Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

配置端口镜像实例

2 层 端口镜像全局实例

在 MX 系列路由器和 EX 系列交换机上,您可以配置一组端口镜像属性,这些属性隐式应用于在路由器(或交换机)机箱中所有端口上接收的数据包。这组端口镜像属性是路由器或交换机的第 2 层 端口镜像全局 实例

在全局实例配置中,您可以为第 2 层 端口镜像支持的每个数据包地址族指定一组镜像目标属性。

有关第 2 层 端口镜像属性的一般说明,请参阅 了解第 2 层端口镜像属性。如需比较 MX 系列路由器和 EX 系列交换机上可用的第 2 层 端口镜像类型,请参阅第 2 层端口镜像类型的应用

配置第 2 层 端口镜像的全局实例

在 MX 系列路由器和 EX 系列交换机上,您可以配置一组第 2 层 端口镜像属性,这些属性隐式应用于在路由器(或交换机)机箱中所有端口上接收的数据包。

要在 MX 系列路由器和 EX 系列交换机上配置第 2 层 端口镜像的全局实例:

  1. 启用第 2 层 端口镜像的配置:
  2. 启用数据包选择属性的配置:
  3. 指定全局级数据包选择属性。

    1. 指定要选择的数据包数:

      有效范围为 1 到 65535。


    2. 指定要从每个选择中镜像的数据包数:

      有效范围为 0 到 20。默认值为 0。


    3. 指定要截断的镜像数据包长度:

      有效范围为 0 到 9216。默认值为 0,表示镜像数据包不会被截断。

  4. 指定要从中选择流量进行镜像的全局级别第 2 层 地址类型家族:

    选项的family值可以是 ethernet-switchingcccvpls

    注意:

    在层次结构级别下[edit forwarding-options port-mirroring],protocol family 语句family ethernet-switching是 的family vpls别名。命令行界面 (CLI) 会将第 2 层 端口镜像配置显示为 family vpls,即使第 2 层 端口镜像配置为 family ethernet-switching也是如此。当物理接口配置encapsulation ethernet-bridge了 时使用family ethernet-switching

  5. 为此地址族启用全局级镜像目标属性的配置:
  6. 为此地址族指定全局级镜像目标属性。

    1. 指定要在其上发送镜像数据包的物理接口:

      您还可以将集成路由和桥接 (IRB) 接口指定为输出接口。


    2. (选答)允许在指定端口镜像实例的目标接口上配置过滤器:

  7. (可选)指定为镜像选择的任何数据包仅镜像到任何镜像目标一次:
    提示:

    当 MX 系列路由器或 EX 系列交换机配置为在入口和出口接口上执行第 2 层端口镜像时,启用该 mirror-once 选项,这可能会导致向同一目标发送重复的数据包(这将使镜像流量的分析变得复杂)。

  8. 验证第 2 层 端口镜像全局实例的最低配置:

2 层 端口镜像命名实例

本文介绍以下内容:

第 2 层 端口镜像命名实例概述

在 MX 系列路由器和 EX 系列交换机上,您可以定义一组端口镜像属性,这些属性可以显式绑定到路由器或交换机上的物理端口。这组 端口镜像 属性称为第 2 层 端口镜像的 命名实例

您可以将第 2 层 端口镜像的命名实例绑定到与MX 系列路由器或 EX 系列交换机的数据包转发引擎组件相关联的物理端口,这些端口位于路由器(或交换机)机箱的不同级别:

  • 在 FPC 级别 — 您可以将命名实例绑定到与特定密集端口集中器 (DPC) 关联的物理端口,或绑定到与特定灵活端口集中器 (FPC) 关联的物理端口。

  • 在 PIC 级别 — 您可以将端口镜像的命名实例绑定到特定数据包转发引擎(在特定 DPC 上)或特定 PIC。

注意:

MX 系列路由器支持 DPC 以及 FPC 和 PIC。与 FPC 不同,DPC 不支持 PIC。但是,在 Junos OS CLI 中,您可以使用 FPC 和 PIC 语法来配置或显示有关 DPC 和 DPC 上的数据包转发引擎的信息。

以下几点总结了基于命名实例的第 2 层 端口镜像的行为:

  • 数据包选择的范围由绑定目标决定 — 在绑定到第 2 层 端口镜像的命名实例的端口(或端口)上,路由器或交换机根据命名实例中的数据包选择属性选择输入数据包。

  • 所选数据包的目标由数据包地址族决定 — 在所选数据包中,路由器或交换机仅镜像属于地址族的数据包,第 2 层端口镜像的命名实例为其指定了一组镜像目的属性。在第 2 层 环境中,MX 系列路由器和 EX 系列交换机支持 VPLS(family ethernet-switchingfamily vpls或 )流量和第 2 层 VPN 流量的family ccc端口镜像。

有关第 2 层 端口镜像属性的一般说明,请参阅 了解第 2 层端口镜像属性。如需比较 MX 系列路由器和 EX 系列交换机上可用的第 2 层 端口镜像类型,请参阅第 2 层端口镜像类型的应用

在 FPC 级别分组的端口进行镜像

在 MX 系列路由器和 EX 系列交换机上,您可以将第 2 层 端口镜像的命名实例绑定到安装在路由器(或交换机)机箱中的特定 DPC 或 FPC。实例中的端口镜像属性将应用于指定 DPC 上的所有数据包转发引擎(及其关联端口)或安装在指定 FPC 中的所有 PIC(及其关联端口)。绑定到 DPC 或 FPC 的端口镜像属性将覆盖在全局级别或 MX 系列路由器(或交换机)机箱绑定的任何端口镜像属性。

