示例：在 PTX 路由器上配置远程端口镜像

远程端口镜像功能概述提供了此示例中部署的协议和技术的快速摘要。

此示例使用基于 MPLS 的 L3 VPN 的上下文来演示 PTX 路由器上的远程端口镜像功能。L3 VPN 配置为支持客户边缘 （CE） 和提供商边缘 （PE） 路由器之间的 IPv4 和 IPv6 流量。

图1：远程端口镜像

此示例演示了镜像通过提供商网络发送的 CE 流量的两种方法：

• 第一种方法在 PE-CE VRF 接口上使用全匹配过滤器。

• 第二种方法演示了应用于提供商 （P） 路由器的 MPLS 标签匹配过滤器。

PE1 路由器 （R2） 和 P 路由器 （R3） 是配置远程端口镜像并用作我们的 DUT 的路由器。这些路由器使用系列 any 防火墙过滤器来匹配端口镜像的选定流量。入口和出口过滤器的组合用于镜像客户边缘路由器（R1 和 R5）之间的请求和响应流量。

远程端口镜像使用 GRE 封装隧道将镜像流量发送到远程分析器设备。我们的拓扑有两个分析仪。一个连接到 R2/PE1 路由器，另一个连接到 R3/P 路由器。这使我们能够演示镜像 CE 流量的两种方式，一种在 PE 上，另一种在核心 P 路由器上。我们使用带有 Wireshark 的 Centos 主机进行数据包捕获和分析。

PTX 平台使用灵活隧道接口 （fti） 基础架构来支持各种隧道应用。对于远程端口镜像，会在 fti 接口上配置 GRE 隧道，以将镜像的流量传输到远程分析器设备。作为此示例的一部分，您将配置基于 FTI 的 GRE 隧道、镜像实例以及选择要镜像的流量的防火墙过滤器。

有关导航 CLI 的信息，请参阅 在配置模式下使用 CLI 编辑器

本节重点介绍此示例中配置 PE1/R2 路由器所需的配置任务。我们在附录中提供了所有路由器的完整配置。步骤 1 总结了示例的基线。此基准由 IPv4 和 IPv6 连接、MPLS 和第 3 层 VPN 组成。我们的示例侧重于配置和验证远程端口镜像。

1. 在 PE1 路由器上配置 IP 路由和 L3 VPN 基准。这涉及以下内容：

   1. 对 IPv4 和 IPv6 的接口进行编号，包括 family mpls 对面向核心的接口的支持。

   2. 配置 OSPF 和 OSPFv3 路由协议以提供所有网络接口之间的可访问性。

   3. RSVP 和 MPLS 标记交换路径 （LSP） 以支持 L3 VPN 流量。

   4. 使用 PE 路由器的地址族配置 inet-vpn and inet6-vpn VRF 和 BGP 对等互连。我们的 VRF 示例使用 OSPF 和 OSPF3 作为 PE-CE 路由协议。

   完成基准介绍后，其余步骤侧重于配置 R2/PE1 路由器，以端口镜像在其面向 CE1 的 VRF 接口上发送和接收的所有流量。

2. 首先配置 GRE 隧道。在 PTX 路由器上，隧道通过 FTI 接口实现。GRE 隧道的源地址不必是可路由的，除非您希望执行源自 GRE 隧道源或发往 GRE 隧道源的诊断性 ping 测试。PE1 镜像的流量的 GRE 目标是分析器 1 路由器。必须可到达此目标才能将镜像流量发送到分析器。我们使用被动 IGP 实例来确保 IGP 可访问分析器网络。

   目标地址映射到连接到 P/ R3 路由器上 et-0/0/2 接口的分析器 1 设备。您必须使用 配置 family ccc fti 逻辑接口以支持 PTX 上的远程端口镜像。这是因为镜像操作发生在第 2 层。

   注意：

   为连接到分析器设备的接口预配被动 IGP 实例。这为 GRE 封装镜像流量的分析器端口提供了 IGP 可访问性。被动设置可防止向分析器生成 hello 数据包，因为这只会使捕获变得混乱。

   此外，我们在分析器设备上配置了一个静态路由，以允许它响应 ping 作为诊断测试的辅助手段。严格地说，DUT 和分析仪之间只需要单工连接或路由，远程端口镜像就可以正常工作。

3. 配置采样实例。我们使用 1 的比率对所有匹配的数据包进行采样。假设已对所有匹配流量进行采样，则保留默认值 run-length 1。您必须在 FTI 路由器上指定用于传输镜像流量的逻辑接口。您在上一步中为 GRE 隧道在 fti0 接口上配置 unit 1 了配置，以便将同一接口和单元指定为镜像实例中的输出接口。
   注意：

