Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
在本页
 

配置端口镜像实例

2 层端口镜像全局实例

在 MX 系列路由器和 EX 系列交换机上，您可以配置一组端口镜像属性，以隐式方式应用于路由器（或交换机）机箱中所有端口上接收的数据包。此端口镜像属性集是路由器或交换机的第 2 层端口镜像的全局实例。

在全局实例配置中，您可以为第 2 层端口镜像支持的每个数据包地址家族指定一组镜像目标属性。

有关第 2 层端口镜像属性的常规说明，请参阅 了解第 2 层端口镜像属性。有关 MX 系列路由器和 EX 系列交换机上可用的第 2 层端口镜像类型的比较，请参阅 第 2 层端口镜像类型的应用。

配置第 2 层端口镜像的全局实例

在 MX 系列路由器和 EX 系列交换机上，您可以配置一组第 2 层端口镜像属性，这些属性将隐式应用于路由器（或交换机）机箱中所有端口上接收的数据包。

在 MX 系列路由器和 EX 系列交换机上配置第 2 层端口镜像的全局实例：

  1. 启用第 2 层端口镜像的配置：
  2. 启用数据包选择属性的配置：
  3. 指定全局级别的数据包选择属性。

    1. 指定要选择的数据包数量：

      有效范围为 1 到 65535。


    2. 指定要从每个选择中镜像的数据包数量：

      有效范围为 0 到 20。默认值为 0。


    3. 指定将镜像数据包截短的长度：

      有效范围为 0 到 9216。默认值为 0，这意味着镜像的数据包不会被截断。

  4. 指定用于镜像流量的全局级别第 2 层地址类型家族：

    选项的值 family 可以是 ethernet-switching， ccc或 vpls。

    注：

    在 [edit forwarding-options port-mirroring] 层次结构级别下，协议家族语句 family ethernet-switching 是的别名 family vpls。命令行界面 （CLI） 将第 2 层端口镜像配置 family vpls显示为，即使对于配置为 family ethernet-switching的第 2 层端口镜像也是如此。在物理接口配置时使用family ethernet-switchingencapsulation ethernet-bridge。

  5. 启用此地址家族的全局级别镜像目标属性配置：
  6. 为此地址系列指定全局级别镜像目标属性。

    1. 指定发送镜像数据包的物理接口：

      您还可以将集成路由和桥接 （IRB） 接口指定为输出接口。


    2. （可选）允许在指定端口镜像实例的目标接口上配置过滤器：

  7. （可选）指定选择用于镜像的任何数据包仅镜像一次到任何镜像目标：
    提示：

    mirror-once当 MX 系列路由器或 EX 系列交换机配置为在入口接口和出口接口执行第 2 层端口镜像时，启用选项，这可能会导致向同一目标发送重复数据包（这会使镜像流量分析复杂化）。

  8. 验证第 2 层端口镜像全局实例的最低配置：

第 2 层端口镜像命名实例

本主题介绍以下信息：

第 2 层端口镜像命名实例概述

在 MX 系列路由器和 EX 系列交换机上，您可以定义一组端口镜像属性，这些属性可以显式绑定到路由器或交换机上的物理端口。此 端口镜像 属性集称为第 2 层端口镜像的 命名实例 。

您可以将第 2 层端口镜像的命名实例绑定到与 MX 系列路由器或 EX 系列交换机不同级别的路由器（或交换机）机箱的数据包转发引擎组件关联的物理端口：

  • 在 FPC 级别 — 您可以将命名实例绑定到与特定密集端口集中器 （DPC） 关联的物理端口，或绑定到与特定灵活端口集中器 （FPC） 关联的物理端口。

  • 在 PIC 级别 — 您可以将端口镜像的命名实例绑定到特定数据包转发引擎（特定 DPC 上）或特定 PIC。

注：

MX 系列路由器支持 DPC 以及 FPC 和 PIC。与 FPC 不同，DPC 不支持 PIC。但是，在 Junos OS CLI 中，您可以使用 FPC 和 PIC 语法来配置或显示有关 DPC 上的 DPC 和数据包转发引擎的信息。

以下几点汇总了基于命名实例的第 2 层端口镜像行为：

  • 数据包选择的范围由绑定的目标决定 — 在绑定到命名第 2 层端口镜像实例的端口（或端口）上，路由器或交换机根据命名实例中的数据包选择属性选择输入数据包。

  • 所选数据包的目标由数据包地址家族决定 — 在所选数据包中，路由器或交换机仅镜像属于地址家族的数据包，第 2 层端口镜像的命名实例为其指定了一组镜像目标属性。在 L2 环境中，MX 系列路由器和 EX 系列交换机支持 VPLS（family ethernet-switching 或 family vpls）流量的端口镜像，以及第 2 层 VPN 流量镜像 family ccc。

有关第 2 层端口镜像属性的常规说明，请参阅 了解第 2 层端口镜像属性。有关 MX 系列路由器和 EX 系列交换机上可用的第 2 层端口镜像类型的比较，请参阅 第 2 层端口镜像类型的应用。

在 FPC 级别分组的端口处镜像

在 MX 系列路由器和 EX 系列交换机上，您可以将第 2 层端口镜像的命名实例绑定到路由器（或交换机）机箱中安装的特定 DPC 或 FPC。实例中的端口镜像属性将应用于指定 DPC 上的所有数据包转发引擎（及其关联端口），或安装在指定 FPC 中的所有 PIC（及其关联端口）。绑定到 DPC 或 FPC 的端口镜像属性将覆盖在全局级别或 MX 系列路由器（或交换机）机箱绑定的任何端口镜像属性。

