在本页
配置端口镜像和分析器
了解端口镜像分析器
端口镜像可用于路由器和交换机上的流量分析,与集线器不同,路由器和交换机不会将数据包广播到目标设备上的每个端口。端口镜像会将所有数据包或基于策略的示例数据包的副本发送到本地或远程分析器,您可以在其中监控和分析数据。
在端口镜像分析器的上下文中,我们使用术语 交换设备。该术语表示设备(包括路由器)正在执行交换功能。
您可以在数据包级别使用分析器来帮助您:
监控网络流量
实施网络使用策略
强制实施文件共享策略
确定问题的原因
识别带宽使用量大或异常的工作站或应用程序
您可以将端口镜像配置为镜像:
桥接数据包(第 2 层数据包)
路由数据包(第 3 层数据包)
镜像数据包可以复制到本地接口进行本地监控,也可以复制到 VLAN 或网桥域进行远程监控。
可以复制以下数据包:
Packets entering or exiting a port— 您可以以任意组合镜像进入或退出端口的数据包,最多可以支持 256 个端口。例如,您可以将进入某些端口的数据包和退出其他端口的数据包的副本发送到同一本地分析器端口或分析器 VLAN。
Packets entering or exiting a VLAN or bridge domain— 您可以将进出 VLAN 或网桥域的数据包镜像到本地分析器端口或分析器 VLAN 或网桥域。您可以将多个 VLAN(最多 256 个 VLAN)或桥接域配置为分析器的入口输入,包括一个 VLAN 范围和专用 VLAN (PVLAN)。
Policy-based sample packets—您可以镜像进入端口、VLAN 或网桥域的基于策略的数据包样本。您可以使用策略配置防火墙过滤器以选择要镜像的数据包。您可以将示例发送到端口镜像实例或者分析器 VLAN 或桥接域。
分析器概述
您可以将分析器配置为在同一分析器配置中定义输入流量和输出流量。要分析的输入流量可以是进入的流量,也可以是退出接口或 VLAN 的流量。分析器配置允许您将此流量发送到输出接口、实例、下一跃点组、VLAN 或桥接域。您可以在层次结构级别配置分析器 [edit forwarding-options analyzer]
。
统计分析器概述
您可以定义一组镜像属性,例如流量的镜像速率和最大数据包长度,您可以将这些属性显式绑定到路由器或交换机上的物理端口。这组镜像属性构成统计分析器(也称为非默认分析器)。在此级别,可以将命名实例绑定到与特定 FPC 关联的物理端口。
默认分析器概述
您可以配置分析器,而无需配置任何镜像属性(如镜像速率或最大数据包长度)。默认情况下,镜像速率设置为 1,最大数据包长度设置为数据包的完整长度。这些属性在全局级别应用,不需要绑定到特定的 FPC。
绑定到多个统计分析器的一组端口上的端口镜像
您最多可以将两个统计分析器应用于交换设备上的相同端口组。通过将两个不同的统计分析器实例应用于同一个 FPC 或数据包转发引擎,您可以将两个不同的第 2 层镜像规范绑定到单个端口组。绑定到 FPC 的镜像属性将覆盖交换设备上全局级别绑定的任何分析器(默认分析器)属性。通过在同一端口组上绑定第二个分析器实例来覆盖默认分析器属性。
端口镜像分析器术语
表 1 列出了一些端口镜像分析器术语及其说明。
术语 | Description |
---|---|
分析器 |
在镜像配置中,分析器包括:
|
分析仪输出接口 (也称为监视器端口) |
发送镜像流量和连接协议分析器的接口。 用作分析器输出的接口必须在层次结构级别下 分析器输出接口具有以下限制:
|
分析器 VLAN 或桥接域 (也称为监控 VLAN 或桥接域) |
VLAN 或网桥域,镜像流量发送到该域以供协议分析器使用。监控 VLAN 或网桥域中的成员接口分布在网络中的交换设备上。 |
基于桥域的分析器 |
配置为将桥接域用于输入和/或输出的分析器会话。 |
默认分析器 |
具有默认镜像参数的分析器。默认情况下,镜像速率为 1,最大数据包长度为完整数据包的长度。 |
输入接口 (也称为镜像端口或受监控接口) |
交换设备上的一个接口,用于镜像进入或退出此接口的流量。 |
基于 LAG 的分析器 |
在分析器配置中将链路聚合组 (LAG) 指定为输入(入口)接口的分析器。 |
本地镜像 |
一种分析器配置,其中数据包被镜像到本地分析器端口。 |
监测站 |
运行协议分析器的计算机。 |
基于下一跃点组的分析器 |
使用下一跃点组作为分析器的输出的分析器配置。 |
基于端口的分析器 |
定义输入和输出接口的分析器配置。 |
协议分析仪应用 |
用于检查通过网段传输的数据包的应用程序。通常也称为网络分析器、数据包嗅探器或探头。 |
远程镜像 |
其功能与本地镜像相同,不同之处在于镜像流量不会复制到本地分析器端口,而是泛洪到您专门为接收镜像流量而创建的分析器 VLAN 或桥接域。镜像数据包具有分析器 VLAN 或桥接域的附加外部标记。 |
统计分析仪 (也称为非默认分析器) |
一组镜像属性,您可以将其显式绑定到交换机上的物理端口。这组分析器属性称为统计分析器。 |
基于 VLAN 的分析器 |
一种使用 VLAN 将镜像流量传送到分析器的分析器配置。 |
端口镜像分析器的配置准则
配置端口镜像分析器时。我们建议您遵循这些准则以确保获得最佳收益。我们建议您在不使用镜像时禁用镜像,并选择特定接口作为分析器的输入,而不是使用 all
关键字选项,这将在所有接口上启用镜像。仅镜像必要的数据包可减少任何潜在的性能影响。
您还可以通过以下方式限制镜像流量:
-
使用统计抽样
-
使用防火墙过滤器
-
设置比率以选择统计样本
通过本地镜像,来自多个端口的流量将复制到分析器输出接口。如果分析器的输出接口达到容量,则会丢弃数据包。您必须考虑正在镜像的流量是否超过分析器输出接口的容量。
表 2 总结了分析器的进一步配置准则。
指引 |
价值或支持信息 |
评论 |
---|---|---|
可以同时启用的分析器数。 |
64 个默认分析器 每个 FPC 2 个 – 统计分析仪 |
统计分析器必须绑定到 FPC,才能镜像属于该 FPC 的端口上的流量。 注:
默认分析器属性隐式绑定在系统中所有 FPC 上的最后一个(或倒数第二个)实例上。因此,在 FPC 上显式绑定第二个统计分析器时,将覆盖默认分析器属性。 |
可用作分析器入口输入的接口、VLAN 或桥接域的数量。 |
256 |
– |
无法镜像流量的端口类型。 |
|
|
可以包含在分析器中的协议家族。 |
|
分析器仅镜像桥接流量。要镜像路由的流量,请将端口镜像配置 |
具有物理层错误的数据包不会发送到本地或远程分析器。 |
适用 |
具有这些错误的数据包将被过滤掉,因此不会发送到分析器。 |
分析器不支持线速流量。 |
适用 |
线速流量的镜像将尽最大努力完成。 |
LAG 接口上的分析器输出。 |
支持 |
|
分析器输出接口模式为中继模式。 |
支持 |
|
主机生成的控制数据包的出口镜像。 |
不支持 |
|
在分析器的节中 |
不支持 |
|
必须避免使用包含同一 VLAN 成员或 VLAN 本身的分析器输入和输出节。 |
适用 |
|
在不同分析器会话中支持 VLAN 及其成员接口 |
不支持 |
如果配置了镜像,则任一分析器处于活动状态。 |
聚合以太网 (ae) 接口及其为不同分析器配置的子逻辑接口的出口镜像。 |
不支持 |
|
在 EX9200 交换机上配置镜像以分析流量(CLI 过程)
EX9200 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控,或发送到 VLAN 进行远程监控。您可以使用镜像复制以下数据包:
进入或退出端口的数据包
进入或退出 VLAN 的数据包
仅镜像必要的数据包以减少潜在的性能影响。我们建议您:
在不使用已配置的分析器时禁用它们。
将单个接口指定为分析器的输入,而不是将所有接口指定为输入。
通过以下方式限制镜像流量:
使用统计抽样。
设置比率以选择统计样本。
使用防火墙过滤器。
如果要创建其他分析器而不删除现有分析器,请使用命令行界面 (CLI) 或 J-Web 配置页中的语句禁用 disable analyzer analyzer-name
现有分析器以进行镜像。
用作分析器输出的接口必须在 下 ethernet-switching family
配置,并且必须与 VLAN 相关联。
- 配置分析器以进行本地流量分析
- 配置分析器以进行远程流量分析
- 配置统计分析器以进行本地流量分析
- 配置统计分析器以进行远程流量分析
- 将统计分析器绑定到 FPC 级别分组的端口
- 使用下一跃点组配置具有多个目标的分析器
- 为第 2 层镜像定义下一跃点组
配置分析器以进行本地流量分析
要使用分析器将交换机上的网络流量或 VLAN 流量镜像到交换机上的接口,请执行以下操作:
配置分析器以进行远程流量分析
要将遍历交换机上的接口或 VLAN 的流量镜像到用于从远程位置进行分析的 VLAN,请执行以下操作:
配置统计分析器以进行本地流量分析
要使用统计分析器将交换机上的接口流量或 VLAN 流量镜像到交换机上的接口:
配置统计分析器以进行远程流量分析
要使用统计分析器将遍历交换机上的接口或 VLAN 的流量镜像到 VLAN,以便从远程位置进行分析:
将统计分析器绑定到 FPC 级别分组的端口
您可以将统计分析器绑定到交换机中的特定 FPC,即可以在交换机的 FPC 级别绑定统计分析器实例。统计分析器中指定的镜像属性将应用于与指定 FPC 上的所有数据包转发引擎关联的所有物理端口。
要将第 2 层分析器的命名实例绑定到 FPC,请执行以下操作:
启用交换机机箱属性的配置:
[edit] user@switch# edit chassis
启用 FPC(及其已安装的 PIC)的配置:
[edit chassis] user@switch# edit fpc slot-number
将统计分析器实例绑定到 FPC:
[edit chassis fpc slot-number] user@switch# set port-mirror-instance stats_analyzer-1
(可选)要将第 2 层镜像的第二个统计分析器实例绑定到同一 FPC,请重复步骤 3 并指定其他统计分析器名称:
[edit chassis fpc slot-number] user@switch# set port-mirror-instance stats_analyzer-2
验证绑定的最低配置:
[edit chassis fpc slot-number port-mirror-instance analyzer_name] user@switch# top [edit] user@switch# show chassis chassis { fpc slot-number { # Bind two statistical analyzers or port mirroring named instances at the FPC level. port-mirror-instance stats_analyzer-1; port-mirror-instance stats_analyzer-2; } }
在绑定第二个实例时(stats_analyzer-2
在此示例中),此会话的镜像属性(如果已配置)将覆盖任何默认分析器。
使用下一跃点组配置具有多个目标的分析器
通过将下一跃点组配置为分析器输出,可以将流量镜像到多个目标。将数据包镜像到多个目标也称为多数据包端口镜像。
要将交换机上的接口流量或 VLAN 流量镜像到交换机上的接口(使用分析器):
为第 2 层镜像定义下一跃点组
通过配置级别的下一跃点组配置 [edit forwarding-options]
,您可以定义下一跃点组名称、下一跃点组中使用的地址类型以及构成流量可镜像到的多个目标的逻辑接口。缺省情况下,通过语句使用 [edit forwarding-options next-hop-group next-hop-group-name group-type inet]
第 3 层地址指定下一跃点组。要改用第 2 层地址指定下一跃点组,请包含 [edit forwarding-options next-hop-group next-hop-group-name group-type layer-2]
该语句。
要为第 2 层镜像定义下一跃点组,请执行以下操作:
在 EX4300 交换机上配置镜像以分析流量(CLI 过程)
此任务可使用支持增强型第 2 层软件 (ELS) 配置样式的 EX 系列交换机的 Junos OS 来完成。
EX4300 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控或 VLAN 进行远程监控。您可以使用镜像来复制这些数据包:
进入或退出端口的数据包
进入 VLAN 的数据包
仅镜像必要的数据包以减少潜在的性能影响。我们建议您:
在不使用已配置的镜像配置时禁用这些配置。
将单个接口指定为分析器的输入,而不是将所有接口指定为输入。
使用防火墙过滤器限制镜像流量。
如果要创建其他分析器而不删除现有分析器,请使用命令行界面或 J-Web 配置页中的语句禁用 disable analyzer analyzer-name
现有分析器以进行镜像。
用作分析器输出的接口必须在该 ethernet-switching
系列下进行配置。
配置分析器以进行本地流量分析
要将交换机上的接口流量或 VLAN 流量镜像到交换机上的接口(使用分析器):
配置分析器以进行远程流量分析
要将遍历交换机上的接口或 VLAN 的流量镜像到 VLAN,以便从远程位置进行分析(使用分析器):
配置端口镜像
要过滤要镜像到端口镜像实例的数据包,请创建该实例,然后将其用作防火墙过滤器中的操作。您可以在本地和远程镜像配置中使用防火墙过滤器。
如果在多个过滤器或术语中使用相同的端口镜像实例,则数据包只会复制到分析器输出端口或分析器 VLAN 一次。
要过滤镜像流量,请在层次结构级别下 [edit forwarding-options]
创建端口镜像实例,然后创建防火墙过滤器。过滤器可以使用任何可用的匹配条件,并且必须作为 port-mirror-instance instance-name
操作。防火墙过滤器配置中的此操作为端口镜像实例提供输入。
要使用防火墙过滤器配置端口镜像实例,请执行以下操作:
配置端口镜像以分析流量(CLI 过程)
此配置任务将 Junos OS 用于不支持增强型第 2 层软件 (ELS) 配置样式的 EX 系列交换机。
EX 系列交换机允许您配置端口镜像,以将数据包副本发送到本地接口进行本地监控,或发送到 VLAN 进行远程监控。您可以使用端口镜像来复制以下数据包:
进入或退出端口的数据包
在 EX2200、EX3200、EX3300、EX4200、EX4500 或 EX6200 交换机上进入 VLAN 的数据包
在 EX8200 交换机上退出 VLAN 的数据包
仅镜像必要的数据包以减少潜在的性能影响。我们建议您:
在不使用已配置的端口镜像分析器时禁用它们。
将单个接口指定为分析器的输入,而不是将所有接口指定为输入。
通过以下方式限制镜像流量:
使用统计抽样。
设置比率以选择统计样本。
使用防火墙过滤器。
在开始配置端口镜像之前,请注意分析器输出接口的以下限制:
不能也是源端口。
不能用于切换。
当端口镜像配置的一部分时,不要参与第 2 层协议(如 RSTP)。
不要保留它们在配置为分析器输出接口之前持有的任何 VLAN 关联。
如果要在不删除现有分析器的情况下创建其他分析器,请先使用命令或端口镜像的 J-Web 配置页禁用 disable analyzer analyzer-name
现有分析器。
用作分析器输出的接口必须配置为 ethernet-switching
系列 。
为本地流量分析配置端口镜像
要将交换机上的接口流量或 VLAN 流量镜像到交换机上的另一个接口:
为远程流量分析配置端口镜像
要将遍历交换机上的接口或 VLAN 的流量镜像到 VLAN,以便从远程位置进行分析:
过滤进入分析器的流量
要过滤镜像到分析器的数据包,请创建分析器,然后将其用作防火墙过滤器中的操作。您可以在本地和远程端口镜像配置中使用防火墙过滤器。
如果在多个过滤器或术语中使用同一分析器,则数据包只会复制到分析器输出端口或分析器 VLAN 一次。
要过滤镜像流量,请创建分析器,然后创建防火墙过滤器。过滤器可以使用任何可用的匹配条件,并且操作必须为 analyzer
。防火墙过滤器的操作向分析器提供输入。
要使用过滤器配置端口镜像:
验证 EX 系列交换机上端口镜像分析器的输入和输出
目的