   您可以使用该maximum-packet-length选项指定层次结构中[edit forwarding-options port-mirroring instance instance-name input]镜像流量的最大数据包长度。默认情况下，数据包长度为 0，这意味着将镜像整个数据包。

4. 定义两个系列 any 防火墙过滤器以匹配和镜像 CE 流量。定义了两个过滤器，一个用于将 CE1 镜像到 CE2 流量，另一个用于将 CE2 镜像到 CE1。过滤器包括计数功能以协助验证。端口镜像操作会将匹配的流量定向到您之前配置的端口镜像实例。

   系列 any 过滤器支持第 2 层和第 3 层匹配。对于前者，您可以在 VLAN ID、接口、MAC 地址或 MPLS 标签上进行匹配。对于后者，您可以在标准 IPv4 或 IPv6 标头字段上进行匹配。

   鉴于我们的拓扑，我们使用匹配所有术语来捕获 CE 发送或接收 的所有 流量。这包括 IPv4、IPv6、ARP、LLDP 和任何路由协议，如 OSPF。

   两个过滤器都以匹配所有接受项结尾，以覆盖 Junos 过滤器末尾的默认拒绝所有操作。这样，就可以接受在第一个术语中不匹配的流量。添加此术语是为了在以后将特定匹配条件添加到第一个术语时进行保护。

   如果需要，您可以在过滤器中调用监管器操作，以限制通过 GRE 隧道发送的镜像数据包数。监管器具有带宽和突发限制，以及对超出监管器的流量的丢弃操作进行定义。

   您不能在出口方向应用具有监管器操作的 PM 过滤器。
   注意：

   如果只想匹配在 CE 设备的 IPv4 环路地址之间发送的 ICMP 流量，请向过滤器添加第 3 层匹配标准。

5. 将过滤器应用于 R2/PE1 上面向 CE 的接口。对于我们的示例，这意味着将过滤器应用于 PE1 上的 et-0/0/0 接口。请注意筛选器应用程序的方向性。需要入口和出口过滤器来镜像 CE 流量的两个方向。

为了完整起见，我们以大括号格式显示了 R2/PE1 的配置。

有关导航 CLI 的信息，请参阅 在配置模式下使用 CLI 编辑器

本节重点介绍此示例中配置 P/R3 路由器所需的主要配置任务。我们从基于 MPLS 的 L3 VPN 基准开始。然后，我们展示在 P 路由器上配置远程端口镜像以匹配和镜像 MPLS 流量所需的步骤。

1. 在 P/R3 路由器上配置 IPv4 和 IPv6 路由以及 MPLS 基线。这涉及以下几点：

   1. 对 IPv4 和 IPv6 的接口进行编号，包括 family mpls 对面向核心的接口的支持。

   2. 配置 OSPF 和 OSPFv3 路由协议，以提供所有网络接口之间的可访问性。

   3. RSVP 和 MPLS 以支持 L3 VPN 数据平面。作为 P 路由器，不存在 BGP 对等互连和 VRF 定义。

      P1/R3 路由器通过 et-0/0/2 接口连接到分析器 1。当镜像流量使用 GRE 封装作为 IPv4 到达时，我们在此接口上禁用 RSVP 协议和 MPLS 支持。LSP 不会扩展到分析器。

      注意：

      此处使用的 et-0/0/2 接口配置假定分析器回复 DUT 发送的 ARP 和 ND 请求，以实现 MAC 地址解析。如果不是这种情况，或者您希望 ARP 流量不是数据包捕获的一部分，则应配置静态 ARP 条目。确保为连接到 DUT 的分析器设备上的接口指定正确的 MAC 地址。

   涵盖基准后，以下步骤重点介绍如何为 P 路由器上的 MPLS 流量配置远程端口镜像。

2. 您首先了解 GRE 隧道的定义。在 PTX 平台上，隧道在 FTI 接口上实现。GRE 隧道的源地址不必是可路由的，除非您希望执行源自 GRE 隧道源或发往 GRE 隧道源的诊断性 ping 测试。镜像流量的 GRE 目标是连接到 PE2/R4 的分析器 2 设备。必须可到达此目标才能将镜像流量发送到分析器。我们使用被动 IGP 实例来确保 IGP 可访问分析器网络。

   您必须使用 配置 family ccc fti 逻辑接口以支持 PTX 上的远程端口镜像。这是因为镜像操作发生在第 2 层。

   注意：

   为连接到分析器设备的接口预配被动 IGP 实例。这为 GRE 封装镜像流量的分析器端口提供了 IGP 可访问性。被动设置可防止向分析器生成 hello 数据包，因为这只会使数据包捕获变得混乱。

