Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

配置端口镜像实例

2 层端口镜像全局实例

在 MX 系列路由器和 EX 系列交换机上,您可以配置一组端口镜像属性,以隐式方式应用于路由器(或交换机)机箱中所有端口上接收的数据包。此端口镜像属性集是路由器或交换机的第 2 层端口镜像的全局实例

在全局实例配置中,您可以为第 2 层端口镜像支持的每个数据包地址家族指定一组镜像目标属性。

有关第 2 层端口镜像属性的常规说明,请参阅 了解第 2 层端口镜像属性。有关 MX 系列路由器和 EX 系列交换机上可用的第 2 层端口镜像类型的比较,请参阅 第 2 层端口镜像类型的应用

配置第 2 层端口镜像的全局实例

在 MX 系列路由器和 EX 系列交换机上,您可以配置一组第 2 层端口镜像属性,这些属性将隐式应用于路由器(或交换机)机箱中所有端口上接收的数据包。

在 MX 系列路由器和 EX 系列交换机上配置第 2 层端口镜像的全局实例:

  1. 启用第 2 层端口镜像的配置:
  2. 启用数据包选择属性的配置:
  3. 指定全局级别的数据包选择属性。

    1. 指定要选择的数据包数量:

      有效范围为 1 到 65535。


    2. 指定要从每个选择中镜像的数据包数量:

      有效范围为 0 到 20。默认值为 0。


    3. 指定将镜像数据包截短的长度:

      有效范围为 0 到 9216。默认值为 0,这意味着镜像的数据包不会被截断。

  4. 指定用于镜像流量的全局级别第 2 层地址类型家族:

    选项的值 family 可以是 ethernet-switchingcccvpls

    注:

    [edit forwarding-options port-mirroring] 层次结构级别下,协议家族语句 family ethernet-switching 是的别名 family vpls。命令行界面 (CLI) 将第 2 层端口镜像配置 family vpls显示为,即使对于配置为 family ethernet-switching的第 2 层端口镜像也是如此。在物理接口配置时使用family ethernet-switchingencapsulation ethernet-bridge

  5. 启用此地址家族的全局级别镜像目标属性配置:
  6. 为此地址系列指定全局级别镜像目标属性。

    1. 指定发送镜像数据包的物理接口:

      您还可以将集成路由和桥接 (IRB) 接口指定为输出接口。


    2. (可选)允许在指定端口镜像实例的目标接口上配置过滤器:

  7. (可选)指定选择用于镜像的任何数据包仅镜像一次到任何镜像目标:
    提示:

    mirror-once当 MX 系列路由器或 EX 系列交换机配置为在入口接口和出口接口执行第 2 层端口镜像时,启用选项,这可能会导致向同一目标发送重复数据包(这会使镜像流量分析复杂化)。

  8. 验证第 2 层端口镜像全局实例的最低配置:

第 2 层端口镜像命名实例

本主题介绍以下信息:

第 2 层端口镜像命名实例概述

在 MX 系列路由器和 EX 系列交换机上,您可以定义一组端口镜像属性,这些属性可以显式绑定到路由器或交换机上的物理端口。此 端口镜像 属性集称为第 2 层端口镜像的 命名实例

您可以将第 2 层端口镜像的命名实例绑定到与 MX 系列路由器或 EX 系列交换机不同级别的路由器(或交换机)机箱的数据包转发引擎组件关联的物理端口:

  • 在 FPC 级别 — 您可以将命名实例绑定到与特定密集端口集中器 (DPC) 关联的物理端口,或绑定到与特定灵活端口集中器 (FPC) 关联的物理端口。

  • 在 PIC 级别 — 您可以将端口镜像的命名实例绑定到特定数据包转发引擎(特定 DPC 上)或特定 PIC。

注:

MX 系列路由器支持 DPC 以及 FPC 和 PIC。与 FPC 不同,DPC 不支持 PIC。但是,在 Junos OS CLI 中,您可以使用 FPC 和 PIC 语法来配置或显示有关 DPC 上的 DPC 和数据包转发引擎的信息。

以下几点汇总了基于命名实例的第 2 层端口镜像行为:

  • 数据包选择的范围由绑定的目标决定 — 在绑定到命名第 2 层端口镜像实例的端口(或端口)上,路由器或交换机根据命名实例中的数据包选择属性选择输入数据包。

  • 所选数据包的目标由数据包地址家族决定 — 在所选数据包中,路由器或交换机仅镜像属于地址家族的数据包,第 2 层端口镜像的命名实例为其指定了一组镜像目标属性。在 L2 环境中,MX 系列路由器和 EX 系列交换机支持 VPLS(family ethernet-switchingfamily vpls)流量的端口镜像,以及第 2 层 VPN 流量镜像 family ccc

有关第 2 层端口镜像属性的常规说明,请参阅 了解第 2 层端口镜像属性。有关 MX 系列路由器和 EX 系列交换机上可用的第 2 层端口镜像类型的比较,请参阅 第 2 层端口镜像类型的应用

在 FPC 级别分组的端口处镜像

在 MX 系列路由器和 EX 系列交换机上,您可以将第 2 层端口镜像的命名实例绑定到路由器(或交换机)机箱中安装的特定 DPC 或 FPC。实例中的端口镜像属性将应用于指定 DPC 上的所有数据包转发引擎(及其关联端口),或安装在指定 FPC 中的所有 PIC(及其关联端口)。绑定到 DPC 或 FPC 的端口镜像属性将覆盖在全局级别或 MX 系列路由器(或交换机)机箱绑定的任何端口镜像属性。