此验证任务将适用于不支持增强型第 2 层软件 (ELS) 配置样式的 EX 系列交换机使用的 Junos OS。
验证是否已在交换机上创建分析器,并具有相应的镜像输入接口和相应的分析器输出接口。
操作
可以使用命令 show analyzer
验证端口镜像分析器是否已按预期配置。
[edit] user@switch> show analyzer Analyzer name : employee-monitor Output VLAN : remote-analyzer Mirror ratio : 1 Loss priority : High Ingress monitored interfaces : ge-0/0/0.0 Ingress monitored interfaces : ge-0/0/1.0
您可以在配置模式下使用命令查看 show ethernet-switching-options
交换机上配置的所有端口镜像分析器,包括任何已禁用的端口镜像分析器。
user@switch# show ethernet-switching-options inactive: analyzer employee-web-monitor { loss-priority high; output { analyzer employee-monitor { loss-priority high; input { ingress { interface ge-0/0/0.0; interface ge-0/0/1.0; } } output { vlan { remote-analyzer; } } }
意义
此输出显示,员工监控分析器的比率为 1(镜像每个数据包,默认值),丢失优先级为 high
(将此选项 high
设置为只要分析器输出到 VLAN),正在镜像进入 ge-0/0/0 和 ge-0/0/1 的流量,并将镜像的流量发送到名为远程分析器的分析器。
示例:配置端口镜像分析器以在本地监视员工资源使用情况
瞻博网络设备允许您配置端口镜像,以将数据包副本发送到本地接口进行本地监控、VLAN 或桥接域进行远程监控。您可以使用镜像来复制这些数据包:
进入或退出端口的数据包
进出 VLAN 或桥接域的数据包
然后,您可以使用协议分析器在本地或远程分析镜像流量。您可以在本地目标接口上安装分析器。如果要将镜像流量发送到分析器 VLAN 或桥接域,则可以在远程监控站上使用分析器。
本主题介绍如何在交换设备上配置本地镜像。本主题中的示例介绍如何配置交换设备以将连接到员工计算机的流量输入接口镜像到同一设备上的分析器输出接口。
要求
使用以下硬件和软件组件之一:
一台装有 Junos OS 13.2 或更高版本的 EX9200 交换机
一台装有 Junos OS 14.1 或更高版本的 MX 系列路由器
在配置端口镜像之前,请确保您了解镜像概念。有关分析器的信息,请参阅 了解端口镜像分析器。有关端口镜像的信息,请参阅 了解第 2 层端口镜像。
概述和拓扑
本主题介绍如何将交换设备上进入端口的所有流量镜像到同一设备上的目标接口(本地镜像)。在这种情况量将进入连接到员工计算机的端口。
镜像所有流量需要大量带宽,并且只能在主动调查期间执行。
接口 ge-0/0/0 和 ge-0/0/1 用作员工计算机的连接。
接口 ge-0/0/10 保留用于分析镜像流量。
将运行协议分析器的 PC 连接到分析器输出接口。
镜像到一个接口的多个端口可能会导致缓冲区溢出,从而导致镜像数据包在输出接口上被丢弃。
图 1 显示了此示例的网络拓扑。

镜像所有员工流量以进行本地分析
程序
CLI 快速配置
要为通过连接到员工计算机的两个端口发送的入口流量快速配置本地镜像,请为 EX 系列交换机或 MX 系列路由器复制以下命令之一,并将其粘贴到交换设备终端窗口中:
EX 系列
[edit] set interfaces ge-0/0/0 unit 0 family ethernet-switching set interfaces ge-0/0/1 unit 0 family ethernet-switching set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor output interface ge-0/0/10.0
MX 系列
[edit] set interfaces ge-0/0/0 unit 0 family bridge interface-mode access vlan-id 99 set interfaces ge-0/0/1 unit 0 family bridge interface-mode access vlan-id 98 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor output interface ge-0/0/10.0
分步过程
要配置调用 employee-monitor
的分析器并同时指定输入(源)接口和分析器输出接口,请执行以下操作:
配置要在分析器配置中使用的每个接口。使用适合您平台的家庭协议。
EX Series [edit] set interfaces ge-0/0/0 unit 0 family ethernet-switching set interfaces ge-0/0/1 unit 0 family ethernet-switching
要在接口上进行配置
family bridge
,还必须配置interface-mode access
或interface-mode trunk
。您还必须配置vlan-id
。MX Series [edit] set interfaces ge-0/0/0 unit 0 family bridge interface-mode access vlan-id 99 set interfaces ge-0/0/1 unit 0 family bridge interface-mode access vlan-id 98
将连接到员工计算机的每个接口配置为输出分析器接口
employee-monitor
。[edit forwarding-options] set analyzer employee-monitor input ingress interface ge-0/0/0.0 set analyzer employee-monitor input ingress interface ge-0/0/1.0
配置分析器的输出分析器接口
employee-monitor
。这将是镜像数据包的目标接口。
[edit forwarding-options] set analyzer employee-monitor output interface ge-0/0/10.0
结果
检查配置结果。
[edit] user@device# show forwarding-options analyzer { employee-monitor { input { ingress { interface ge-0/0/0.0; interface ge-0/0/1.0; } } output { interface ge-0/0/10.0; } } }
验证
验证是否已正确创建分析器
目的
验证是否已使用适当的输入接口和相应的输出接口在交换设备上创建分析器 employee-monitor
。
操作
使用 show forwarding-options analyzer
操作命令验证分析器是否按预期配置。
user@device> show forwarding-options analyzer Analyzer name : employee-monitor Mirror rate : 1 Maximum packet length : 0 State : up Ingress monitored interfaces : ge-0/0/0.0 Output interface : ge-0/0/10.0
意义
输出显示 employee-monitor
分析器的比率为 1(即镜像每个数据包,默认设置),镜像的原始数据包的最大大小为 0(表示镜像整个数据包),配置状态为 up
,分析器正在镜像进入 ge-0/0/0 接口的流量,并将镜像的流量发送到 ge-0/0/10 接口。
如果输出接口的状态为 down
或未配置输出接口,则 的值 State
将 down
指示分析器将不会接收镜像流量。
示例:配置端口镜像以远程监控员工资源使用情况
瞻博网络设备允许您配置端口镜像,以将数据包副本发送到本地接口进行本地监控,或发送到 VLAN 或桥接域进行远程监控。您可以使用镜像来复制这些数据包:
进入或退出端口的数据包
进入或退出 VLAN 的数据包
进入或退出桥接域的数据包
如果要将镜像流量发送到分析器 VLAN 或网桥域,则可以使用远程监控站上运行的协议分析器来分析镜像流量。
仅镜像必要的数据包以减少潜在的性能影响。我们建议您执行以下操作:
在不使用已配置的镜像会话时禁用它们。
将单个接口指定为分析器的输入,而不是将所有接口指定为输入。
通过以下方式限制镜像流量:
使用统计抽样。
设置比率以选择统计样本。
使用防火墙过滤器。
本主题中的示例介绍如何配置远程端口镜像以分析员工资源使用情况。
要求
此示例使用以下硬件和软件组件对之一:
一台 EX9200 交换机连接到另一台运行 Junos OS 13.2 或更高版本的 EX9200 交换机
一台 MX 系列路由器连接到另一台运行 Junos OS 14.1 或更高版本的 MX 系列路由器
在配置远程镜像之前,请确保:
您了解镜像概念。有关分析器的信息,请参阅 了解端口镜像分析器。有关端口镜像的信息,请参阅 了解第 2 层端口镜像。
分析仪将用作输入接口的接口已在交换设备上配置。
概述和拓扑
本主题介绍如何配置到远程分析器 VLAN 或网桥域的端口镜像,以便可以从远程监控站进行分析。
图 2 显示了 EX 系列示例和 MX 系列示例方案的网络拓扑。
拓扑学

在此示例中:
接口 ge-0/0/0 是第 2 层接口,接口 ge-0/0/1 是第 3 层接口(两者都是源设备上的接口),用作员工计算机的连接。
接口 ge-0/0/10 是将源交换设备连接到目标交换设备的第 2 层接口。
接口 ge-0/0/5 是将目标交换设备连接到远程监控站的第 2 层接口。
拓扑中的所有交换设备上都配置了分析
remote-analyzer
器,以传输镜像流量。此拓扑可以使用 VLAN 或桥接域。
使用统计分析器镜像员工流量以进行远程分析
要配置统计分析器以对所有传入和传出员工流量进行远程流量分析,请选择以下示例之一:
镜像员工流量以便对 EX 系列交换机进行远程分析
CLI 快速配置
要快速配置统计分析器来远程分析传入和传出的员工流量,请为 EX 系列交换机复制以下命令并将其粘贴到正确的交换设备终端窗口中。
将以下命令复制并粘贴到 源 交换设备终端窗口中:
EX 系列
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/10 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/10 unit 0 family ethernet-switching vlan members 999 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor input egress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input egress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor output vlan remote-analyzer set forwarding-options analyzer employee-monitor input rate 2 set forwarding-options analyzer employee-monitor input maximum-packet-length 128 set chassis fpc 0 port-mirror-instance employee-monitor
将以下命令复制并粘贴到 目标 交换设备终端窗口中:
EX 系列
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/10 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/10 unit 0 family ethernet-switching vlan members 999 set interfaces ge-0/0/5 unit 0 family ethernet-switching interface-mode access set forwarding-options analyzer employee-monitor input ingress vlan remote-analyzer set forwarding-options analyzer employee-monitor output interface ge-0/0/5.0
分步过程
要配置基本远程镜像:
在源交换设备上,执行以下操作:
配置 VLAN 的
remote-analyzer
VLAN ID。[edit] user@device# set vlans remote-analyzer vlan-id 999
在连接到目标交换设备的网络端口上配置接入模式的接口,并将其与
remote-analyzer
VLAN 关联。[edit] user@device# set interfaces ge-0/0/10 unit 0 family ethernet-switching interface-mode access user@device# set interfaces ge-0/0/10 unit 0 family ethernet-switching vlan members 999
配置统计分析器
employee-monitor
。[edit forwarding-options] user@device# set analyzer employee-monitor input ingress interface ge-0/0/0.0 user@device# set analyzer employee-monitor input ingress interface ge-0/0/1.0 user@device# set analyzer employee-monitor input egress interface ge-0/0/0.0 user@device# set analyzer employee-monitor input egress interface ge-0/0/1.0 user@device# set analyzer employee-monitor output vlan remote-analyzer user@device# set analyzer employee-monitor input rate 2 user@device# set analyzer employee-monitor input maximum-packet-length 128
将统计分析器绑定到包含输入接口的 FPC。
[edit] user@device# set chassis fpc 0 port-mirror-instance employee-monitor
在目标网络设备上,执行以下操作:
配置 VLAN 的
remote-analyzer
VLAN ID。[edit] user@device# set vlans remote-analyzer vlan-id 999
在目标交换设备上配置接入模式接口,并将其与
remote-analyzer
VLAN 关联。[edit interfaces] user@device# set ge-0/0/10 unit 0 family ethernet-switching interface-mode access user@device# set ge-0/0/10 unit 0 family ethernet-switching vlan members 999
将连接到目标交换设备的接口配置为接入模式。