在 PIC 级别分组的端口进行镜像

在 MX 系列路由器和 EX 系列交换机上,您可以将第 2 层 端口镜像的命名实例绑定到特定的数据包转发引擎或 PIC。该实例中的端口镜像属性将应用于与指定数据包转发引擎或 PIC 关联的所有端口。绑定到数据包转发引擎或 PIC 的端口镜像属性会覆盖绑定在包含它们的 DPC 或 FPC 上的任何端口镜像属性。

注意:

对于 MX960 路由器,数据包转发引擎到以太网端口的一对一映射。因此,只有在 MX960 路由器上,您才能配置端口镜像实例的特定端口绑定。

在绑定到多个命名实例的一组端口上进行镜像

在 MX 系列路由器和 EX 系列交换机上,您最多可以将两个指定的第 2 层 端口镜像实例应用到路由器(或交换机)机箱内的同一组端口。通过将两个不同的端口镜像实例应用于相同的 DPC、FPC、数据包转发引擎或 PIC,您可以将两个不同的第 2 层 端口镜像规范绑定到一组端口。

注意:

您只能在 MX 系列路由器和 EX 系列交换机上配置一个第 2 层 端口镜像全局实例。

注意:

通过配置内联端口镜像,可以为每个 FPC 配置两个以上的端口镜像实例。有关内联端口镜像的信息,请参阅 配置内联端口镜像

定义第 2 层端口镜像的命名实例

在 MX 系列路由器和 EX 系列交换机上,您可以定义一组第 2 层 端口镜像属性,这些属性可以绑定到特定的数据包转发引擎(在路由器或交换机机箱的 PIC 级别)或一组数据包转发引擎(在机箱的 DPC 或 FPC 级别)。

要在 MX 系列路由器或 EX 系列交换机上定义第 2 层 端口镜像的命名实例:

  1. 启用第 2 层 端口镜像命名实例的配置:
  2. 启用数据包采样属性的配置:
  3. 指定数据包选择属性:

    1. 指定要选择的数据包数:

      有效范围是 1 通过 65535


    2. 指定要从每个选择中镜像的数据包数:

      有效范围是 0 通过 20。默认值为 0

      注意:

      MX80 路由器不支持该 run-length 语句。


    3. 指定要截断的镜像数据包长度:

      有效范围是 0 通过 9216。默认值为 0,表示镜像数据包不会被截断。

      注意:

      MX80 路由器不支持该 maximum-packet-length 语句。

  4. 为属于桥接域、第 2 层 交换交叉连接或虚拟专用 LAN 服务 (VPLS) 的第 2 层 数据包启用镜像目标属性的配置:

    1. 指定要镜像的第 2 层 地址族流量类型:

      选项的 family 值可以是 ethernet-switchingcccvpls

      注意:

      在层次结构级别下[edit forwarding-options port-mirroring],protocol family 语句family ethernet-switching是 的family vpls别名。命令行界面 (CLI) 会将第 2 层 端口镜像配置显示为 family vpls,即使第 2 层 端口镜像配置为 family ethernet-switching也是如此。当物理接口配置encapsulation ethernet-bridge了 时使用family ethernet-switching


    2. 启用镜像目标属性的配置:

  5. 指定镜像目标属性。

    1. 指定要在其上发送镜像数据包的物理接口:


    2. (选答)允许在全局端口镜像实例的目标接口上配置过滤器:

      注意:

      无法在 MX80 路由器上配置端口镜像实例。您只能在 MX80 路由器上配置全局级别的端口镜像。

  6. (可选)指定为镜像选择的任何数据包仅镜像到任何镜像目标一次:
    提示:

    如果将 MX 系列路由器或 EX 系列交换机配置为在入口和出口接口上执行第 2 层端口镜像,则启用全局 mirror-once 选项,这可能会导致向同一目标发送重复的数据包(进而使镜像流量的分析变得复杂)。

  7. 要为其他数据包族类型配置镜像目标,请重复步骤 4-6。
  8. 验证第 2 层 端口镜像的指定实例的最低配置:

禁用第 2 层 端口镜像实例

您可以禁用第 2 层 端口镜像的全局实例、特定的命名实例或所有端口镜像实例:

配置内联端口镜像

借助内联端口镜像,您可以在防火墙过滤器 then port-mirror-instance 操作中指定未绑定到灵活 PIC 集中器 (FPC) 的实例。这样,每个 FPC 就不再局限于两个端口镜像实例。内联端口镜像将端口镜像目标与输入参数(如 rate)分离。当输入参数在交换机接口板中编程时,镜像数据包的下一跳目的地在数据包本身中可用。只有基于 Trio 的模块化端口集中器 (MPC) 才支持内联端口镜像。

使用内联端口镜像,端口镜像实例将可以选择从指定该参数的另一个实例继承输入参数,如以下 CLI 配置示例所示:

不允许多级继承。一个实例可以被多个实例引用。实例可以引用在其之前定义的另一个实例。不允许前向引用,实例也不能引用自身,这样做会导致配置解析时出错。

用户可以在防火墙过滤器中指定未绑定到 FPC 的实例。指定的筛选器应继承已绑定到 FPC 的两个实例之一。否则,则不会将数据包标记为端口镜像。如果是这样,则将使用引用实例指定的输入参数对数据包进行采样,但副本将发送到其自己的目的地。