在 PIC 级别分组的端口处镜像

在 MX 系列路由器和 EX 系列交换机上,可将第 2 层端口镜像的命名实例绑定到特定的数据包转发引擎或 PIC。该实例中的端口镜像属性将应用于与指定数据包转发引擎或 PIC 关联的所有端口。与数据包转发引擎或 PIC 绑定的端口镜像属性将覆盖在 DPC 或 FPC 上绑定且包含这些属性的任何端口镜像属性。

注:

对于 MX960 路由器,数据包转发引擎与以太网端口的一对一映射。因此,只能在 MX960 路由器上配置端口镜像实例的端口特定绑定。

在绑定到多个命名实例的一组端口上镜像

在 MX 系列路由器和 EX 系列交换机上,最多可将两个第 2 层端口镜像的命名实例应用于路由器(或交换机)机箱中的同一端口组。通过将两个不同的端口镜像实例应用于同一个 DPC、FPC、数据包转发引擎或 PIC,您可以将两个不同的第 2 层端口镜像规格绑定到一组端口。

注:

只能在 MX 系列路由器和 EX 系列交换机上配置一个第 2 层端口镜像的全局实例。

注:

您可以通过配置内联端口镜像为每个 FPC 配置两个以上端口镜像实例。有关内联端口镜像的信息,请参阅 配置内联端口镜像

定义第 2 层端口镜像的命名实例

在 MX 系列路由器和 EX 系列交换机上,您可以定义一组第 2 层端口镜像属性,以便绑定到特定数据包转发引擎(在路由器或交换机机箱的 PIC 级别)或数据包转发引擎组(在机箱的 DPC 或 FPC 级别)。

在 MX 系列路由器或 EX 系列交换机上定义第 2 层端口镜像的命名实例:

  1. 启用第 2 层端口镜像的命名实例的配置:
  2. 启用数据包采样属性的配置:
  3. 指定数据包选择属性:

    1. 指定要选择的数据包数量:

      有效范围为165535


    2. 指定要从每个选择中镜像的数据包数量:

      有效范围为020。默认值0为。

      注:

      MX80 路由器不支持该 run-length 语句。


    3. 指定将镜像数据包截短的长度:

      有效范围为09216。默认值为 0,这意味着镜像的数据包不会被截短。

      注:

      MX80 路由器不支持该 maximum-packet-length 语句。

  4. 为属于桥接域、第 2 层交换交叉连接或虚拟专用 LAN 服务 (VPLS) 的第 2 层数据包启用镜像目标属性配置:

    1. 指定要镜像的流量的第 2 层地址家族类型:

      选项的值family可以是 ethernet-switching、 或cccvpls

      注:

      [edit forwarding-options port-mirroring] 层次结构级别下,协议家族语句 family ethernet-switching 是的别名 family vpls。命令行界面 (CLI) 将第 2 层端口镜像配置 family vpls显示为,即使对于配置为 family ethernet-switching的第 2 层端口镜像也是如此。在物理接口配置时使用family ethernet-switchingencapsulation ethernet-bridge


    2. 启用镜像目标属性的配置:

  5. 指定镜像目标属性。

    1. 指定发送镜像数据包的物理接口:


    2. (可选)允许在全局端口镜像实例的目标接口上配置过滤器:

      注:

      无法在 MX80 路由器上配置端口镜像实例。您只能在 MX80 路由器上配置全局级别的端口镜像。

  6. (可选)指定选择用于镜像的任何数据包仅镜像一次到任何镜像目标:
    提示:

    当 MX 系列路由器或 EX 系列交换机配置为在入口接口和出口接口上执行第 2 层端口镜像时,请启用全局 mirror-once 选项,这可能会导致向同一目标发送重复数据包(这反过来会使镜像流量分析变得复杂)。

  7. 要为不同的数据包家族类型配置镜像目标,请重复步骤 4 到 6。
  8. 验证第 2 层端口镜像的指定实例的最低配置:

禁用第 2 层端口镜像实例

您可以禁用第 2 层端口镜像的全局实例、特定命名实例或所有端口镜像实例:

配置内联端口镜像

内联端口镜像使您能够指定不与防火墙过滤器 then port-mirror-instance 操作中的灵活 PIC 集中器 (FPC) 绑定的实例。这样,您就不仅限于每个 FPC 两个端口镜像实例。内联端口镜像可以将端口镜像目标与输入参数(如 rate)分离。虽然输入参数在交换机接口板中编程,但镜像数据包的下一跳目的地在数据包本身中可用。内联端口镜像仅在基于 Trio 的模块化端口集中器 (MPC) 上受支持。

使用内联端口镜像,端口镜像实例将可以选择从另一个实例继承输入参数,如以下 CLI 配置示例所示:

不允许多层继承。一个实例可由多个实例引用。实例可以引用之前定义的另一个实例。不允许转发引用,且实例不能引用自身,这样做将导致配置解析期间出错。

用户可以指定一个未与防火墙过滤器中的 FPC 绑定的实例。指定的过滤器应继承已绑定到 FPC 的两个实例之一。如果未标记,则数据包不会标记为端口镜像。如果有,将使用参考实例指定的输入参数对数据包进行采样,但副本将被发送到其自己的目标位置。