[edit interfaces] user@device# set ge-0/0/5 unit 0 family ethernet-switching interface-mode access
配置分析器
employee-monitor
。[edit forwarding-options] user@device# set analyzer employee-monitor input ingress vlan remote-analyzer user@device# set analyzer employee-monitor output interface ge-0/0/5.0
指定镜像参数,例如分析器的
employee-monitor
速率和最大数据包长度。[edit] user@device# set forwarding-options analyzer employee-monitor input rate 2 user@device# set forwarding-options analyzer employee-monitor input maximum-packet-length 128
将
employee-monitor
分析器绑定到包含输入端口的 FPC。[edit] user@device# set chassis fpc 0 port-mirror-instance employee-monitor
结果
检查源交换设备上的配置结果:
[edit] user@device# show forwarding-options { analyzer employee-monitor { input { ingress { interface ge-0/0/0.0; interface ge-0/0/1.0; } egress { interface ge-0/0/0.0; interface ge-0/0/1.0; } maximum-packet-length 128; rate 2; } output { vlan { remote-analyzer; } } } } interfaces { ge-0/0/10 { unit 0 { family ethernet-switching { interface-mode access; vlan { members 999; } } } } } vlans { remote-analyzer { vlan-id 999; } }
检查目标交换设备上的配置结果。
[edit] user@device# show interfaces { ge0/0/5 { unit 0 { family ethernet-switching { interface-mode access; } } } ge-0/0/10 { unit 0 { family ethernet-switching { interface-mode access; vlan { members 999; } } } } } vlans { remote-analyzer { vlan-id 999; interface { ge-0/0/10.0; } } } forwarding-options { analyzer employee-monitor { input { ingress { vlan remote-analyzer; } } output { interface { ge-0/0/5.0; } } } }
镜像员工流量以进行 MX 系列路由器的远程分析
CLI 快速配置
要快速配置统计分析器以远程分析传入和传出员工流量,请为 MX 系列路由器复制以下命令并将其粘贴到正确的交换设备终端窗口中。
将以下命令复制并粘贴到 源 交换设备终端窗口中:
MX 系列
[edit] set bridge-domains remote-analyzer vlan-id 999 set interfaces ge-0/0/10 unit 0 family bridge interface-mode access set interfaces ge-0/0/10 unit 0 family bridge vlan-id 999 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor input egress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input egress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor output bridge-domain remote-analyzer set forwarding-options analyzer employee-monitor input rate 2 set forwarding-options analyzer employee-monitor input maximum-packet-length 128 set chassis fpc 0 port-mirror-instance employee-monitor
将以下命令复制并粘贴到 目标 交换设备终端窗口中:
MX 系列
[edit] set bridge-domains remote-analyzer vlan-id 999 set interfaces ge-0/0/10 unit 0 family bridge interface-mode access set interfaces ge-0/0/10 unit 0 family bridge vlan-id 999 set interfaces ge-0/0/5 unit 0 family bridge interface-mode access set forwarding-options analyzer employee-monitor input ingress bridge-domain remote-analyzer set forwarding-options analyzer employee-monitor output interface ge-0/0/5.0
分步过程
要使用 MX 系列路由器配置基本远程镜像,请执行以下操作:
在源交换设备上,执行以下操作:
配置网桥域的
remote-analyzer
VLAN ID。[edit] user@device# set bridge-domains remote-analyzer vlan-id 999
在连接到目标交换设备的网络端口上配置接入模式的接口,并将其与
remote-analyzer
桥接域关联。[edit] user@device# set interfaces ge-0/0/10 unit 0 family bridge interface-mode access user@device# set interfaces ge-0/0/10 unit 0 family bridge vlan members 999
配置统计分析器
employee-monitor
。[edit forwarding-options] user@device# set analyzer employee-monitor input ingress interface ge-0/0/0.0 user@device# set analyzer employee-monitor input ingress interface ge-0/0/1.0 user@device# set analyzer employee-monitor input egress interface ge-0/0/0.0 user@device# set analyzer employee-monitor input egress interface ge-0/0/1.0 user@device# set analyzer employee-monitor output bridge-domain remote-analyzer user@device# set analyzer employee-monitor input rate 2 user@device# set analyzer employee-monitor input maximum-packet-length 128
将统计分析器绑定到包含输入接口的 FPC。
[edit] user@device# set chassis fpc 0 port-mirror-instance employee-monitor
在目标交换设备上,执行以下操作:
配置网桥域的
remote-analyzer
VLAN ID。[edit bridge-domains] user@device# set remote-analyzer vlan-id 999
在目标交换设备上配置接入模式接口,并将其与
remote-analyzer
网桥域关联。[edit interfaces] user@device# set ge-0/0/10 unit 0 family bridge interface-mode access user@device# set ge-0/0/10 unit 0 family bridge vlan members 999
将连接到目标交换设备的接口配置为接入模式。
[edit interfaces] user@device# set ge-0/0/5 unit 0 family bridge interface-mode access
配置分析器
employee-monitor
。[edit forwarding-options] user@device# set analyzer employee-monitor input ingress bridge-domain remote-analyzer user@device# set analyzer employee-monitor output interface ge-0/0/5.0
指定镜像参数,例如分析器的
employee-monitor
速率和最大数据包长度。[edit] user@device# set forwarding-options analyzer employee-monitor input rate 2 user@device# set forwarding-options analyzer employee-monitor input maximum-packet-length 128
将
employee-monitor
分析器绑定到包含输入端口的 FPC。[edit] user@device# set chassis fpc 0 port-mirror-instance employee-monitor
结果
检查源交换设备上的配置结果:
[edit] user@device# show bridge-domains { remote-analyzer { vlan-id 999; } } forwarding-options { analyzer { employee-monitor { input { ingress { interface ge-0/0/0.0; interface ge-0/0/1.0; } egress { interface ge-0/0/0.0; interface ge-0/0/1.0; } maximum-packet-length 128; rate 2; } output { bridge-domain { remote-analyzer; } } } } } interfaces { ge-0/0/0 { unit 0 { family bridge { interface-mode access; vlan-id 99; } } } ge-0/0/1 { unit 0 { family bridge { interface-mode access; vlan-id 98; } } } ge-0/0/10 { unit 0 { family bridge { interface-mode access; vlan-id 999; } } } }
检查目标交换设备上的配置结果。
[edit] user@device# show bridge-domains { remote-analyzer { vlan-id 999; } } forwarding-options { analyzer { employee-monitor { input { ingress { interface ge-0/0/0.0; interface ge-0/0/1.0; bridge-domain remote-analyzer; } } output { interface ge-0/0/5.0; } } } } interfaces { ge-0/0/5 { unit 0 { family bridge { interface-mode access; } } } }
验证
验证是否已正确创建分析器
目的
验证是否已使用适当的输入接口和相应的输出接口在设备上创建名为 employee-monitor
的分析器。
操作
要在监控源交换设备上的所有员工流量的同时验证分析器是否按预期配置,请在源交换设备上运行 show forwarding-options analyzer
命令。针对此配置示例,将显示以下输出。
user@device> show forwarding-options analyzer Analyzer name : employee-monitor Mirror rate : 2 Maximum packet length : 128 State : up Ingress monitored interfaces : ge-0/0/0.0 Ingress monitored interfaces : ge-0/0/1.0 Egress monitored interfaces : ge-0/0/0.0 Egress monitored interfaces : ge-0/0/1.0 Output VLAN : default-switch/remote-analyzer
意义
此输出显示实例的 employee-monitor
比率为 2,镜像的原始数据包的最大大小为 128,配置状态为 up
,表示状态正确,分析器已编程,分析器正在镜像进入 ge-0/0/0.0 和 ge-0/0/1.0 的流量,并将镜像的流量发送到称为远程分析器的 VLAN。
如果输出接口的状态为 down
或未配置输出接口,则 的值 State
将关闭,分析器将无法监控流量。
示例:配置镜像到多个接口,以远程监控 EX9200 交换机上的员工资源使用情况
EX9200 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控,或发送到 VLAN 进行远程监控。您可以使用镜像来复制这些数据包:
进入或退出端口的数据包
进出 VLAN 的数据包
如果要将镜像流量发送到分析器 VLAN,则可以使用远程监控站上运行的协议分析器应用程序来分析镜像流量。
仅镜像必要的数据包以减少潜在的性能影响。我们建议您:
在不使用已配置的镜像分析器时禁用它们。
将单个接口指定为分析器的输入,而不是将所有接口指定为输入。
通过以下方式限制镜像流量:
使用统计抽样。
设置比率以选择统计样本。
使用防火墙过滤器。
此示例介绍如何配置到分析器 VLAN 上多个接口的远程镜像:
要求
此示例使用以下硬件和软件组件:
三台 EX9200 交换机
适用于 EX 系列交换机的 Junos OS 13.2 或更高版本
在配置远程镜像之前,请确保:
分析器将用作输入接口的接口已在交换机上配置。
概述和拓扑
此示例介绍如何将交换机上进入端口的流量镜像到远程分析器 VLAN,以便您可以从远程监控站执行分析。此示例中的远程分析器 VLAN 包含多个成员接口。因此,相同的流量将镜像到远程分析器 VLAN 的所有成员接口,以便可以将镜像的数据包发送到不同的远程监控站。您可以在远程监控站上安装应用程序,如嗅探器和入侵检测系统,以分析这些镜像数据包并获得有用的统计数据。例如,如果有两个远程监控站,则可以在一个远程监控站上安装嗅探器,在另一个站上安装入侵检测系统。您可以使用防火墙过滤器分析器配置将特定类型的流量转发到远程监控站。
此示例介绍如何配置分析器以将流量镜像到下一跃点组中的多个接口,以便将流量发送到不同的监控站进行分析。
图 3 显示了此示例的网络拓扑。