在 PIC 级别分组的端口处镜像

在 MX 系列路由器和 EX 系列交换机上，可将第 2 层端口镜像的命名实例绑定到特定的数据包转发引擎或 PIC。该实例中的端口镜像属性将应用于与指定数据包转发引擎或 PIC 关联的所有端口。与数据包转发引擎或 PIC 绑定的端口镜像属性将覆盖在 DPC 或 FPC 上绑定且包含这些属性的任何端口镜像属性。

注：

对于 MX960 路由器，数据包转发引擎与以太网端口的一对一映射。因此，只能在 MX960 路由器上配置端口镜像实例的端口特定绑定。

在绑定到多个命名实例的一组端口上镜像

在 MX 系列路由器和 EX 系列交换机上，最多可将两个第 2 层端口镜像的命名实例应用于路由器（或交换机）机箱中的同一端口组。通过将两个不同的端口镜像实例应用于同一个 DPC、FPC、数据包转发引擎或 PIC，您可以将两个不同的第 2 层端口镜像规格绑定到一组端口。

注：

只能在 MX 系列路由器和 EX 系列交换机上配置一个第 2 层端口镜像的全局实例。

注：

您可以通过配置内联端口镜像为每个 FPC 配置两个以上端口镜像实例。有关内联端口镜像的信息，请参阅 配置内联端口镜像。

定义第 2 层端口镜像的命名实例

在 MX 系列路由器和 EX 系列交换机上，您可以定义一组第 2 层端口镜像属性，以便绑定到特定数据包转发引擎（在路由器或交换机机箱的 PIC 级别）或数据包转发引擎组（在机箱的 DPC 或 FPC 级别）。

在 MX 系列路由器或 EX 系列交换机上定义第 2 层端口镜像的命名实例：

  1. 启用第 2 层端口镜像的命名实例的配置：
  2. 启用数据包采样属性的配置：
  3. 指定数据包选择属性：

    1. 指定要选择的数据包数量：

      有效范围为1 到 65535。


    2. 指定要从每个选择中镜像的数据包数量：

      有效范围为0 到 20。默认值0为。

      注：

      MX80 路由器不支持该 run-length 语句。


    3. 指定将镜像数据包截短的长度：

      有效范围为0 到9216。默认值为 0，这意味着镜像的数据包不会被截短。

      注：

      MX80 路由器不支持该 maximum-packet-length 语句。

  4. 为属于桥接域、第 2 层交换交叉连接或虚拟专用 LAN 服务 （VPLS） 的第 2 层数据包启用镜像目标属性配置：

    1. 指定要镜像的流量的第 2 层地址家族类型：

      选项的值family可以是 ethernet-switching、 或cccvpls。

      注：

      在 [edit forwarding-options port-mirroring] 层次结构级别下，协议家族语句 family ethernet-switching 是的别名 family vpls。命令行界面 （CLI） 将第 2 层端口镜像配置 family vpls显示为，即使对于配置为 family ethernet-switching的第 2 层端口镜像也是如此。在物理接口配置时使用family ethernet-switchingencapsulation ethernet-bridge。


    2. 启用镜像目标属性的配置：

  5. 指定镜像目标属性。

    1. 指定发送镜像数据包的物理接口：


    2. （可选）允许在全局端口镜像实例的目标接口上配置过滤器：

      注：

      无法在 MX80 路由器上配置端口镜像实例。您只能在 MX80 路由器上配置全局级别的端口镜像。

  6. （可选）指定选择用于镜像的任何数据包仅镜像一次到任何镜像目标：
    提示：

    当 MX 系列路由器或 EX 系列交换机配置为在入口接口和出口接口上执行第 2 层端口镜像时，请启用全局 mirror-once 选项，这可能会导致向同一目标发送重复数据包（这反过来会使镜像流量分析变得复杂）。

  7. 要为不同的数据包家族类型配置镜像目标，请重复步骤 4 到 6。
  8. 验证第 2 层端口镜像的指定实例的最低配置：

禁用第 2 层端口镜像实例

您可以禁用第 2 层端口镜像的全局实例、特定命名实例或所有端口镜像实例：

配置内联端口镜像

内联端口镜像使您能够指定不与防火墙过滤器 then port-mirror-instance 操作中的灵活 PIC 集中器 （FPC） 绑定的实例。这样，您就不仅限于每个 FPC 两个端口镜像实例。内联端口镜像可以将端口镜像目标与输入参数（如 rate）分离。虽然输入参数在交换机接口板中编程，但镜像数据包的下一跳目的地在数据包本身中可用。内联端口镜像仅在基于 Trio 的模块化端口集中器 （MPC） 上受支持。

使用内联端口镜像，端口镜像实例将可以选择从另一个实例继承输入参数，如以下 CLI 配置示例所示：

不允许多层继承。一个实例可由多个实例引用。实例可以引用之前定义的另一个实例。不允许转发引用，且实例不能引用自身，这样做将导致配置解析期间出错。

用户可以指定一个未与防火墙过滤器中的 FPC 绑定的实例。指定的过滤器应继承已绑定到 FPC 的两个实例之一。如果未标记，则数据包不会标记为端口镜像。如果有，将使用参考实例指定的输入参数对数据包进行采样，但副本将被发送到其自己的目标位置。