的基于策略的数据包样本。您可以使用策略配置防火墙过滤器以选择要镜像的数据包。您可以将示例发送到端口镜像实例或者分析器 VLAN 或桥接域。

分析器概述

您可以将分析器配置为在同一分析器配置中定义输入流量和输出流量。要分析的输入流量可以是进入的流量,也可以是退出接口或 VLAN 的流量。分析器配置允许您将此流量发送到输出接口、实例、下一跃点组、VLAN 或桥接域。您可以在层次结构级别配置分析器 。[edit forwarding-options analyzer]

统计分析器概述

您可以定义一组镜像属性,例如流量的镜像速率和最大数据包长度,您可以将这些属性显式绑定到路由器或交换机上的物理端口。这组镜像属性构成统计分析器(也称为非默认分析器)。在此级别,可以将命名实例绑定到与特定 FPC 关联的物理端口。

默认分析器概述

您可以配置分析器,而无需配置任何镜像属性(如镜像速率或最大数据包长度)。默认情况下,镜像速率设置为 1,最大数据包长度设置为数据包的完整长度。这些属性在全局级别应用,不需要绑定到特定的 FPC。

绑定到多个统计分析器的一组端口上的端口镜像

您最多可以将两个统计分析器应用于交换设备上的相同端口组。通过将两个不同的统计分析器实例应用于同一个 FPC 或数据包转发引擎,您可以将两个不同的第 2 层镜像规范绑定到单个端口组。绑定到 FPC 的镜像属性将覆盖交换设备上全局级别绑定的任何分析器(默认分析器)属性。通过在同一端口组上绑定第二个分析器实例来覆盖默认分析器属性。

端口镜像分析器术语

表 1 列出了一些端口镜像分析器术语及其说明。

表 1: 分析器术语
术语 Description

分析仪

在镜像配置中,分析器包括:

  • 分析器的名称

  • 源(输入)端口、VLAN 或桥接域

  • 镜像数据包的目标(本地端口、VLAN 或桥接域)

分析仪输出接口

(也称为监视器端口)

发送镜像流量和连接协议分析器的接口。

用作分析器输出的接口必须在层次结构级别下 进行配置。forwarding-options

分析器输出接口具有以下限制:

  • 它们也不能是源端口。

  • 它们不参与生成树协议 (STP) 等第 2 层协议。

  • 如果分析器输出接口的带宽不足以处理来自源端口的流量,则会丢弃溢出数据包。

分析器 VLAN 或桥接域

(也称为监控 VLAN 或桥接域)

VLAN 或网桥域,镜像流量发送到该域以供协议分析器使用。监控 VLAN 或网桥域中的成员接口分布在网络中的交换设备上。

基于桥域的分析器

配置为将桥接域用于输入和/或输出的分析器会话。

默认分析器

具有默认镜像参数的分析器。默认情况下,镜像速率为 1,最大数据包长度为完整数据包的长度。

输入接口

(也称为镜像端口或受监控接口)

交换设备上的一个接口,用于镜像进入或退出此接口的流量。

基于 LAG 的分析器

在分析器配置中将链路聚合组 (LAG) 指定为输入(入口)接口的分析器。

本地镜像

一种分析器配置,其中数据包被镜像到本地分析器端口。

监测站

运行协议分析器的计算机。

基于下一跃点组的分析器

使用下一跃点组作为分析器的输出的分析器配置。

基于端口的分析器

定义输入和输出接口的分析器配置。

协议分析仪应用

用于检查通过网段传输的数据包的应用程序。通常也称为网络分析器、数据包嗅探器或探头。

远程镜像

其功能与本地镜像相同,不同之处在于镜像流量不会复制到本地分析器端口,而是泛洪到您专门为接收镜像流量而创建的分析器 VLAN 或桥接域。镜像数据包具有分析器 VLAN 或桥接域的附加外部标记。

统计分析仪

(也称为非默认分析器)

一组镜像属性,您可以将其显式绑定到交换机上的物理端口。这组分析器属性称为统计分析器。

基于 VLAN 的分析器

一种使用 VLAN 将镜像流量传送到分析器的分析器配置。

端口镜像分析器的配置准则

配置端口镜像分析器时。我们建议您遵循这些准则以确保获得最佳收益。我们建议您在不使用镜像时禁用镜像,并选择特定接口作为分析器的输入,而不是使用 关键字选项,这将在所有接口上启用镜像。all 仅镜像必要的数据包可减少任何潜在的性能影响。

您还可以通过以下方式限制镜像流量:

  • 使用统计抽样

  • 使用防火墙过滤器

  • 设置比率以选择统计样本

通过本地镜像,来自多个端口的流量将复制到分析器输出接口。如果分析器的输出接口达到容量,则会丢弃数据包。您必须考虑正在镜像的流量是否超过分析器输出接口的容量。

表 2 总结了分析器的进一步配置准则。

表 2: 端口镜像分析器的配置准则

指引

价值或支持信息

评论

可以同时启用的分析器数。

64 个默认分析器

每个 FPC 2 个 – 统计分析仪

统计分析器必须绑定到 FPC,才能镜像属于该 FPC 的端口上的流量。

注:

默认分析器属性隐式绑定在系统中所有 FPC 上的最后一个(或倒数第二个)实例上。因此,在 FPC 上显式绑定第二个统计分析器时,将覆盖默认分析器属性。

可用作分析器入口输入的接口、VLAN 或桥接域的数量。

256

无法镜像流量的端口类型。

  • 虚拟机箱 端口 (VCP)

  • 管理以太网端口(me0 或 vme0)

  • 集成路由和桥接 (IRB) 接口

  • VLAN 标记的第 3 层接口

 

可以包含在分析器中的协议家族。

适用于 EX 系列交换机和 MX 系列路由器。ethernet-switchingbridge

分析器仅镜像桥接流量。要镜像路由的流量,请将端口镜像配置与 as 或 一起使用。familyinetinet6

具有物理层错误的数据包不会发送到本地或远程分析器。

适用

具有这些错误的数据包将被过滤掉,因此不会发送到分析器。

分析器不支持线速流量。

适用

线速流量的镜像将尽最大努力完成。

LAG 接口上的分析器输出。

支持

 

分析器输出接口模式为中继模式。

支持

  • 中继接口必须是与分析器的输入配置相关的所有 VLAN 或桥接域的成员。

  • 如果输入已配置为 VLAN 或桥接域,并且输出是中继接口,则必须使用 此选项。 mirror-once

    注:

    使用镜像一次选项时,如果分析器输入同时来自入口和出口镜像,则仅镜像入口流量。如果同时需要入口和出口镜像,则输出接口不能是中继接口。在这种情况下,请将接口配置为接入接口。

主机生成的控制数据包的出口镜像。

不支持

 

在分析器的节中 配置第 3 层逻辑接口。input

不支持

 

必须避免使用包含同一 VLAN 成员或 VLAN 本身的分析器输入和输出节。

适用

 

在不同分析器会话中支持 VLAN 及其成员接口

不支持

如果配置了镜像,则任一分析器处于活动状态。

聚合以太网 (ae) 接口及其为不同分析器配置的子逻辑接口的出口镜像。

不支持

 

在 EX9200 交换机上配置镜像以分析流量(CLI 过程)

EX9200 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控,或发送到 VLAN 进行远程监控。您可以使用镜像复制以下数据包:

  • 进入或退出端口的数据包

  • 进入或退出 VLAN 的数据包

最佳实践:

仅镜像必要的数据包以减少潜在的性能影响。我们建议您:

  • 在不使用已配置的分析器时禁用它们。

  • 将单个接口指定为分析器的输入,而不是将所有接口指定为输入。

  • 通过以下方式限制镜像流量:

    • 使用统计抽样。

    • 设置比率以选择统计样本。

    • 使用防火墙过滤器。

注:

如果要创建其他分析器而不删除现有分析器,请使用命令行界面 (CLI) 或 J-Web 配置页中的语句禁用 现有分析器以进行镜像。disable analyzer analyzer-name

注:

用作分析器输出的接口必须在 下 配置,并且必须与 VLAN 相关联。ethernet-switching family

配置分析器以进行本地流量分析

要使用分析器将交换机上的网络流量或 VLAN 流量镜像到交换机上的接口,请执行以下操作:

  1. 选择分析器的名称并指定输入:

    例如,创建一个分析 器,用于监控进入接口 ge-0/0/0.0 和 ge-0/0/1.0 的数据包:employee-monitor

  2. 配置镜像数据包的目标接口:

    例如,将 ge-0/0/10.0 配置为分析器的目标 接口:employee-monitor

配置分析器以进行远程流量分析

要将遍历交换机上的接口或 VLAN 的流量镜像到用于从远程位置进行分析的 VLAN,请执行以下操作:

  1. 配置 VLAN 以承载镜像流量:

    例如,定义一个名为 的分析器 VLAN 并为其分配 VLAN ID :remote-analyzer999

  2. 将连接到分布式交换机的接口设置为接入模式,并将其与分析器 VLAN 关联:

    例如,将接口 ge-0/1/1 设置为访问模式,并将其与分析器 VLAN ID 关联:999

  3. 配置分析器:
    1. 定义分析器并指定要镜像的流量:

      例如,定义 要镜像的流量包括进入接口 ge-0/0/0.0 和 ge-0/0/1.0 的数据包的分析器:employee-monitor

    2. 将分析器 VLAN 指定为分析器的输出:

      例如,将 VLAN 指定 为分析器的输出分析器 :remote-analyzeremployee-monitor

配置统计分析器以进行本地流量分析

要使用统计分析器将交换机上的接口流量或 VLAN 流量镜像到交换机上的接口:

  1. 选择分析器的名称并指定输入接口:

    例如,指定名为 的分析器,并指定输入接口 ge-0/0/0 和 ge-0/0/1:employee-monitor

  2. 配置镜像数据包的目标接口:

    例如,将 ge-0/0/10.0 配置为镜像数据包的目标接口:

  3. 指定镜像属性。
    1. 指定镜像速率,即每秒要镜像的数据包数:

      有效范围为 1 到 65,535。

    2. 指定镜像数据包被截断的长度:

    有效范围为 0 到 9216。默认值为 0,表示镜像数据包不会被截断。

配置统计分析器以进行远程流量分析

要使用统计分析器将遍历交换机上的接口或 VLAN 的流量镜像到 VLAN,以便从远程位置进行分析:

  1. 配置 VLAN 以承载镜像流量:

    例如,配置一个使用 VLAN ID 调用的 VLAN:remote-analyzer999

  2. 将连接到分配交换机的接口设置为接入模式,并将其与 VLAN 关联:

    例如,将连接到分布式交换机的接口 ge-0/1/1.0 设置为接入模式并将其与 VLAN 关联:remote-analyzer

  3. 配置统计分析器:
    1. 指定要镜像的流量:

      例如,指定要镜像的进入端口 ge-0/0/0.0 和 ge-0/0/1.0 的数据包:

    2. 指定分析器的输出:

      例如,将 VLAN 指定 为分析器的输出:remote-analyzer

  4. 指定镜像属性。

    1. 指定镜像速率,即每秒要镜像的数据包数:

      有效范围为 1 到 65,535。

    2. 指定镜像数据包的截断长度:

    有效范围为 0 到 9216。默认值为 0,表示镜像数据包不会被截断。

将统计分析器绑定到 FPC 级别分组的端口

您可以将统计分析器绑定到交换机中的特定 FPC,即可以在交换机的 FPC 级别绑定统计分析器实例。统计分析器中指定的镜像属性将应用于与指定 FPC 上的所有数据包转发引擎关联的所有物理端口。

要将第 2 层分析器的命名实例绑定到 FPC,请执行以下操作:

  1. 启用交换机机箱属性的配置:

  2. 启用 FPC(及其已安装的 PIC)的配置:

  3. 将统计分析器实例绑定到 FPC:

  4. (可选)要将第 2 层镜像的第二个统计分析器实例绑定到同一 FPC,请重复步骤 3 并指定其他统计分析器名称:

  5. 验证绑定的最低配置:

注:

在绑定第二个实例时(在此示例中),此会话的镜像属性( 如果已配置)将覆盖任何默认分析器。stats_analyzer-2

使用下一跃点组配置具有多个目标的分析器

通过将下一跃点组配置为分析器输出,可以将流量镜像到多个目标。将数据包镜像到多个目标也称为多数据包端口镜像。

要将交换机上的接口流量或 VLAN 流量镜像到交换机上的接口(使用分析器):

  1. 选择分析器的名称并指定输入:

    例如,创建一个名为 的分析器,其输入流量包含进入接口 ge-0/0/0.0 和 ge-0/0/1.0 的数据包:employee-monitor

  2. 配置镜像数据包的目标接口:

    例如,将下一跃点组 配置为分析器的目标 :nhgemployee-monitor

为第 2 层镜像定义下一跃点组

通过配置级别的下一跃点组配置 ,您可以定义下一跃点组名称、下一跃点组中使用的地址类型以及构成流量可镜像到的多个目标的逻辑接口。[edit forwarding-options] 缺省情况下,通过语句使用 第 3 层地址指定下一跃点组。[edit forwarding-options next-hop-group next-hop-group-name group-type inet] 要改用第 2 层地址指定下一跃点组,请包含 该语句。[edit forwarding-options next-hop-group next-hop-group-name group-type layer-2]

要为第 2 层镜像定义下一跃点组,请执行以下操作:

  1. 为第 2 层镜像启用下一跃点组的配置:

    例如,使用 name 进行配置 :next-hop-groupnhg

  2. 指定要在下一跃点组配置中使用的地址类型:

    例如,配置为因为分析器输出必须仅为:next-hop-group typelayer-2layer-2

  3. 指定下一跃点组的逻辑接口:

    例如,要将 ge-0/0/10.0 和 ge-0/0/11.0 指定为下一跃点组 的逻辑接口:nhg

在 EX4300 交换机上配置镜像以分析流量(CLI 过程)

注:

此任务可使用支持增强型第 2 层软件 (ELS) 配置样式的 EX 系列交换机的 Junos OS 来完成。

EX4300 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控或 VLAN 进行远程监控。您可以使用镜像来复制这些数据包:

  • 进入或退出端口的数据包

  • 进入 VLAN 的数据包

最佳实践:

仅镜像必要的数据包以减少潜在的性能影响。我们建议您:

  • 在不使用已配置的镜像配置时禁用这些配置。

  • 将单个接口指定为分析器的输入,而不是将所有接口指定为输入。

  • 使用防火墙过滤器限制镜像流量。

注:

如果要创建其他分析器而不删除现有分析器,请使用命令行界面或 J-Web 配置页中的语句禁用 现有分析器以进行镜像。disable analyzer analyzer-name

注:

用作分析器输出的接口必须在该 系列下进行配置。ethernet-switching

配置分析器以进行本地流量分析

要将交换机上的接口流量或 VLAN 流量镜像到交换机上的接口(使用分析器):

  1. 选择分析器的名称并指定输入:

    例如,创建一个名为 的分析器,其输入流量是进入接口 ge-0/0/0.0 和 ge-0/0/1.0 的数据包:employee-monitor

  2. 配置镜像数据包的目标接口:

    例如,将 ge-0/0/10.0 配置为分析器的目标 接口:employee-monitor

配置分析器以进行远程流量分析

要将遍历交换机上的接口或 VLAN 的流量镜像到 VLAN,以便从远程位置进行分析(使用分析器):

  1. 配置 VLAN 以承载镜像流量:

    例如,定义一个名为 的分析器 VLAN,并为其分配 VLAN ID :remote-analyzer999

  2. 将连接到分布式交换机的上行链路模块接口设置为中继模式,并将其与分析器 VLAN 关联:

    例如,将接口 ge-0/1/1 设置为中继模式,并将其与分析器 VLAN ID 关联:999

  3. 配置分析器:
    1. 定义分析器并指定要镜像的流量:

      例如,定义 要镜像的流量分析器是进入接口 ge-0/0/0.0 和 ge-0/0/1.0 的数据包:employee-monitor

    2. 将分析器 VLAN 指定为分析器的输出:

      例如,将 VLAN 指定 为分析器的输出分析器 :remote-analyzeremployee-monitor

配置端口镜像

要过滤要镜像到端口镜像实例的数据包,请创建该实例,然后将其用作防火墙过滤器中的操作。您可以在本地和远程镜像配置中使用防火墙过滤器。

如果在多个过滤器或术语中使用相同的端口镜像实例,则数据包只会复制到分析器输出端口或分析器 VLAN 一次。

要过滤镜像流量,请在层次结构级别下 创建端口镜像实例,然后创建防火墙过滤器。[edit forwarding-options] 过滤器可以使用任何可用的匹配条件,并且必须作为 操作。port-mirror-instance instance-name 防火墙过滤器配置中的此操作为端口镜像实例提供输入。

要使用防火墙过滤器配置端口镜像实例,请执行以下操作:

  1. 配置端口镜像实例名称(此处为 )和输出:employee-monitor
    1. 对于本地分析,请将输出设置为本地接口,您将在其中连接运行协议分析器的计算机:
    2. 对于远程分析,请将输出设置为 VLAN:remote-analyzer
  2. 使用任何可用的匹配条件创建防火墙过滤器并分配给操作:employee-monitorport-mirror-instance

    此步骤显示防火墙过滤器,其中包含两个术语(和):example-filterno-analyzerto-analyzer

    1. 创建第一个术语来定义不应传递到端口镜像实例 的流量: employee-monitor
    2. 创建第二个术语来定义应传递到端口镜像实例 的流量:employee-monitor
  3. 将防火墙过滤器应用于为端口镜像实例提供输入的接口或 VLAN:

配置端口镜像以分析流量(CLI 过程)

此配置任务将 Junos OS 用于不支持增强型第 2 层软件 (ELS) 配置样式的 EX 系列交换机。

EX 系列交换机允许您配置端口镜像,以将数据包副本发送到本地接口进行本地监控,或发送到 VLAN 进行远程监控。您可以使用端口镜像来复制以下数据包:

  • 进入或退出端口的数据包

  • 在 EX2200、EX3200、EX3300、EX4200、EX4500 或 EX6200 交换机上进入 VLAN 的数据包

  • 在 EX8200 交换机上退出 VLAN 的数据包

最佳实践:

仅镜像必要的数据包以减少潜在的性能影响。我们建议您:

  • 在不使用已配置的端口镜像分析器时禁用它们。

  • 将单个接口指定为分析器的输入,而不是将所有接口指定为输入。

  • 通过以下方式限制镜像流量:

    • 使用统计抽样。

    • 设置比率以选择统计样本。

    • 使用防火墙过滤器。

在开始配置端口镜像之前,请注意分析器输出接口的以下限制:

  • 不能也是源端口。

  • 不能用于切换。

  • 当端口镜像配置的一部分时,不要参与第 2 层协议(如 RSTP)。

  • 不要保留它们在配置为分析器输出接口之前持有的任何 VLAN 关联。

注:

如果要在不删除现有分析器的情况下创建其他分析器,请先使用命令或端口镜像的 J-Web 配置页禁用 现有分析器。disable analyzer analyzer-name

注:

用作分析器输出的接口必须配置为 系列 。ethernet-switching

为本地流量分析配置端口镜像

要将交换机上的接口流量或 VLAN 流量镜像到交换机上的另一个接口:

  1. 选择分析器的名称(在本例中为)并指定输入(在本例中为输入的数据包和 :employee-monitorge-0/0/0ge-0/0/1
  2. 或者,您可以通过设置比率来指定数据包的统计采样:

    当比率设置为 200 时,每 200 个数据包中有 1 个将镜像到分析器。您可以使用统计采样来减少镜像流量,因为大量镜像流量可能会对交换机造成性能密集型影响。在 EX8200 交换机上,只能为入口数据包设置比率。

  3. 配置镜像数据包的目标接口:

为远程流量分析配置端口镜像

要将遍历交换机上的接口或 VLAN 的流量镜像到 VLAN,以便从远程位置进行分析:

  1. 配置 VLAN 以承载镜像流量。本文档中按照约定调用 此 VLAN,并赋予 ID 999:remote-analyzer
  2. 将连接到分布式交换机的上行链路模块接口设置为中继模式,并将其与 VLAN 关联:remote-analyzer
  3. 配置分析器:
    1. 选择一个名称并将丢失优先级设置为高。配置远程端口镜像时,应始终将丢失优先级设置为高:
    2. 指定要镜像的流量 — 在此示例中为进入端口 的数据包,以及 :ge-0/0/0ge-0/0/1
    3. 将 VLAN 指定为分析器的输出:remote-analyzer
  4. 或者,您可以通过设置比率来指定数据包的统计采样:

    当比率设置为 200 时,每 200 个数据包中有 1 个将镜像到分析器。您可以使用此功能来减少镜像流量,因为对于交换机来说,大量的镜像流量可能会占用大量性能。

过滤进入分析器的流量

要过滤镜像到分析器的数据包,请创建分析器,然后将其用作防火墙过滤器中的操作。您可以在本地和远程端口镜像配置中使用防火墙过滤器。

如果在多个过滤器或术语中使用同一分析器,则数据包只会复制到分析器输出端口或分析器 VLAN 一次。

要过滤镜像流量,请创建分析器,然后创建防火墙过滤器。过滤器可以使用任何可用的匹配条件,并且操作必须为 。analyzer 防火墙过滤器的操作向分析器提供输入。

要使用过滤器配置端口镜像:

  1. 配置分析器名称(此处为 )和输出:employee-monitor
    1. 对于本地分析,请将输出设置为将运行协议分析器应用程序的计算机连接到的本地接口:
    2. 对于远程分析,请将丢失优先级设置为高,并将输出设置为 VLAN:remote-analyzer
  2. 使用任何可用的匹配条件创建防火墙过滤器,并将操作指定为 :analyzer

    此步骤显示一个名为 的防火墙过滤器,其中包含两个术语:example-filter

    1. 创建第一个术语以定义不应传递到分析器的流量:
    2. 创建第二个术语以定义应传递到分析器的流量:
  3. 将防火墙过滤器应用于输入到分析器的接口或 VLAN:

验证 EX 系列交换机上端口镜像分析器的输入和输出

目的

此验证任务将适用于不支持增强型第 2 层软件 (ELS) 配置样式的 EX 系列交换机使用的 Junos OS。

验证是否已在交换机上创建分析器,并具有相应的镜像输入接口和相应的分析器输出接口。

操作

可以使用命令 验证端口镜像分析器是否已按预期配置。show analyzer

您可以在配置模式下使用命令查看 交换机上配置的所有端口镜像分析器,包括任何已禁用的端口镜像分析器。show ethernet-switching-options

意义

此输出显示,员工监控分析器的比率为 1(镜像每个数据包,默认值),丢失优先级为 (将此选项 设置为只要分析器输出到 VLAN),正在镜像进入 ge-0/0/0 和 ge-0/0/1 的流量,并将镜像的流量发送到名为远程分析器的分析器。highhigh