拓扑学
在此示例中:
接口 ge-0/0/0 和 ge-0/0/1 是用作员工计算机连接的第 2 层接口(源交换机上的两个接口)。
接口 ge-0/0/10 和 ge-0/0/11 是连接到不同目标交换机的第 2 层接口。
接口 ge-0/0/12 是将目标 1 交换机连接到远程监控站的第 2 层接口。
接口 ge-0/0/13 是将目标 2 交换机连接到远程监控站的第 2 层接口。
remote-analyzer
VLAN 在拓扑中的所有交换机上均配置为承载镜像流量。
将所有员工流量镜像到多个 VLAN 成员接口以进行远程分析
要配置镜像到多个 VLAN 成员接口,以便对所有传入和传出员工流量进行远程流量分析,请执行以下操作:
程序
CLI 快速配置
要快速配置镜像以针对传入和传出员工流量进行远程流量分析,请复制以下命令并将其粘贴到交换机终端窗口中:
在源交换机终端窗口中,复制并粘贴以下命令:
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/10 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/10 unit 0 family ethernet-switching vlan members 999 set interfaces ge-0/0/11 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/11 unit 0 family ethernet-switching vlan members 999 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor input egress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input egress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor output next-hop-group remote-analyzer-nhg set forwarding-options next-hop-group remote-analyzer-nhg interface ge-0/0/10.0 set forwarding-options next-hop-group remote-analyzer-nhg interface ge-0/0/11.0 set forwarding-options next-hop-group remote-analyzer-nhg group-type layer-2
在目标 1 交换机终端窗口中,复制并粘贴以下命令:
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/10 unit 0 family ethernet-switching interface-mode acess set interfaces ge-0/0/12 unit 0 family ethernet-switching interface-mode access set forwarding-options analyzer employee-monitor input ingress vlan remote-analyzer set forwarding-options analyzer employee-monitor loss-priority high output interface ge-0/0/12.0
在目标 2 交换机终端窗口中,复制并粘贴以下命令:
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/11 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/13 unit 0 family ethernet-switching interface-mode access set forwarding-options analyzer employee-monitor input ingress vlan remote-analyzer set forwarding-options analyzer employee-monitor loss-priority high output interface ge-0/0/13.0
分步过程
要将基本远程镜像配置为两个 VLAN 成员接口,请执行以下操作:
在源交换机上:
配置 VLAN 的
remote-analyzer
VLAN ID:[edit vlans] user@switch# set remote-analyzer vlan-id 999
在连接到目标交换机的网络端口上配置接入模式的接口,并将其与
remote-analyzer
VLAN 关联:[edit interfaces] user@switch# set ge-0/0/10 unit 0 family ethernet-switching interface-mode trunk user@switch# set ge-0/0/10 unit 0 family ethernet-switching vlan members 999 user@switch# set ge-0/0/11 unit 0 family ethernet-switching interface-mode trunk user@switch# set ge-0/0/11 unit 0 family ethernet-switching vlan members 999
配置分析器
employee-monitor
:[edit forwarding-options] user@switch# set analyzer employee-monitor input ingress interface ge-0/0/0.0 user@switch# set analyzer employee-monitor input ingress interface ge-0/0/1.0 user@switch# set analyzer employee-monitor input egress interface ge-0/0/0.0 user@switch# set analyzer employee-monitor input egress interface ge-0/0/1.0 user@switch# set analyzer employee-monitor output next-hop-group remote-analyzer-nhg
在此分析器配置中,进出接口 ge-0/0/0.0 和 ge-0/0/1.0 的流量将发送到由名为 的
remote-analyzer-nhg
下一跃点组定义的输出目标。remote-analyzer-nhb
配置下一跃点组:[edit forwarding-options] user@switch# set next-hop-group remote-analyzer-nhg interface ge-0/0/10.0 user@switch# set next-hop-group remote-analyzer-nhg interface ge-0/0/11.0 user@switch# set next-hop-group remote-analyzer-nhg group-type layer-2
在目标 1 交换机上:
配置 VLAN 的
remote-analyzer
VLAN ID:[edit vlans] user@switch# set remote-analyzer vlan-id 999
在目标 1 交换机上配置接入模式的 ge-0/0/10 接口:
[edit interfaces] user@switch# set ge-0/0/10 unit 0 family ethernet-switching interface-mode access
将连接到远程监控站的接口配置为接入模式:
[edit interfaces] user@switch# set ge-0/0/12 unit 0 family ethernet-switching interface-mode access
配置分析器
employee-monitor
:[edit forwarding-options] user@switch# set analyzer employee-monitor input ingress vlan remote-analyzer user@switch# set analyzer employee-monitor loss-priority high output interface ge-0/0/12.0
在目标 2 交换机上:
配置 VLAN 的
remote-analyzer
VLAN ID:[edit vlans] user@switch# set remote-analyzer vlan-id 999
在目标 2 交换机上配置接入模式的 ge-0/0/11 接口:
[edit interfaces] user@switch# set ge-0/0/11 unit 0 family ethernet-switching interface-mode access
将连接到远程监控站的接口配置为接入模式:
[edit interfaces] user@switch# set ge-0/0/13 unit 0 family ethernet-switching interface-mode access
配置分析器
employee-monitor
:[edit forwarding-options] user@switch# set analyzer employee-monitor input ingress vlan remote-analyzer user@switch# set analyzer employee-monitor loss-priority high output interface ge-0/0/13.0
结果
检查源交换机上的配置结果:
[edit] user@switch# show forwarding-options { analyzer employee-monitor { input { ingress { interface ge-0/0/0.0; interface ge-0/0/1.0; } egress { interface ge-0/0/0.0; interface ge-0/0/1.0; } } output { next-hop-group { remote-analyzer-nhg; } } } } vlans { remote-analyzer { vlan-id 999; interface { ge-0/0/10.0 ge-0/0/11.0 } } } interfaces { ge-0/0/10 { unit 0 { family ethernet-switching { interface-mode access; } } } ge-0/0/11 { unit 0 { family ethernet-switching { interface-mode access; } } } }
检查目标 1 交换机上的配置结果:
[edit] user@switch# show vlans { remote-analyzer { vlan-id 999; } } interfaces { ge-0/0/10 { unit 0 { ethernet-switching { interface-mode acess; } } } ge-0/0/12 { unit 0 { family ethernet-switching { interface-mode access; } } } } forwarding-options { analyzer employee-monitor { input { ingress { vlan remote-analyzer; } } loss-priority high; output { interface { ge-0/0/12.0; } } } }
检查目标 2 交换机上的配置结果:
[edit] user@switch# show vlans { remote-analyzer { vlan-id 999; interface { ge-0/0/11.0 } } } interfaces { ge-0/0/11 { unit 0 { family ethernet-switching { interface-mode access; } } } ge-0/0/13 { unit 0 { family ethernet-switching { interface-mode access; } } } } forwarding-options { employee-monitor { input { ingress { vlan remote-analyzer; } } loss-priority high; output { interface { ge-0/0/13.0; } } } }
验证
要确认配置工作正常,请执行以下任务:
验证是否已正确创建分析器
目的
验证是否已使用适当的输入接口和相应的输出接口在交换机上创建了名为 employee-monitor
的分析器。
操作
您可以使用命令 show forwarding-options analyzer
验证分析器是否已按预期配置。
要在监控源交换机上的所有员工流量的同时验证分析器是否按预期配置,请在 show forwarding-options analyzer
源交换机上运行命令。对于此示例配置,在源交换机上显示以下输出:
user@switch> show forwarding-options analyzer Analyzer name : employee-monitor Mirror rate : 1 Maximum packet length : 0 State : up Ingress monitored interfaces : ge-0/0/0.0 Ingress monitored interfaces : ge-0/0/1.0 Egress monitored interfaces : ge-0/0/0.0 Egress monitored interfaces : ge-0/0/1.0 Output nhg : remote-analyzer-nhg user@switch> show forwarding-options next-hop-group Next-hop-group: remote-analyzer-nhg Type: layer-2 State: up Members Interfaces: ge-0/0/10.0 ge-0/0/11.0
意义
此输出显示 employee-monitor
分析器的比率为 1(镜像每个数据包,这是默认行为),配置状态为 up
,表示状态正确且分析器已编程,镜像进入或退出接口 ge-0/0/0 和 ge-0/0/1 的流量,并通过下一跃点组 remote-analyzer-nhg
将镜像流量发送到多个接口 ge-0/0/10.0 和 ge-0/0/11.0。如果输出接口的状态为 down
或未配置输出接口,则状态值将关闭,分析器将无法镜像流量。
示例:配置镜像,以便通过 EX9200 交换机上的中转交换机远程监控员工资源使用情况
EX9200 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控,或发送到 VLAN 进行远程监控。您可以使用镜像来复制这些数据包:
进入或退出端口的数据包
进入或退出 VLAN 的数据包
如果要将镜像流量发送到分析器 VLAN,则可以使用远程监控站上运行的协议分析器应用程序来分析镜像流量。
本主题包含一个示例,介绍如何通过中转交换机将进入交换机端口的流量镜像到远程分析器 VLAN,以便您可以从远程监控站执行分析。
仅镜像必要的数据包以减少潜在的性能影响。我们建议您:
在不使用已配置的镜像会话时禁用它们。
将单个接口指定为分析器的输入,而不是将所有接口指定为输入。
通过以下方式限制镜像流量:
使用统计抽样。
设置比率以选择统计样本。
使用防火墙过滤器。
此示例介绍如何通过中转交换机配置远程镜像:
要求
此示例使用以下硬件和软件组件:
一台 EX9200 交换机通过第三台 EX9200 交换机连接到另一台 EX9200 交换机
适用于 EX 系列交换机的 Junos OS 13.2 或更高版本
在配置远程镜像之前,请确保:
分析器将用作输入接口的接口已在交换机上配置。
概述和拓扑
此示例介绍如何通过中转交换机将进入交换机端口的流量镜像到 VLAN, remote-analyzer
以便对来自员工计算机的所有流量执行分析。
在此配置中,目标交换机上需要分析器会话,以将来自分析器 VLAN 的传入流量镜像到远程监控站连接的出口接口。
图 4 显示了此示例的网络拓扑。
拓扑学

在此示例中:
接口 ge-0/0/0 是第 2 层接口,接口 ge-0/0/1 是用作员工计算机连接的第 3 层接口(源交换机上的两个接口)。
接口 ge-0/0/10 是连接到中转交换机的第 2 层接口。
接口 ge-0/0/11 是传输交换机上的第 2 层接口。
接口 ge-0/0/12 是中继交换机上的第 2 层接口,连接到目标交换机。
接口 ge-0/0/13 是目标交换机上的第 2 层接口。
接口 ge-0/0/14 是目标交换机上的第 2 层接口,连接到远程监控站。
remote-analyzer
VLAN 在拓扑中的所有交换机上均配置为承载镜像流量。
镜像所有员工流量,以便通过传输交换机进行远程分析
要通过中转交换机为所有传入和传出员工流量配置镜像以进行远程流量分析,请执行以下操作:
程序
CLI 快速配置
要快速配置镜像以通过中转交换机进行远程流量分析,针对传入和传出员工流量,请复制以下命令并将其粘贴到交换机终端窗口中:
将以下命令复制并粘贴到源交换机(受监控交换机)终端窗口中:
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/10 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/10 unit 0 family ethernet-switching vlan members 999 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor input egress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input egress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor output vlan remote-analyzer
将以下命令复制并粘贴到传输交换机窗口中:
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/11 unit 0 family ethernet-switching interface-mode access set vlans remote-analyzer interface ge-0/0/11 set interfaces ge-0/0/12 unit 0 family ethernet-switching interface-mode access set vlans remote-analyzer interface ge-0/0/12
将以下命令复制并粘贴到目标交换机窗口中:
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/13 unit 0 family ethernet-switching interface-mode access set vlans remote-analyzer interface ge-0/0/13 ingress set interfaces ge-0/0/14 unit 0 family ethernet-switching interface-mode access set forwarding-options analyzer employee-monitor input ingress vlan remote-analyzer set forwarding-options analyzer employee-monitor output interface ge-0/0/14.0
分步过程
要通过中转交换机配置远程镜像,请执行以下操作:
在源交换机上:
配置 VLAN 的
remote-analyzer
VLAN ID:[edit vlans] user@switch# set remote-analyzer vlan-id 999
在连接到中转交换机的网络端口上配置接入模式的接口,并将其与
remote-analyzer
VLAN 关联:[edit interfaces] user@switch# set ge-0/0/10 unit 0 family ethernet-switching interface-mode access user@switch# set ge-0/0/10 unit 0 family ethernet-switching vlan members 999
配置分析器
employee-monitor
:[edit forwarding-options] user@switch# set analyzer employee-monitor input ingress interface ge-0/0/0.0 user@switch# set analyzer employee-monitor input ingress interface ge-0/0/1.0 user@switch# set analyzer employee-monitor input egress interface ge-0/0/0.0 user@switch# set analyzer employee-monitor input egress interface ge-0/0/1.0 user@switch# set analyzer employee-monitor output vlan remote-analyzer
在传输交换机上:
配置 VLAN 的
remote-analyzer
VLAN ID:[edit vlans] user@switch# set remote-analyzer vlan-id 999
将 ge-0/0/11 接口配置为接入模式,并将其与
remote-analyzer
VLAN 关联:[edit interfaces] user@switch# set ge-0/0/11 unit 0 family ethernet-switching interface-mode access
将 ge-0/0/12 接口配置为接入模式,将其与
remote-analyzer
VLAN 关联,并仅为出口流量设置接口:[edit interfaces] user@switch# set ge-0/0/12 unit 0 family ethernet-switching interface-mode access user@switch# set vlans remote-analyzer interface ge-0/0/12
在目标交换机上:
配置 VLAN 的
remote-analyzer
VLAN ID:[edit vlans] user@switch# set remote-analyzer vlan-id 999
为接入模式配置 ge-0/0/13 接口,将其与
remote-analyzer
VLAN 关联,并仅为入口流量设置接口:[edit interfaces] user@switch# set ge-0/0/13 unit 0 family ethernet-switching interface-mode access user@switch# set vlans remote-analyzer interface ge-0/0/13 ingress
将连接到远程监控站的接口配置为接入模式:
[edit interfaces] user@switch# set ge-0/0/14 unit 0 family ethernet-switching interface-mode access
配置分析器
remote-analyzer
:[edit forwarding-options] user@switch# set analyzer employee-monitor input ingress vlan remote-analyzer user@switch# set analyzer employee-monitor output interface ge-0/0/14.0
结果
检查源交换机上的配置结果:
[edit] user@switch> show forwarding-options { analyzer employee-monitor { input { ingress { interface ge-0/0/0.0; interface ge-0/0/1.0; } egress { interface ge-0/0/0.0; interface ge-0/0/1.0; } } output { vlan { remote-analyzer; } } } } vlans { remote-analyzer { vlan-id 999; } } interfaces { ge-0/0/10 { unit 0 { family ethernet-switching { interface-mode access; vlan { member 999; } } } } }
检查传输交换机上的配置结果:
[edit] user@switch> show vlans { remote-analyzer { vlan-id 999; interface { ge-0/0/11.0 { } ge-0/0/12.0 { } } } } interfaces { ge-0/0/11 { unit 0 { family ethernet-switching { interface-mode access; } } } ge-0/0/12 { unit 0 { family ethernet-switching { interface-mode access; } } } }
检查目标交换机上的配置结果:
[edit] user@switch> show vlans { remote-analyzer { vlan-id 999; interface { ge-0/0/13.0 { ingress; } } } } interfaces { ge-0/0/13 { unit 0 { family ethernet-switching { interface-mode access; } } } ge-0/0/14 { unit 0 { family ethernet-switching { interface-mode access; } } } } forwarding-options { analyzer employee-monitor { input { ingress { vlan remote-analyzer; } } output { interface { ge-0/0/14.0; } } } }
验证
要确认配置工作正常,请执行以下任务:
验证是否已正确创建分析器
目的
验证是否已使用适当的输入接口和相应的输出接口在交换机上创建名为 employee-monitor
的分析器。
操作
您可以使用命令 show forwarding-options analyzer
验证分析器是否已按预期配置。
要在监控源交换机上的所有员工流量的同时验证分析器是否按预期配置,请在 show forwarding-options analyzer
源交换机上运行命令。对于此示例配置,将显示以下输出:
user@switch> show forwarding-options analyzer Analyzer name : employee-monitor Mirror rate : 1 Maximum packet length : 0 State : up Ingress monitored interfaces : ge-0/0/0.0 Ingress monitored interfaces : ge-0/0/1.0 Egress monitored interfaces : ge-0/0/0.0 Egress monitored interfaces : ge-0/0/1.0 Output vlan : default-switch/remote-analyzer
意义
此输出显示 employee-monitor
分析器的镜像比率为 1(镜像每个数据包,默认值),配置 up
状态为 ,表示状态正确,并且分析器已编程,正在镜像进入 ge-0/0/0 和 ge-0/0/1 的流量,并将镜像的流量发送到名为 的分析 remote-analyzer
器。如果输出接口的状态为 down
或未配置输出接口,则状态值将关闭,分析器将无法镜像流量。
示例:配置镜像以本地监控 EX4300 交换机上的员工资源使用情况
此示例使用支持增强型第 2 层软件 (ELS) 配置样式的 EX 系列交换机的 Junos OS。如果您的交换机运行的软件不支持 ELS,请参阅 示例:配置端口镜像以本地监控 EX 系列交换机上的员工资源使用情况。有关 ELS 的详细信息,请参阅 增强型第 2 层软件入门。
EX4300 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控或 VLAN 进行远程监控。您可以使用镜像来复制这些数据包:
进入或退出端口的数据包
进入 VLAN 的数据包
如果要将镜像流量发送到分析器 VLAN,则可以使用安装在连接到本地目标接口或远程监控站的系统上的协议分析器来分析镜像流量。
此示例介绍如何在 EX4300 交换机上配置本地镜像。此示例介绍如何将交换机配置为将连接到员工计算机的流量输入接口镜像到同一交换机上的分析器输出接口。
要求
此示例使用以下硬件和软件组件:
一台 EX4300 交换机
适用于 EX 系列交换机的 Junos OS 13.2X50-D10 或更高版本
概述和拓扑
本主题包括两个示例,介绍如何将进入交换机端口的流量镜像到同一交换机上的目标接口(本地镜像)。第一个示例演示如何镜像进入连接到员工计算机的端口的所有流量。第二个示例显示了相同的方案,但包含一个筛选器,用于仅镜像进入 Web 的员工流量。
接口 ge-0/0/0 和 ge-0/0/1 用作员工计算机的连接。接口 ge0/0/10 保留用于分析镜像流量。将运行协议分析器应用程序的 PC 连接到分析器输出接口以分析镜像流量。
多个端口镜像到一个接口可能会导致缓冲区溢出和数据包丢失。
这两个示例均使用 中 图 5所示的网络拓扑。

镜像所有员工流量以进行本地分析
要为所有员工流量配置镜像以进行本地分析,请执行以下任务:
程序
CLI 快速配置
要为连接到员工计算机的两个端口的入口流量快速配置本地镜像,请复制以下命令并将其粘贴到交换机终端窗口中:
[edit] set interfaces ge-0/0/0 unit 0 family ethernet-switching set interfaces ge-0/0/1 unit 0 family inet address 192.0.2.1/24 set interfaces ge-0/0/10 unit 0 family ethernet-switching vlan members analyzer_vlan set vlans analyzer-vlan vlan-id 1000 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor output interface ge-0/0/10.0
分步过程
要配置调用 employee-monitor
的分析器并指定输入(源)接口和分析器输出接口,请执行以下操作:
将连接到员工计算机的每个接口配置为分析器的
employee-monitor
输入接口:[edit forwarding-options] user@switch# set analyzer employee-monitor input ingress interface ge–0/0/0.0 user@switch# set analyzer employee-monitor input ingress interface ge-0/0/1.0