示例:配置端口镜像分析器以在本地监视员工资源使用情况

瞻博网络设备允许您配置端口镜像,以将数据包副本发送到本地接口进行本地监控、VLAN 或桥接域进行远程监控。您可以使用镜像来复制这些数据包:

  • 进入或退出端口的数据包

  • 进出 VLAN 或桥接域的数据包

然后,您可以使用协议分析器在本地或远程分析镜像流量。您可以在本地目标接口上安装分析器。如果要将镜像流量发送到分析器 VLAN 或桥接域,则可以在远程监控站上使用分析器。

本主题介绍如何在交换设备上配置本地镜像。本主题中的示例介绍如何配置交换设备以将连接到员工计算机的流量输入接口镜像到同一设备上的分析器输出接口。

要求

使用以下硬件和软件组件之一:

  • 一台装有 Junos OS 13.2 或更高版本的 EX9200 交换机

  • 一台装有 Junos OS 14.1 或更高版本的 MX 系列路由器

在配置端口镜像之前,请确保您了解镜像概念。有关分析器的信息,请参阅 了解端口镜像分析器。有关端口镜像的信息,请参阅 了解第 2 层端口镜像。了解第 2 层端口镜像

概述和拓扑

本主题介绍如何将交换设备上进入端口的所有流量镜像到同一设备上的目标接口(本地镜像)。在这种情况下,流量将进入连接到员工计算机的端口。

注:

镜像所有流量需要大量带宽,并且只能在主动调查期间执行。

接口 ge-0/0/0 和 ge-0/0/1 用作员工计算机的连接。

接口 ge-0/0/10 保留用于分析镜像流量。

将运行协议分析器的 PC 连接到分析器输出接口。

注:

镜像到一个接口的多个端口可能会导致缓冲区溢出,从而导致镜像数据包在输出接口上被丢弃。

图 1 显示了此示例的网络拓扑。

图 1: 本地端口镜像的网络拓扑示例本地端口镜像的网络拓扑示例

镜像所有员工流量以进行本地分析

程序

CLI 快速配置

要为通过连接到员工计算机的两个端口发送的入口流量快速配置本地镜像,请为 EX 系列交换机或 MX 系列路由器复制以下命令之一,并将其粘贴到交换设备终端窗口中:

EX 系列

MX 系列

分步过程

要配置调用 的分析器并同时指定输入(源)接口和分析器输出接口,请执行以下操作:employee-monitor

  1. 配置要在分析器配置中使用的每个接口。使用适合您平台的家庭协议。

    要在接口上进行配置,还必须配置或。family bridgeinterface-mode accessinterface-mode trunk 您还必须配置 。vlan-id

  2. 将连接到员工计算机的每个接口配置为输出分析器接口 。employee-monitor

  3. 配置分析器的输出分析器接口 。employee-monitor

    这将是镜像数据包的目标接口。

成果

检查配置结果。

验证

验证是否已正确创建分析器

目的

验证是否已使用适当的输入接口和相应的输出接口在交换设备上创建分析器 。employee-monitor

操作

使用 操作命令验证分析器是否按预期配置。show forwarding-options analyzer

意义

输出显示 分析器的比率为 1(即镜像每个数据包,默认设置),镜像的原始数据包的最大大小为 0(表示镜像整个数据包),配置状态为 ,分析器正在镜像进入 ge-0/0/0 接口的流量,并将镜像的流量发送到 ge-0/0/10 接口。employee-monitorup

如果输出接口的状态为 或未配置输出接口,则 的值 将 指示分析器将不会接收镜像流量。downStatedown

示例:配置端口镜像以远程监控员工资源使用情况

瞻博网络设备允许您配置端口镜像,以将数据包副本发送到本地接口进行本地监控,或发送到 VLAN 或桥接域进行远程监控。您可以使用镜像来复制这些数据包:

  • 进入或退出端口的数据包

  • 进入或退出 VLAN 的数据包

  • 进入或退出桥接域的数据包

如果要将镜像流量发送到分析器 VLAN 或网桥域,则可以使用远程监控站上运行的协议分析器来分析镜像流量。

最佳实践:

仅镜像必要的数据包以减少潜在的性能影响。我们建议您执行以下操作:

  • 在不使用已配置的镜像会话时禁用它们。

  • 将单个接口指定为分析器的输入,而不是将所有接口指定为输入。

  • 通过以下方式限制镜像流量:

    • 使用统计抽样。

    • 设置比率以选择统计样本。

    • 使用防火墙过滤器。

本主题中的示例介绍如何配置远程端口镜像以分析员工资源使用情况。

要求

此示例使用以下硬件和软件组件对之一:

  • 一台 EX9200 交换机连接到另一台运行 Junos OS 13.2 或更高版本的 EX9200 交换机

  • 一台 MX 系列路由器连接到另一台运行 Junos OS 14.1 或更高版本的 MX 系列路由器

在配置远程镜像之前,请确保:

概述和拓扑

本主题介绍如何配置到远程分析器 VLAN 或网桥域的端口镜像,以便可以从远程监控站进行分析。

图 2 显示了 EX 系列示例和 MX 系列示例方案的网络拓扑。

拓扑

图 2: 用于远程端口镜像和分析的网络拓扑用于远程端口镜像和分析的网络拓扑

在此示例中:

  • 接口 ge-0/0/0 是第 2 层接口,接口 ge-0/0/1 是第 3 层接口(两者都是源设备上的接口),用作员工计算机的连接。

  • 接口 ge-0/0/10 是将源交换设备连接到目标交换设备的第 2 层接口。

  • 接口 ge-0/0/5 是将目标交换设备连接到远程监控站的第 2 层接口。

  • 拓扑中的所有交换设备上都配置了分析 器,以传输镜像流量。remote-analyzer 此拓扑可以使用 VLAN 或桥接域。

使用统计分析器镜像员工流量以进行远程分析

要配置统计分析器以对所有传入和传出员工流量进行远程流量分析,请选择以下示例之一:

镜像员工流量以便对 EX 系列交换机进行远程分析

CLI 快速配置

要快速配置统计分析器来远程分析传入和传出的员工流量,请为 EX 系列交换机复制以下命令并将其粘贴到正确的交换设备终端窗口中。

  • 将以下命令复制并粘贴到 源 交换设备终端窗口中:

    EX 系列

  • 将以下命令复制并粘贴到 目标 交换设备终端窗口中:

    EX 系列

分步过程

要配置基本远程镜像:

  1. 在源交换设备上,执行以下操作:

    • 配置 VLAN 的 VLAN ID。remote-analyzer

    • 在连接到目标交换设备的网络端口上配置接入模式的接口,并将其与 VLAN 关联。remote-analyzer

    • 配置统计分析器 。employee-monitor

    • 将统计分析器绑定到包含输入接口的 FPC。

  2. 在目标网络设备上,执行以下操作:

    • 配置 VLAN 的 VLAN ID。remote-analyzer

    • 在目标交换设备上配置接入模式接口,并将其与 VLAN 关联。remote-analyzer

    • 将连接到目标交换设备的接口配置为接入模式。

    • 配置分析器 。employee-monitor

    • 指定镜像参数,例如分析器的 速率和最大数据包长度。employee-monitor

    • 将 分析器绑定到包含输入端口的 FPC。employee-monitor

成果

检查源交换设备上的配置结果:

检查目标交换设备上的配置结果。

镜像员工流量以进行 MX 系列路由器的远程分析

CLI 快速配置

要快速配置统计分析器以远程分析传入和传出员工流量,请为 MX 系列路由器复制以下命令并将其粘贴到正确的交换设备终端窗口中。

  • 将以下命令复制并粘贴到 源 交换设备终端窗口中:

    MX 系列

  • 将以下命令复制并粘贴到 目标 交换设备终端窗口中:

    MX 系列

分步过程

要使用 MX 系列路由器配置基本远程镜像,请执行以下操作:

  1. 在源交换设备上,执行以下操作:

    • 配置网桥域的 VLAN ID。remote-analyzer

    • 在连接到目标交换设备的网络端口上配置接入模式的接口,并将其与 桥接域关联。remote-analyzer

    • 配置统计分析器 。employee-monitor

    • 将统计分析器绑定到包含输入接口的 FPC。

  2. 在目标交换设备上,执行以下操作:

    • 配置网桥域的 VLAN ID。remote-analyzer

    • 在目标交换设备上配置接入模式接口,并将其与 网桥域关联。remote-analyzer

    • 将连接到目标交换设备的接口配置为接入模式。

    • 配置分析器 。employee-monitor

    • 指定镜像参数,例如分析器的 速率和最大数据包长度。employee-monitor

    • 将 分析器绑定到包含输入端口的 FPC。employee-monitor

成果

检查源交换设备上的配置结果:

检查目标交换设备上的配置结果。

验证

验证是否已正确创建分析器

目的

验证是否已使用适当的输入接口和相应的输出接口在设备上创建名为 的分析器。employee-monitor

操作

要在监控源交换设备上的所有员工流量的同时验证分析器是否按预期配置,请在源交换设备上运行 命令。show forwarding-options analyzer 针对此配置示例,将显示以下输出。

意义

此输出显示实例的 比率为 2,镜像的原始数据包的最大大小为 128,配置状态为 ,表示状态正确,分析器已编程,分析器正在镜像进入 ge-0/0/0.0 和 ge-0/0/1.0 的流量,并将镜像的流量发送到称为远程分析器的 VLAN。employee-monitorup

如果输出接口的状态为 或未配置输出接口,则 的值 将关闭,分析器将无法监控流量。downState

示例:配置镜像到多个接口,以远程监控 EX9200 交换机上的员工资源使用情况

EX9200 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控,或发送到 VLAN 进行远程监控。您可以使用镜像来复制这些数据包:

  • 进入或退出端口的数据包

  • 进出 VLAN 的数据包

如果要将镜像流量发送到分析器 VLAN,则可以使用远程监控站上运行的协议分析器应用程序来分析镜像流量。

最佳实践:

仅镜像必要的数据包以减少潜在的性能影响。我们建议您:

  • 在不使用已配置的镜像分析器时禁用它们。

  • 将单个接口指定为分析器的输入,而不是将所有接口指定为输入。

  • 通过以下方式限制镜像流量:

    • 使用统计抽样。

    • 设置比率以选择统计样本。

    • 使用防火墙过滤器。

此示例介绍如何配置到分析器 VLAN 上多个接口的远程镜像:

要求

此示例使用以下硬件和软件组件:

  • 三台 EX9200 交换机

  • 适用于 EX 系列交换机的 Junos OS 13.2 或更高版本

在配置远程镜像之前,请确保:

  • 分析器将用作输入接口的接口已在交换机上配置。

概述和拓扑

此示例介绍如何将交换机上进入端口的流量镜像到远程分析器 VLAN,以便您可以从远程监控站执行分析。此示例中的远程分析器 VLAN 包含多个成员接口。因此,相同的流量将镜像到远程分析器 VLAN 的所有成员接口,以便可以将镜像的数据包发送到不同的远程监控站。您可以在远程监控站上安装应用程序,如嗅探器和入侵检测系统,以分析这些镜像数据包并获得有用的统计数据。例如,如果有两个远程监控站,则可以在一个远程监控站上安装嗅探器,在另一个站上安装入侵检测系统。您可以使用防火墙过滤器分析器配置将特定类型的流量转发到远程监控站。

此示例介绍如何配置分析器以将流量镜像到下一跃点组中的多个接口,以便将流量发送到不同的监控站进行分析。

图 3 显示了此示例的网络拓扑。

图 3: 远程镜像示例 在下一跃点组中使用多个 VLAN 成员接口的网络拓扑远程镜像示例 在下一跃点组中使用多个 VLAN 成员接口的网络拓扑

拓扑

在此示例中:

  • 接口 ge-0/0/0 和 ge-0/0/1 是用作员工计算机连接的第 2 层接口(源交换机上的两个接口)。

  • 接口 ge-0/0/10 和 ge-0/0/11 是连接到不同目标交换机的第 2 层接口。

  • 接口 ge-0/0/12 是将目标 1 交换机连接到远程监控站的第 2 层接口。

  • 接口 ge-0/0/13 是将目标 2 交换机连接到远程监控站的第 2 层接口。

  • VLAN 在拓扑中的所有交换机上均配置为承载镜像流量。remote-analyzer

将所有员工流量镜像到多个 VLAN 成员接口以进行远程分析

要配置镜像到多个 VLAN 成员接口,以便对所有传入和传出员工流量进行远程流量分析,请执行以下操作:

程序

CLI 快速配置

要快速配置镜像以针对传入和传出员工流量进行远程流量分析,请复制以下命令并将其粘贴到交换机终端窗口中:

  • 在源交换机终端窗口中,复制并粘贴以下命令:

  • 在目标 1 交换机终端窗口中,复制并粘贴以下命令:

  • 在目标 2 交换机终端窗口中,复制并粘贴以下命令:

分步过程

要将基本远程镜像配置为两个 VLAN 成员接口,请执行以下操作:

  1. 在源交换机上:

    • 配置 VLAN 的 VLAN ID:remote-analyzer

    • 在连接到目标交换机的网络端口上配置接入模式的接口,并将其与 VLAN 关联:remote-analyzer

    • 配置分析器 :employee-monitor

      在此分析器配置中,进出接口 ge-0/0/0.0 和 ge-0/0/1.0 的流量将发送到由名为 的 下一跃点组定义的输出目标。remote-analyzer-nhg

    • 配置下一跃点组:remote-analyzer-nhb

  2. 在目标 1 交换机上:

    • 配置 VLAN 的 VLAN ID:remote-analyzer

    • 在目标 1 交换机上配置接入模式的 ge-0/0/10 接口:

    • 将连接到远程监控站的接口配置为接入模式:

    • 配置分析器 :employee-monitor

  3. 在目标 2 交换机上:

    • 配置 VLAN 的 VLAN ID:remote-analyzer

    • 在目标 2 交换机上配置接入模式的 ge-0/0/11 接口:

    • 将连接到远程监控站的接口配置为接入模式:

    • 配置分析器 :employee-monitor

成果

检查源交换机上的配置结果:

检查目标 1 交换机上的配置结果:

检查目标 2 交换机上的配置结果:

验证

要确认配置工作正常,请执行以下任务:

验证是否已正确创建分析器

目的

验证是否已使用适当的输入接口和相应的输出接口在交换机上创建了名为 的分析器。employee-monitor

操作

您可以使用命令 验证分析器是否已按预期配置。show forwarding-options analyzer

要在监控源交换机上的所有员工流量的同时验证分析器是否按预期配置,请在 源交换机上运行命令。show forwarding-options analyzer 对于此示例配置,在源交换机上显示以下输出:

意义

此输出显示 分析器的比率为 1(镜像每个数据包,这是默认行为),配置状态为 ,表示状态正确且分析器已编程,镜像进入或退出接口 ge-0/0/0 和 ge-0/0/1 的流量,并通过下一跃点组 将镜像流量发送到多个接口 ge-0/0/10.0 和 ge-0/0/11.0。employee-monitorupremote-analyzer-nhg 如果输出接口的状态为 或未配置输出接口,则状态值将关闭,分析器将无法镜像流量。down

示例:配置镜像,以便通过 EX9200 交换机上的中转交换机远程监控员工资源使用情况

EX9200 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控,或发送到 VLAN 进行远程监控。您可以使用镜像来复制这些数据包:

  • 进入或退出端口的数据包

  • 进入或退出 VLAN 的数据包

如果要将镜像流量发送到分析器 VLAN,则可以使用远程监控站上运行的协议分析器应用程序来分析镜像流量。

本主题包含一个示例,介绍如何通过中转交换机将进入交换机端口的流量镜像到远程分析器 VLAN,以便您可以从远程监控站执行分析。

最佳实践:

仅镜像必要的数据包以减少潜在的性能影响。我们建议您:

  • 在不使用已配置的镜像会话时禁用它们。

  • 将单个接口指定为分析器的输入,而不是将所有接口指定为输入。

  • 通过以下方式限制镜像流量:

    • 使用统计抽样。

    • 设置比率以选择统计样本。

    • 使用防火墙过滤器。

此示例介绍如何通过中转交换机配置远程镜像:

要求

此示例使用以下硬件和软件组件:

  • 一台 EX9200 交换机通过第三台 EX9200 交换机连接到另一台 EX9200 交换机

  • 适用于 EX 系列交换机的 Junos OS 13.2 或更高版本

在配置远程镜像之前,请确保:

  • 分析器将用作输入接口的接口已在交换机上配置。

概述和拓扑

此示例介绍如何通过中转交换机将进入交换机端口的流量镜像到 VLAN, 以便对来自员工计算机的所有流量执行分析。remote-analyzer

在此配置中,目标交换机上需要分析器会话,以将来自分析器 VLAN 的传入流量镜像到远程监控站连接的出口接口。

图 4 显示了此示例的网络拓扑。

拓扑

图 4: 通过中转交换机进行远程镜像的网络监控通过中转交换机进行远程镜像的网络监控

在此示例中:

  1. 接口 ge-0/0/0 是第 2 层接口,接口 ge-0/0/1 是用作员工计算机连接的第 3 层接口(源交换机上的两个接口)。

  2. 接口 ge-0/0/10 是连接到中转交换机的第 2 层接口。

  3. 接口 ge-0/0/11 是传输交换机上的第 2 层接口。

  4. 接口 ge-0/0/12 是中继交换机上的第 2 层接口,连接到目标交换机。

  5. 接口 ge-0/0/13 是目标交换机上的第 2 层接口。

  6. 接口 ge-0/0/14 是目标交换机上的第 2 层接口,连接到远程监控站。

  7. VLAN 在拓扑中的所有交换机上均配置为承载镜像流量。remote-analyzer

镜像所有员工流量,以便通过传输交换机进行远程分析

要通过中转交换机为所有传入和传出员工流量配置镜像以进行远程流量分析,请执行以下操作:

程序

CLI 快速配置

要快速配置镜像以通过中转交换机进行远程流量分析,针对传入和传出员工流量,请复制以下命令并将其粘贴到交换机终端窗口中:

  • 将以下命令复制并粘贴到源交换机(受监控交换机)终端窗口中:

  • 将以下命令复制并粘贴到传输交换机窗口中:

  • 将以下命令复制并粘贴到目标交换机窗口中:

分步过程

要通过中转交换机配置远程镜像,请执行以下操作:

  1. 在源交换机上:

    • 配置 VLAN 的 VLAN ID:remote-analyzer

    • 在连接到中转交换机的网络端口上配置接入模式的接口,并将其与 VLAN 关联:remote-analyzer

    • 配置分析器 :employee-monitor

  2. 在传输交换机上:

    • 配置 VLAN 的 VLAN ID:remote-analyzer

    • 将 ge-0/0/11 接口配置为接入模式,并将其与 VLAN 关联:remote-analyzer

    • 将 ge-0/0/12 接口配置为接入模式,将其与 VLAN 关联,并仅为出口流量设置接口:remote-analyzer

  3. 在目标交换机上:

    • 配置 VLAN 的 VLAN ID:remote-analyzer

    • 为接入模式配置 ge-0/0/13 接口,将其与 VLAN 关联,并仅为入口流量设置接口:remote-analyzer

    • 将连接到远程监控站的接口配置为接入模式:

    • 配置分析器 :remote-analyzer

成果

检查源交换机上的配置结果:

检查传输交换机上的配置结果:

检查目标交换机上的配置结果:

验证

要确认配置工作正常,请执行以下任务:

验证是否已正确创建分析器

目的

验证是否已使用适当的输入接口和相应的输出接口在交换机上创建名为 的分析器。employee-monitor

操作

您可以使用命令 验证分析器是否已按预期配置。show forwarding-options analyzer

要在监控源交换机上的所有员工流量的同时验证分析器是否按预期配置,请在 源交换机上运行命令。show forwarding-options analyzer 对于此示例配置,将显示以下输出:

意义

此输出显示 分析器的镜像比率为 1(镜像每个数据包,默认值),配置 状态为 ,表示状态正确,并且分析器已编程,正在镜像进入 ge-0/0/0 和 ge-0/0/1 的流量,并将镜像的流量发送到名为 的分析 器。employee-monitorupremote-analyzer 如果输出接口的状态为 或未配置输出接口,则状态值将关闭,分析器将无法镜像流量。down

示例:配置镜像以本地监控 EX4300 交换机上的员工资源使用情况

注:

此示例使用支持增强型第 2 层软件 (ELS) 配置样式的 EX 系列交换机的 Junos OS。如果您的交换机运行的软件不支持 ELS,请参阅 示例:配置端口镜像以本地监控 EX 系列交换机上的员工资源使用情况。有关 ELS 的详细信息,请参阅 增强型第 2 层软件入门。

EX4300 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控或 VLAN 进行远程监控。您可以使用镜像来复制这些数据包:

  • 进入或退出端口的数据包

  • 进入 VLAN 的数据包

如果要将镜像流量发送到分析器 VLAN,则可以使用安装在连接到本地目标接口或远程监控站的系统上的协议分析器来分析镜像流量。

此示例介绍如何在 EX4300 交换机上配置本地镜像。此示例介绍如何将交换机配置为将连接到员工计算机的流量输入接口镜像到同一交换机上的分析器输出接口。

要求

此示例使用以下硬件和软件组件:

  • 一台 EX4300 交换机

  • 适用于 EX 系列交换机的 Junos OS 13.2X50-D10 或更高版本

概述和拓扑

本主题包括两个示例,介绍如何将进入交换机端口的流量镜像到同一交换机上的目标接口(本地镜像)。第一个示例演示如何镜像进入连接到员工计算机的端口的所有流量。第二个示例显示了相同的方案,但包含一个筛选器,用于仅镜像进入 Web 的员工流量。

接口 ge-0/0/0 和 ge-0/0/1 用作员工计算机的连接。接口 ge0/0/10 保留用于分析镜像流量。将运行协议分析器应用程序的 PC 连接到分析器输出接口以分析镜像流量。

注:

多个端口镜像到一个接口可能会导致缓冲区溢出和数据包丢失。

这两个示例均使用 中 所示的网络拓扑。图 5

图 5: 本地镜像的网络拓扑示例本地镜像的网络拓扑示例

镜像所有员工流量以进行本地分析

要为所有员工流量配置镜像以进行本地分析,请执行以下任务:

程序

CLI 快速配置

要为连接到员工计算机的两个端口的入口流量快速配置本地镜像,请复制以下命令并将其粘贴到交换机终端窗口中:

分步过程

要配置调用 的分析器并指定输入(源)接口和分析器输出接口,请执行以下操作:employee-monitor

  1. 将连接到员工计算机的每个接口配置为分析器的 输入接口:employee-monitor

  2. 将分析器的输出接口配置为 VLAN 的一部分:

  3. 配置分析器的输出分析 器接口。employee-monitor 这将是镜像数据包的目标接口:

成果

检查配置结果:

镜像员工到 Web 的流量以进行本地分析

要为员工到 Web 流量配置镜像,请执行以下任务:

程序

CLI 快速配置

要快速配置来自连接到员工计算机的两个端口的流量的本地镜像,过滤以便仅镜像到外部 Web 的流量,请复制以下命令并将其粘贴到交换机终端窗口中:

分步过程

要配置来自连接到员工计算机的两个端口的员工到 Web 流量的本地镜像,请执行以下操作:

  1. 配置本地分析器接口:

  2. 配置输出实例(实例的输入来自筛选器的操作):employee-web-monitor

  3. 配置调用 的防火墙过滤器,以将员工请求到 Web 的镜像副本发送到实例。watch-employeeemployee-web-monitor 接受进出企业子网(目标或源地址 192.0.2.16/24)的所有流量。将发往公网(目标端口 80) 的所有数据包的镜像副本发送到实例。employee-web-monitor

  4. 将 过滤器应用到相应的端口:watch-employee

成果

检查配置结果:

验证

要确认配置是否正确,请执行以下任务:

验证是否已正确创建分析器

目的

验证是否已使用适当的输入接口和相应的输出接口在交换机上创建分析器 或 。employee-monitoremployee-web-monitor

操作

您可以使用命令 验证分析器配置是否正确。show forwarding-options analyzer

意义

此输出显示分析器的 比率为 1(镜像每个数据包,默认设置)、已镜像的原始数据包的最大大小(表示整个数据包)、配置状态( up 表示分析器正在镜像进入 ge-0/0/0 和 ge-0/0/1 接口的流量,并将镜像的流量发送到 ge-0/0/10 接口)。employee-monitor0 如果输出接口的状态为关闭或未配置输出接口,则状态值将为 ,并且不会对分析器进行编程以进行镜像。down

验证端口镜像实例配置是否正确

目的

验证是否已使用适当的输入接口在交换机上正确配置端口镜像实例 。employee-web-monitor

操作

您可以使用命令 验证端口镜像实例配置是否正确。show forwarding-options port-mirroring

意义

此输出显示 实例的比率为 1(镜像每个数据包,默认值)、镜像的原始数据包的最大大小( 表示整个数据包)、配置状态为 up 且端口镜像已编程,并且来自防火墙过滤器操作的镜像流量在接口 ge-0/0/10.0 上发出。如果输出接口的状态为关闭或接口未配置,则状态值将为关闭,并且不会为镜像编程端口镜像。employee-web-monitor0

示例:配置镜像以远程监控 EX4300 交换机上的员工资源使用情况

注:

此示例使用支持增强型第 2 层软件 (ELS) 配置样式的 EX 系列交换机的 Junos OS。如果您的交换机运行的软件不支持 ELS,请参阅 示例:配置镜像以远程监控 EX4300 交换机上的员工资源使用情况。有关 ELS 的详细信息,请参阅:增强型第 2 层软件入门。

EX4300 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控或 VLAN 进行远程监控。您可以使用镜像来复制这些数据包:

  • 进入或退出端口的数据包

  • 进入 EX4300 交换机上 VLAN 的数据包

如果要将镜像流量发送到分析器 VLAN,则可以使用远程监控站上运行的协议分析器应用程序来分析镜像流量。

本主题包括两个相关示例,介绍如何将交换机上进入端口的流量镜像到 VLAN, 以便您可以从远程监控站执行分析。remote-analyzer 第一个示例演示如何镜像进入连接到员工计算机的端口的所有流量。第二个示例显示了相同的方案,但包含一个筛选器,用于仅镜像进入 Web 的员工流量。

最佳实践:

仅镜像必要的数据包以减少潜在的性能影响。我们建议您:

  • 在不使用已配置的镜像会话时禁用它们。

  • 将单个接口指定为分析器的输入,而不是将所有接口指定为输入。

  • 使用防火墙过滤器限制镜像流量。

此示例介绍如何配置远程镜像:

要求

此示例使用以下硬件和软件组件:

  • 适用于 EX 系列交换机的 Junos OS 13.2X50-D10 或更高版本

  • 一台 EX4300 交换机连接到另一台 EX4300 交换机

该图显示了连接到 EX4300 目标交换机的 EX4300 虚拟机箱。

在配置远程镜像之前,请确保:

  • 您了解镜像概念。

  • 分析器将用作输入接口的接口已在交换机上配置。

概述和拓扑

本主题包括两个相关示例,介绍如何配置到 VLAN 的 镜像,以便可以从远程监控站执行分析。remote-analyzer 第一个示例说明如何配置交换机以镜像来自员工计算机的所有流量。第二个示例显示了相同的方案,但设置包括一个筛选器,用于仅镜像进入 Web 的员工流量。

图 6 显示了这两个示例方案的网络拓扑。

拓扑

图 6: 远程镜像网络拓扑示例远程镜像网络拓扑示例

在此示例中:

  1. 接口 ge-0/0/0 是第 2 层接口,接口 ge-0/0/1 是用作员工计算机连接的第 3 层接口(源交换机上的两个接口)。

  2. 接口 ge-0/0/10 是将源交换机连接到目标交换机的第 2 层接口。

  3. 接口 ge-0/0/5 是将目标交换机连接到远程监控站的第 2 层接口。

  4. VLAN 在拓扑中的所有交换机上均配置为承载镜像流量。remote-analyzer

镜像所有员工流量以进行远程分析

要配置分析器以对所有传入和传出员工流量进行远程流量分析,请执行以下操作:

程序

CLI 快速配置

要快速配置用于传入和传出员工流量远程流量分析的分析器,请复制以下命令并将其粘贴到交换机终端窗口中:

  • 将以下命令复制并粘贴到源交换机终端窗口中:

  • 将以下命令复制并粘贴到目标交换机终端窗口中:

分步过程

要配置基本远程端口镜像:

  1. 在源交换机上:

    • 配置 VLAN 的 VLAN ID:remote-analyzer

    • 将连接到目标交换机的网络端口上的接口配置为中继模式,并将其与 VLAN 关联:remote-analyzer

    • 配置分析器 :employee-monitor

  2. 在目标交换机上:

    • 配置 VLAN 的 VLAN ID:remote-analyzer

    • 将目标交换机上的接口配置为中继模式,并将其与 VLAN 关联:remote-analyzer

    • 将连接到目标交换机的接口配置为中继模式:

    • 配置分析器 :employee-monitor

成果

检查源交换机上的配置结果:

检查目标交换机上的配置结果:

镜像员工到 Web 的流量以进行远程分析

要配置端口镜像以远程分析员工到 Web 的流量,请执行以下任务:

程序

CLI 快速配置

要快速配置端口镜像以将员工流量镜像到外部 Web,请复制以下命令并将其粘贴到交换机终端窗口中:

  • 将以下命令复制并粘贴到源交换机终端窗口中:

  • 将以下命令复制并粘贴到目标交换机终端窗口中:

分步过程

要将从连接到员工计算机的两个端口的所有流量配置为 VLAN 的 端口镜像,以便从远程监控站使用:remote-analyzer

  1. 在源交换机上:

    • 配置端口镜像实例:employee-web-monitor

    • 配置 VLAN 的 VLAN ID:remote-analyzer

    • 配置接口以将其与 VLAN 关联:remote-analyzer

    • 配置名为 的防火墙过滤器:watch-employee

    • 将防火墙过滤器应用于员工接口:

  2. 在目标交换机上:

    • 配置 VLAN 的 VLAN ID:remote-analyzer

    • 将目标交换机上的接口配置为中继模式,并将其与 VLAN 关联:remote-analyzer

    • 将连接到目标交换机的接口配置为中继模式:

    • 配置分析器 :employee-monitor

成果

检查源交换机上的配置结果:

检查目标交换机上的配置结果:

验证

要确认配置工作正常,请执行以下任务:

验证是否已正确创建分析器

目的

验证是否已使用适当的输入接口和相应的输出接口在交换机上命名 或 创建的分析器。employee-monitoremployee-web-monitor

操作

您可以使用命令 验证分析器是否已按预期配置。show forwarding-options analyzer 要查看以前创建的已禁用的分析器,请转到 J-Web 界面。

要在监控源交换机上的所有员工流量的同时验证分析器是否按预期配置,请在 源交换机上运行命令。show analyzer 此配置示例显示以下输出:

意义

此输出显示 实例的比率为 1(镜像每个数据包,默认值)、已镜像的原始数据包的最大大小(0 表示整个数据包)、配置状态为 up(指示状态正确且分析器已编程,并且正在镜像进入 ge-0/0/0 和 ge-0/0/1 的流量,并将镜像的流量发送到名为 的 VLAN)。employee-monitorremote-analyzer 如果输出接口的状态为关闭或未配置输出接口,则状态值将关闭,并且不会对分析器进行编程以进行镜像。

示例:配置镜像,以便通过 EX4300 交换机上的中转交换机远程监控员工资源使用情况

注:

此示例使用支持增强型第 2 层软件 (ELS) 配置样式的 EX 系列交换机的 Junos OS。

EX4300 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控或 VLAN 进行远程监控。您可以使用镜像来复制这些数据包:

  • 进入或退出端口的数据包

  • 进入 EX4300 交换机上 VLAN 的数据包

如果要将镜像流量发送到分析器 VLAN,则可以使用远程监控站上运行的协议分析器应用程序来分析镜像流量。

本主题包含一个示例,介绍如何通过中转交换机将进入交换机端口的流量镜像到 VLAN,以便您可以从远程监控站执行分析。remote-analyzer

最佳实践:

仅镜像必要的数据包以减少潜在的性能影响。我们建议您:

  • 在不使用已配置的镜像会话时禁用它们。

  • 将单个接口指定为分析器的输入,而不是将所有接口指定为输入。

  • 使用防火墙过滤器限制镜像流量。

此示例介绍如何通过中转交换机配置远程镜像:

要求

此示例使用以下硬件和软件组件:

  • 一台 EX4300 交换机通过第三台 EX4300 交换机连接到另一台 EX4300 交换机

  • 适用于 EX 系列交换机的 Junos OS 13.2X50-D10 或更高版本

在配置远程镜像之前,请确保:

  • 您了解镜像概念。

  • 分析器将用作输入接口的接口已在交换机上配置。

概述和拓扑

此示例介绍如何通过中转交换机将进入交换机端口的流量镜像到 VLAN, 以便您可以从远程监控站执行分析。remote-analyzer 该示例说明如何配置交换机以将所有流量从员工计算机镜像到远程分析器。

在此配置中,目标交换机上需要分析器会话,以将来自分析器 VLAN 的传入流量镜像到远程监控站连接的出口接口。您必须在 VLAN 的 中转交换机上禁用 MAC 学习,以便对中转交换机上 VLAN 的所有 成员接口禁用 MAC 学习。remote-analyzerremote-analyzer

图 7 显示了此示例的网络拓扑。

拓扑

图 7: 通过中转交换机网络的远程镜像 — 拓扑示例通过中转交换机网络的远程镜像 — 拓扑示例

在此示例中:

  • 接口 ge-0/0/0 是第 2 层接口,接口 ge-0/0/1 是用作员工计算机连接的第 3 层接口(源交换机上的两个接口)。

  • 接口 ge-0/0/10 是连接到中转交换机的第 2 层接口。

  • 接口 ge-0/0/11 是传输交换机上的第 2 层接口。

  • 接口 ge-0/0/12 是中继交换机上的第 2 层接口,连接到目标交换机。

  • 接口 ge-0/0/13 是目标交换机上的第 2 层接口。

  • 接口 ge-0/0/14 是目标交换机上的第 2 层接口,连接到远程监控站。

  • VLAN 在拓扑中的所有交换机上均配置为承载镜像流量。remote-analyzer

镜像所有员工流量,以便通过传输交换机进行远程分析

要通过中转交换机为所有传入和传出员工流量配置镜像以进行远程流量分析,请执行以下操作:

程序

CLI 快速配置

要快速配置镜像以通过中转交换机进行远程流量分析,针对传入和传出员工流量,请复制以下命令并将其粘贴到交换机终端窗口中:

  • 将以下命令复制并粘贴到源交换机(受监控交换机)终端窗口中:

  • 将以下命令复制并粘贴到传输交换机窗口中:

  • 将以下命令复制并粘贴到目标交换机窗口中:

分步过程

要通过中转交换机配置远程镜像,请执行以下操作:

  1. 在源交换机上:

    • 配置 VLAN 的 VLAN ID:remote-analyzer

    • 将连接到中转交换机的网络端口上的接口配置为中继模式,并将其与 VLAN 关联:remote-analyzer

    • 配置分析器 :employee-monitor

  2. 在传输交换机上:

    • 配置 VLAN 的 VLAN ID:remote-analyzer

    • 将 ge-0/0/11 接口配置为中继模式,并将其与 VLAN 关联:remote-analyzer

    • 为中继模式配置接口,将其与 VLAN 关联,并仅为出口流量设置接口:ge-0/0/12remote-analyzer

    • 配置 VLAN 选项以在属于 VLAN 成员的所有接口上禁用 MAC 学习:no-mac-learningremote-analyzerremote-analyzer

  3. 在目标交换机上:

    • 配置 VLAN 的 VLAN ID:remote-analyzer

    • 将 ge-0/0/13 接口配置为中继模式,将其与 VLAN 关联,并仅为入口流量设置接口:remote-analyzer

    • 将连接到远程监控站的接口配置为中继模式:

    • 配置分析器 :employee-monitor

成果

检查源交换机上的配置结果:

检查传输交换机上的配置结果:

检查目标交换机上的配置结果:

验证

要确认配置工作正常,请执行以下任务:

验证是否已正确创建分析器

目的

验证是否已使用适当的输入接口和相应的输出接口在交换机上创建名为 的分析器。employee-monitor

操作

您可以使用命令 验证分析器是否按预期配置。show analyzer 要查看以前创建的已禁用的分析器,请转到 J-Web 界面。

要在监控源交换机上的所有员工流量的同时验证分析器是否按预期配置,请在 源交换机上运行命令。show analyzer 对于此示例配置,将显示以下输出:

意义

此输出显示 分析器的比率为 1(镜像每个数据包,默认值),正在镜像进入 ge-0/0/0 和 ge-0/0/1 的流量,并将镜像的流量发送到分析器 。employee-monitorremote-analyzer