将分析器的输出接口配置为 VLAN 的一部分:
[edit interfaces] user@switch# set ge-0/0/10 unit 0 family ethernet-switching vlan members analyzer_vlan
[edit vlans] user@switch# set analyzer-vlan vlan-id 1000
配置分析器的
employee-monitor
输出分析器接口。这将是镜像数据包的目标接口:[edit forwarding-options] user@switch# set analyzer employee-monitor output interface ge-0/0/10.0
结果
检查配置结果:
[edit] user@switch# show forwarding-options { analyzer employee-monitor { input { ingress { interface ge-0/0/0.0; interface ge-0/0/1.0;} } output { interface { ge-0/0/10.0; } } } }
镜像员工到 Web 的流量以进行本地分析
要为员工到 Web 流量配置镜像,请执行以下任务:
程序
CLI 快速配置
要快速配置来自连接到员工计算机的两个端口的流量的本地镜像,过滤以便仅镜像到外部 Web 的流量,请复制以下命令并将其粘贴到交换机终端窗口中:
[edit] set forwarding-options port-mirroring instance employee-web-monitor output interface ge-0/0/10.0 set firewall family ethernet-switching filter watch-employee term employee-to-corp from destination-address 192.0.2.16/24 set firewall family ethernet-switching filter watch-employee term employee-to-corp from source-address 192.0.2.16/24 set firewall family ethernet-switching filter watch-employee term employee-to-corp then accept set firewall family ethernet-switching filter watch-employee term employee-to-web from destination-port 80 set firewall family ethernet-switching filter watch-employee term employee-to-web then port-mirroring-instance employee-web-monitor set interfaces ge-0/0/0 unit 0 family ethernet-switching filter input watch-employee set interfaces ge-0/0/1 unit 0 family ethernet-switching filter input watch-employee
分步过程
要配置来自连接到员工计算机的两个端口的员工到 Web 流量的本地镜像,请执行以下操作:
配置本地分析器接口:
[edit interfaces] user@switch# set ge-0/0/10 unit 0 family ethernet-switching
employee-web-monitor
配置输出实例(实例的输入来自筛选器的操作):[edit forwarding-options port-mirroring] user@switch# set instance employee-web-monitor output interface ge-0/0/10.0
配置调用
watch-employee
的防火墙过滤器,以将员工请求到 Webemployee-web-monitor
的镜像副本发送到实例。接受进出企业子网(目标或源地址 192.0.2.16/24)的所有流量。将发往公网(目标端口 80)employee-web-monitor
的所有数据包的镜像副本发送到实例。[edit firewall family ethernet-switching] user@switch# set filter watch-employee term employee-to-corp from destination-address 192.0.2.16/24 user@switch# set filter watch-employee term employee-to-corp from source-address 192.0.2.16/24 user@switch# set filter watch-employee term employee-to-corp then accept ser@switch# set filter watch-employee term employee-to-web from destination-port 80 user@switch# set filter watch-employee term employee-to-web then port-mirroring-instance employee-web-monitor
将
watch-employee
过滤器应用到相应的端口:[edit interfaces] user@switch# set ge-0/0/0 unit 0 family ethernet-switching filter input watch-employee user@switch# set ge-0/0/1 unit 0 family ethernet-switching filter input watch-employee
结果
检查配置结果:
[edit] user@switch# show forwarding-options { port-mirroring { instance { employee-web-monitor { family ethernet-switching { output { interface ge-0/0/10.0; } } } } } } ... firewall family ethernet-switching { filter watch-employee { term employee-to-corp { from { destination-address 192.0.2.16/24; source-address 192.0.2.16/24; } then accept { } term employee-to-web { from { destination-port 80; } then port-mirroring-instance employee-web-monitor; } } } ... interfaces { ge-0/0/0 { unit 0 { family ethernet-switching { interface-mode trunk; vlan members [employee-vlan, voice-vlan]; filter { input watch-employee; } } } } ge-0/0/1 { family ethernet-switching { filter { input watch-employee; } } } }
验证
要确认配置是否正确,请执行以下任务:
验证是否已正确创建分析器
目的
验证是否已使用适当的输入接口和相应的输出接口在交换机上创建分析器 employee-monitor
或 employee-web-monitor
。
操作
您可以使用命令 show forwarding-options analyzer
验证分析器配置是否正确。
user@switch> show forwarding-options analyzer Analyzer name : employee-monitor Mirror rate : 1 Maximum packet length : 0 State : up Ingress monitored interfaces : ge-0/0/0.0 Ingress monitored interfaces : ge-0/0/1.0 Output interface : ge-0/0/10.0
意义
此输出显示分析器的 employee-monitor
比率为 1(镜像每个数据包,默认设置)、已镜像的原始数据包的最大大小(0
表示整个数据包)、配置状态(up 表示分析器正在镜像进入 ge-0/0/0 和 ge-0/0/1 接口的流量,并将镜像的流量发送到 ge-0/0/10 接口)。如果输出接口的状态为关闭或未配置输出接口,则状态值将为 down
,并且不会对分析器进行编程以进行镜像。
验证端口镜像实例配置是否正确
目的
验证是否已使用适当的输入接口在交换机上正确配置端口镜像实例 employee-web-monitor
。
操作
您可以使用命令 show forwarding-options port-mirroring
验证端口镜像实例配置是否正确。
user@switch> show forwarding-options port-mirroring Instance Name: employee-web-monitor Instance Id: 3 Input parameters: Rate : 1 Run-length : 0 Maximum-packet-length : 0 Output parameters: Family State Destination Next-hop ethernet-switching up ge-0/0/10.0
意义
此输出显示 employee-web-monitor
实例的比率为 1(镜像每个数据包,默认值)、镜像的原始数据包的最大大小(0
表示整个数据包)、配置状态为 up 且端口镜像已编程,并且来自防火墙过滤器操作的镜像流量在接口 ge-0/0/10.0 上发出。如果输出接口的状态为关闭或接口未配置,则状态值将为关闭,并且不会为镜像编程端口镜像。
示例:配置镜像以远程监控 EX4300 交换机上的员工资源使用情况
此示例使用支持增强型第 2 层软件 (ELS) 配置样式的 EX 系列交换机的 Junos OS。如果您的交换机运行的软件不支持 ELS,请参阅 示例:配置镜像以远程监控 EX4300 交换机上的员工资源使用情况。有关 ELS 的详细信息,请参阅:增强型第 2 层软件入门。
EX4300 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控或 VLAN 进行远程监控。您可以使用镜像来复制这些数据包:
进入或退出端口的数据包
进入 EX4300 交换机上 VLAN 的数据包
如果要将镜像流量发送到分析器 VLAN,则可以使用远程监控站上运行的协议分析器应用程序来分析镜像流量。
本主题包括两个相关示例,介绍如何将交换机上进入端口的流量镜像到 VLAN, remote-analyzer
以便您可以从远程监控站执行分析。第一个示例演示如何镜像进入连接到员工计算机的端口的所有流量。第二个示例显示了相同的方案,但包含一个筛选器,用于仅镜像进入 Web 的员工流量。
仅镜像必要的数据包以减少潜在的性能影响。我们建议您:
在不使用已配置的镜像会话时禁用它们。
将单个接口指定为分析器的输入,而不是将所有接口指定为输入。
使用防火墙过滤器限制镜像流量。
此示例介绍如何配置远程镜像:
要求
此示例使用以下硬件和软件组件:
适用于 EX 系列交换机的 Junos OS 13.2X50-D10 或更高版本
一台 EX4300 交换机连接到另一台 EX4300 交换机
该图显示了连接到 EX4300 目标交换机的 EX4300 虚拟机箱。
在配置远程镜像之前,请确保:
您了解镜像概念。
分析器将用作输入接口的接口已在交换机上配置。
概述和拓扑
本主题包括两个相关示例,介绍如何配置到 VLAN 的 remote-analyzer
镜像,以便可以从远程监控站执行分析。第一个示例说明如何配置交换机以镜像来自员工计算机的所有流量。第二个示例显示了相同的方案,但设置包括一个筛选器,用于仅镜像进入 Web 的员工流量。
图 6 显示了这两个示例方案的网络拓扑。
拓扑学

在此示例中:
接口 ge-0/0/0 是第 2 层接口,接口 ge-0/0/1 是用作员工计算机连接的第 3 层接口(源交换机上的两个接口)。
接口 ge-0/0/10 是将源交换机连接到目标交换机的第 2 层接口。
接口 ge-0/0/5 是将目标交换机连接到远程监控站的第 2 层接口。
remote-analyzer
VLAN 在拓扑中的所有交换机上均配置为承载镜像流量。
镜像所有员工流量以进行远程分析
要配置分析器以对所有传入和传出员工流量进行远程流量分析,请执行以下操作:
程序
CLI 快速配置
要快速配置用于传入和传出员工流量远程流量分析的分析器,请复制以下命令并将其粘贴到交换机终端窗口中:
将以下命令复制并粘贴到源交换机终端窗口中:
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/10 unit 0 family ethernet-switching interface-mode trunk set interfaces ge-0/0/10 unit 0 family ethernet-switching vlan members 999 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor input egress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input egress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor output vlan remote-analyzer
将以下命令复制并粘贴到目标交换机终端窗口中:
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/10 unit 0 family ethernet-switching interface-mode trunk set interfaces ge-0/0/10 unit 0 family ethernet-switching vlan members 999 set interfaces ge-0/0/5 unit 0 family ethernet-switching interface-mode trunk set forwarding-options analyzer employee-monitor input ingress vlan remote-analyzer set forwarding-options analyzer employee-monitor output interface ge-0/0/5.0
分步过程
要配置基本远程端口镜像:
在源交换机上:
配置 VLAN 的
remote-analyzer
VLAN ID:[edit vlans] user@switch# set remote-analyzer vlan-id 999
将连接到目标交换机的网络端口上的接口配置为中继模式,并将其与
remote-analyzer
VLAN 关联:[edit interfaces] user@switch# set ge-0/0/10 unit 0 family ethernet-switching interface-mode trunk user@switch# set ge-0/0/10 unit 0 family ethernet-switching vlan members 999
配置分析器
employee-monitor
:[edit forwarding-options] user@switch# set analyzer employee-monitor input ingress interface ge-0/0/0.0 user@switch# set analyzer employee-monitor input ingress interface ge-0/0/1.0 user@switch# set instance employee-monitor input egress interface ge-0/0/0.0 user@switch# set analyzer employee-monitor input egress interface ge-0/0/1.0 user@switch# set analyzer employee-monitor output vlan remote-analyzer
在目标交换机上:
配置 VLAN 的
remote-analyzer
VLAN ID:[edit vlans] user@switch# set remote-analyzer vlan-id 999
将目标交换机上的接口配置为中继模式,并将其与
remote-analyzer
VLAN 关联:[edit interfaces] user@switch# set ge-0/0/10 unit 0 family ethernet-switching interface-mode trunk user@switch# set ge-0/0/10 unit 0 family ethernet-switching vlan members 999
将连接到目标交换机的接口配置为中继模式:
[edit interfaces] user@switch# set ge-0/0/5 unit 0 family ethernet-switching interface-mode trunk
配置分析器
employee-monitor
:[edit forwarding-options] user@switch# set analyzer employee-monitor input ingress vlan remote-analyzer user@switch# set analyzer employee-monitor output interface ge-0/0/5.0
结果
检查源交换机上的配置结果:
[edit] user@switch> show forwarding-options { analyzer employee-monitor { input { ingress { interface ge-0/0/0.0; interface ge-0/0/1.0; } egress { interface ge-0/0/0.0; interface ge-0/0/1.0; } } output { vlan { remote-analyzer; } } } } interfaces { ge-0/0/10 { unit 0 { family ethernet-switching { interface-mode trunk; vlan { members 999; } } } } } vlans { remote-analyzer { vlan-id 999; interface { ge-0/0/10.0 } } } }
检查目标交换机上的配置结果:
[edit] user@switch> show interfaces { ge0/0/5 { unit 0 { family ethernet-switching { interface-mode trunk; } } } ge-0/0/10 { unit 0 { family ethernet-switching { interface-mode trunk; vlan { members 999; } } } } } vlans { remote-analyzer { vlan-id 999; interface { ge-0/0/10.0 } } } } forwarding-options { analyzer employee-monitor { input { ingress { vlan remote-analyzer; } } output { interface { ge-0/0/5.0; } } } }
镜像员工到 Web 的流量以进行远程分析
要配置端口镜像以远程分析员工到 Web 的流量,请执行以下任务:
程序
CLI 快速配置
要快速配置端口镜像以将员工流量镜像到外部 Web,请复制以下命令并将其粘贴到交换机终端窗口中:
将以下命令复制并粘贴到源交换机终端窗口中:
[edit] user@switch# set forwarding-options port-mirroring instance employee-web-monitor output vlan 999 user@switch# set vlans remote-analyzer vlan-id 999 user@switch# set interfaces ge-0/0/10 unit 0 family ethernet-switching port mode trunk user@switch# set interfaces ge-0/0/10 unit 0 family ethernet-switching vlan members 999 user@switch# set firewall family ethernet-switching filter watch-employee term employee-to-corp from destination-address 192.0.2.16/24 user@switch# set firewall family ethernet-switching filter watch-employee term employee-to-corp from source-address 192.0.2.16/24 user@switch# set firewall family ethernet-switching filter watch-employee term employee-to-corp then accept user@switch# set firewall family ethernet-switching filter watch-employee term employee-to-web from destination-port 80 user@switch# set firewall family ethernet-switching filter watch-employee term employee-to-web then port-mirror-instance employee-web-monitor user@switch# set interfaces ge-0/0/0 unit 0 family ethernet-switching filter input watch-employee user@switch# set interfaces ge-0/0/1 unit 0 family ethernet-switching filter input watch-employee
将以下命令复制并粘贴到目标交换机终端窗口中:
[edit] user@switch# set vlans remote-analyzer vlan-id 999 user@switch# set interfaces ge-0/0/10 unit 0 family ethernet-switching interface-mode trunk user@switch# set interfaces ge-0/0/10 unit 0 family ethernet-switching vlan members 999 user@switch# set interfaces ge-0/0/5 unit 0 family ethernet-switching interface-mode trunk user@switch# set forwarding-options analyzer employee-web-monitor input ingress vlan remote-analyzer user@switch# set forwarding-options analyzer employee-web-monitor output interface ge-0/0/5.0
分步过程
要将从连接到员工计算机的两个端口的所有流量配置为 VLAN 的 remote-analyzer
端口镜像,以便从远程监控站使用:
在源交换机上:
employee-web-monitor
配置端口镜像实例:[edit ] user@switch# set interfaces ge-0/0/10 unit 0 family ethernet-switching port mode trunk user@switch# set forwarding-options port-mirroring instance employee-web-monitor output vlan 999
配置 VLAN 的
remote-analyzer
VLAN ID:[edit vlans] user@switch# set remote-analyzer vlan-id 999
配置接口以将其与
remote-analyzer
VLAN 关联:[edit interfaces] user@switch# set ge-0/0/10 unit 0 family ethernet-switching vlan members 999
配置名为
watch-employee
的防火墙过滤器:[edit firewall family ethernet-switching] user@switch# set filter watch-employee term employee-to-corp from destination-address 192.0.2.16/24 user@switch# set filter watch-employee term employee-to-corp from source-address 192.0.2.16/24 user@switch# set filter watch-employee term employee-to-corp then accept user@switch# set filter watch-employee term employee-to-web from destination-port 80 user@switch# set filter watch-employee term employee-to-web then port-mirror-instance employee-web-monitor
将防火墙过滤器应用于员工接口:
[edit interfaces] user@switch# set ge-0/0/0 unit 0 family ethernet-switching filter input watch-employee user@switch# set ge-0/0/1 unit 0 family ethernet-switching filter input watch-employee
在目标交换机上:
配置 VLAN 的
remote-analyzer
VLAN ID:[edit vlans] user@switch# set remote-analyzer vlan-id 999
将目标交换机上的接口配置为中继模式,并将其与
remote-analyzer
VLAN 关联:[edit interfaces] user@switch# set ge-0/0/10 unit 0 family ethernet-switching interface-mode trunk user@switch# set ge-0/0/10 unit 0 family ethernet-switching vlan members 999
将连接到目标交换机的接口配置为中继模式:
[edit interfaces] user@switch# set ge-0/0/5 unit 0 family ethernet-switching interface-mode trunk
配置分析器
employee-monitor
:[edit forwarding-options port-mirroring] user@switch# set instance employee-web-monitor input ingress vlan remote-analyzer user@switch# set instance employee-web-monitor output interface ge-0/0/5.0
结果
检查源交换机上的配置结果:
[edit] user@switch> show interfaces { ge-0/0/10 { unit 0 { family ethernet-switching { interface-mode trunk; vlan { members remote-analyzer; } } } } ge-0/0/0 { unit 0 { family ethernet-switching { filter { input watch-employee; } } } } ge-0/0/1 { unit 0 { family ethernet-switching { filter { input watch-employee; } } } } } firewall { family ethernet-switching { filter watch-employee { term employee-to-corp { from { source-address { 192.0.2.16/24; } destination-address { 192.0.2.16/24; } } then accept; } term employee-to-web { from { destination-port 80; } then port-mirror-instance employee-web-monitor; } } } } forwarding-options { analyzer employee-web-monitor { output { vlan { 999; } } } vlans { remote-analyzer { vlan-id 999; } }
检查目标交换机上的配置结果:
[edit] user@switch> show vlans { remote-analyzer { vlan-id 999; } } interfaces { ge-0/0/10 { unit 0 { family ethernet-switching { interface-mode trunk; vlan { members remote-analyzer; } } } } ge-0/0/5 { unit 0 { family ethernet-switching { interface-mode trunk; } } } } forwarding-options { port-mirroring { instance employee-web-monitor { input { ingress { vlan remote-analyzer; } } output { interface { ge-0/0/5.0; } } } }
验证
要确认配置工作正常,请执行以下任务:
验证是否已正确创建分析器
目的
验证是否已使用适当的输入接口和相应的输出接口在交换机上命名 employee-monitor
或 employee-web-monitor
创建的分析器。
操作
您可以使用命令 show forwarding-options analyzer
验证分析器是否已按预期配置。要查看以前创建的已禁用的分析器,请转到 J-Web 界面。
要在监控源交换机上的所有员工流量的同时验证分析器是否按预期配置,请在 show analyzer
源交换机上运行命令。此配置示例显示以下输出:
user@switch> show forwarding-options analyzer Analyzer name : employee-monitor Mirror rate : 1 Maximum packet length : 0 State : up Ingress monitored interfaces : ge-0/0/0.0 Ingress monitored interfaces : ge-0/0/1.0 Egress monitored interfaces : ge-0/0/0.0 Egress monitored interfaces : ge-0/0/1.0 Output VLAN : default-switch/remote-analyzer
意义
此输出显示 employee-monitor
实例的比率为 1(镜像每个数据包,默认值)、已镜像的原始数据包的最大大小(0 表示整个数据包)、配置状态为 up(指示状态正确且分析器已编程,并且正在镜像进入 ge-0/0/0 和 ge-0/0/1 的流量,并将镜像的流量发送到名为 remote-analyzer
的 VLAN)。如果输出接口的状态为关闭或未配置输出接口,则状态值将关闭,并且不会对分析器进行编程以进行镜像。
示例:配置镜像,以便通过 EX4300 交换机上的中转交换机远程监控员工资源使用情况
此示例使用支持增强型第 2 层软件 (ELS) 配置样式的 EX 系列交换机的 Junos OS。
EX4300 交换机允许您配置镜像,以将数据包副本发送到本地接口进行本地监控或 VLAN 进行远程监控。您可以使用镜像来复制这些数据包:
进入或退出端口的数据包
进入 EX4300 交换机上 VLAN 的数据包
如果要将镜像流量发送到分析器 VLAN,则可以使用远程监控站上运行的协议分析器应用程序来分析镜像流量。
本主题包含一个示例,介绍如何通过中转交换机将进入交换机端口的流量镜像到 remote-analyzer
VLAN,以便您可以从远程监控站执行分析。
仅镜像必要的数据包以减少潜在的性能影响。我们建议您:
在不使用已配置的镜像会话时禁用它们。
将单个接口指定为分析器的输入,而不是将所有接口指定为输入。
使用防火墙过滤器限制镜像流量。
此示例介绍如何通过中转交换机配置远程镜像:
要求
此示例使用以下硬件和软件组件:
一台 EX4300 交换机通过第三台 EX4300 交换机连接到另一台 EX4300 交换机
适用于 EX 系列交换机的 Junos OS 13.2X50-D10 或更高版本
在配置远程镜像之前,请确保:
您了解镜像概念。
分析器将用作输入接口的接口已在交换机上配置。
概述和拓扑
此示例介绍如何通过中转交换机将进入交换机端口的流量镜像到 VLAN, remote-analyzer
以便您可以从远程监控站执行分析。该示例说明如何配置交换机以将所有流量从员工计算机镜像到远程分析器。
在此配置中,目标交换机上需要分析器会话,以将来自分析器 VLAN 的传入流量镜像到远程监控站连接的出口接口。您必须在 VLAN 的 remote-analyzer
中转交换机上禁用 MAC 学习,以便对中转交换机上 VLAN 的所有 remote-analyzer
成员接口禁用 MAC 学习。
图 7 显示了此示例的网络拓扑。
拓扑学

在此示例中:
接口 ge-0/0/0 是第 2 层接口,接口 ge-0/0/1 是用作员工计算机连接的第 3 层接口(源交换机上的两个接口)。
接口 ge-0/0/10 是连接到中转交换机的第 2 层接口。
接口 ge-0/0/11 是传输交换机上的第 2 层接口。
接口 ge-0/0/12 是中继交换机上的第 2 层接口,连接到目标交换机。
接口 ge-0/0/13 是目标交换机上的第 2 层接口。
接口 ge-0/0/14 是目标交换机上的第 2 层接口,连接到远程监控站。
remote-analyzer
VLAN 在拓扑中的所有交换机上均配置为承载镜像流量。
镜像所有员工流量,以便通过传输交换机进行远程分析
要通过中转交换机为所有传入和传出员工流量配置镜像以进行远程流量分析,请执行以下操作:
程序
CLI 快速配置
要快速配置镜像以通过中转交换机进行远程流量分析,针对传入和传出员工流量,请复制以下命令并将其粘贴到交换机终端窗口中:
将以下命令复制并粘贴到源交换机(受监控交换机)终端窗口中:
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/10 unit 0 family ethernet-switching interface-mode trunk set interfaces ge-0/0/10 unit 0 family ethernet-switching vlan members 999 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input ingress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor input egress interface ge-0/0/0.0 set forwarding-options analyzer employee-monitor input egress interface ge-0/0/1.0 set forwarding-options analyzer employee-monitor output vlan remote-analyzer
将以下命令复制并粘贴到传输交换机窗口中:
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/11 unit 0 family ethernet-switching interface-mode trunk set vlans remote-analyzer interface ge-0/0/11 set interfaces ge-0/0/12 unit 0 family ethernet-switching interface-mode trunk set vlans remote-analyzer interface ge-0/0/12 set vlans remote-analyzer no-mac-learning
将以下命令复制并粘贴到目标交换机窗口中:
[edit] set vlans remote-analyzer vlan-id 999 set interfaces ge-0/0/13 unit 0 family ethernet-switching interface-mode trunk set vlans remote-analyzer interface ge-0/0/13 ingress set interfaces ge-0/0/14 unit 0 family ethernet-switching interface-mode trunk set forwarding-options analyzer employee-monitor input ingress vlan remote-analyzer set forwarding-options analyzer employee-monitor output interface ge-0/0/14.0
分步过程
要通过中转交换机配置远程镜像,请执行以下操作:
在源交换机上:
配置 VLAN 的
remote-analyzer
VLAN ID:[edit vlans] user@switch# set remote-analyzer vlan-id 999
将连接到中转交换机的网络端口上的接口配置为中继模式,并将其与
remote-analyzer
VLAN 关联:[edit interfaces] user@switch# set ge-0/0/10 unit 0 family ethernet-switching interface-mode trunk user@switch# set ge-0/0/10 unit 0 family ethernet-switching vlan members 999
配置分析器
employee-monitor
:[edit forwarding-options] user@switch# set analyzer employee-monitor input ingress interface ge-0/0/0.0 user@switch# set analyzer employee-monitor input ingress interface ge-0/0/1.0 user@switch# set analyzer employee-monitor input egress interface ge-0/0/0.0 user@switch# set analyzer employee-monitor input egress interface ge-0/0/1.0 user@switch# set analyzer employee-monitor output vlan remote-analyzer
在传输交换机上:
配置 VLAN 的
remote-analyzer
VLAN ID:[edit vlans] user@switch# set remote-analyzer vlan-id 999
将 ge-0/0/11 接口配置为中继模式,并将其与
remote-analyzer
VLAN 关联:[edit interfaces] user@switch# set ge-0/0/11 unit 0 family ethernet-switching interface-mode trunk
ge-0/0/12
为中继模式配置接口,将其与remote-analyzer
VLAN 关联,并仅为出口流量设置接口:[edit interfaces] user@switch# set ge-0/0/12 unit 0 family ethernet-switching interface-mode trunk user@switch# set vlans remote-analyzer interface ge-0/0/12
配置 VLAN 选项
remote-analyzer
以no-mac-learning
在属于 VLAN 成员remote-analyzer
的所有接口上禁用 MAC 学习:[edit interfaces] user@switch# set vlans remote-analyzer no-mac-learning
在目标交换机上:
配置 VLAN 的
remote-analyzer
VLAN ID:[edit vlans] user@switch# set remote-analyzer vlan-id 999
将 ge-0/0/13 接口配置为中继模式,将其与
remote-analyzer
VLAN 关联,并仅为入口流量设置接口:[edit interfaces] user@switch# set ge-0/0/13 unit 0 family ethernet-switching interface-mode trunk user@switch# set vlans remote-analyzer interface ge-0/0/13 ingress
将连接到远程监控站的接口配置为中继模式:
[edit interfaces] user@switch# set ge-0/0/14 unit 0 family ethernet-switching interface-mode trunk
配置分析器
employee-monitor
:[edit forwarding-options] user@switch# set analyzer employee-monitor input ingress vlan remote-analyzer user@switch# set analyzer employee-monitor output interface ge-0/0/14.0
结果
检查源交换机上的配置结果:
[edit] user@switch> show forwarding-options { analyzer employee-monitor { input { ingress { interface ge-0/0/0.0; interface ge-0/0/1.0; } egress { interface ge-0/0/0.0; interface ge-0/0/1.0; } } output { vlan { remote-analyzer; } } } } vlans { remote-analyzer { vlan-id 999; } } interfaces { ge-0/0/10 { unit 0 { family ethernet-switching { interface-mode trunk; vlan { member 999; } } } } }
检查传输交换机上的配置结果:
[edit] user@switch> show vlans { remote-analyzer { vlan-id 999; interface { ge-0/0/11.0 { } ge-0/0/12.0 { } } no-mac-learning; } } interfaces { ge-0/0/11 { unit 0 { family ethernet-switching { interface-mode trunk; } } } ge-0/0/12 { unit 0 { family ethernet-switching { interface-mode trunk; } } } }
检查目标交换机上的配置结果:
[edit] user@switch> show vlans { remote-analyzer { vlan-id 999; interface { ge-0/0/13.0 { ingress; } } } } interfaces { ge-0/0/13 { unit 0 { family ethernet-switching { interface-mode trunk; } } } ge-0/0/14 { unit 0 { family ethernet-switching { interface-mode trunk; } } } } forwarding-options { analyzer employee-monitor { input { ingress { vlan remote-analyzer; } } output { interface { ge-0/0/14.0; } } } }
验证
要确认配置工作正常,请执行以下任务:
验证是否已正确创建分析器
目的
验证是否已使用适当的输入接口和相应的输出接口在交换机上创建名为 employee-monitor
的分析器。
操作
您可以使用命令 show analyzer
验证分析器是否按预期配置。要查看以前创建的已禁用的分析器,请转到 J-Web 界面。
要在监控源交换机上的所有员工流量的同时验证分析器是否按预期配置,请在 show analyzer
源交换机上运行命令。对于此示例配置,将显示以下输出:
user@switch> show forwarding-options analyzer Analyzer name : employee-monitor Mirror rate : 1 Maximum packet length : 0 State : up Ingress monitored interfaces : ge-0/0/0.0 Ingress monitored interfaces : ge-0/0/1.0 Egress monitored interfaces : ge-0/0/0.0 Egress monitored interfaces : ge-0/0/1.0 Output vlan : default-switch/remote-analyzer
意义
此输出显示 employee-monitor
分析器的比率为 1(镜像每个数据包,默认值),正在镜像进入 ge-0/0/0 和 ge-0/0/1 的流量,并将镜像的流量发送到分析器 remote-analyzer
。