   此外，我们在分析器设备上配置了一个静态路由，以便它可以响应 ping 作为诊断测试的辅助手段。严格地说，DUT 和分析仪之间只需要单工连接或路由，远程端口镜像就可以正常工作。

3. 配置采样实例。我们使用 1 的速率来选择和采样所有匹配的数据包。默认情况下为 run-length 1。这很好，因为所有匹配流量都以 1 的速率采样。您必须在 FTI 路由器上指定用于发送镜像流量的逻辑接口。您在上一步中为 fti 接口配置了单元 1，以便将同一单元指定为镜像实例的输出接口。

4. 定义防火墙过滤器以镜像客户边缘路由器之间发送的流量。

   系列 any 过滤器仅允许第 2 层匹配类型。例如，VLAN ID、接口、MAC 地址或 MPLS 标签。因此，您无法使用 IPv4 或 IPv4 特定的匹配条件。

   定义了两个过滤器，一个过滤器用于 CE 之间的每个流量方向。

   鉴于我们的目标是在 P 路由器上镜像 VPN 流量，因此编写过滤器以匹配标识两个 PE 路由器之间的 MPLS 流量流的特定标签。

   对于 CE1 到 CE2 方向，过滤器与 PE1 使用的 RSVP 传输标签匹配，以到达 PE2。由于 PHP 和出口应用程序，CE2 到 CE1 方向中使用的过滤器与 PE1 到 PE2 播发的 VRF 标签上匹配。匹配流量会唤起对之前定义的镜像实例的端口镜像操作。过滤器包括计数功能，以帮助确认正确操作。

   我们使用以下命令确定了正确的标签：

   1. 对于 CE1 发送到 CE2 的流量，将使用命令显示 show rsvp session ingress detail 当前 RSVP 传输标签。这是 PE1 用于通过 MPLS 访问 PE2 的 RSVP 分配标签。应该注意的是，在此 PE 对之间发送的所有 VPN 流量都使用相同的 RSVP 传输。生成的过滤器不特定于 PE 路由器上的 CE1 VRF。

      在这种情况下，输出显示 RSVP 标签 22 已分配给 PE1/R2 路由器，以到达 PE2/R4 路由器上的 LSP 出口。

   2. 对于 CE2 发送到 CE1 的流量，您必须在 VRF 标签上匹配。这是因为 P 路由器是倒数第二个跃点节点，在出口接口上会弹出 RSVP 传输标签。这会在 VRF 标签上留下作为堆栈的底部。使用 show route advertising-protocol bgp remote-peer-address detail 命令确认 PE1 向 PE2 播发的 VRF 标签。此命令显示本地 PE 播发的路由以及绑定到路由实例的 VRF 标签。

      输出显示，对于与 CE1 路由实例关联的路由，PE1 向 PE2 路由器发送了 VRF 标签 16 信号。

      使用前面命令中的信息，我们知道要在防火墙过滤器中匹配哪些 RSVP/VRF 标签。

      过滤器以匹配所有接受项结尾，以覆盖 Junos 过滤器末尾的默认拒绝全部。这样，就可以接受在第一个术语中不匹配的流量。这对于避免中断使用此接口的所有其他流量至关重要！

      注意：

      RSVP 标签可能会因链路中断或其他配置更改导致的 LSP 重新信令而更改。我们将演示如何使用过滤器来匹配特定标签，以帮助限制镜像的流量。您始终可以应用“全部匹配”过滤器，以确保 MPLS 标签更改不会影响镜像。匹配所有方法的缺点是，您将镜像 P 路由器接口上接收的所有流量，以包括核心协议和非 VPN 流量。

5. 将过滤器应用于 P/R3 路由器上面向 PE1 的接口。过滤器应用的方向性很重要。我们的过滤器设计用于在 CE1 到 CE2 流量的输入方向上运行，在 CE2 到 CE1 流量的出口方向上运行。由于这些是系列任何过滤器，因此它们独立于 IPv4 或 IPv6 在单元级别应用。系列 任何过滤器在第 2 层运行，该层独立于任何协议家族。

为了完整起见，我们以大括号格式显示了 R2/PE1 的配置。

要快速配置此示例，请复制以下命令，将其粘贴到文本文件中，删除所有换行符，更改任何必要的详细信息以匹配您的网络配置，然后将命令复制并粘贴到 [edit] 层次结构级别的 CLI 中。

• R1 （CE1）
• R2 （PE1） DUT1
• R3（P 路由器）DUT 2
• R4 （PE2）
• R5 （CE2）

本节列出了在 PTX 平台上进行远程端口镜像的注意事项和限制。

1. 如果必须更改端口镜像实例配置的输出部分，则应先删除现有输出配置并提交更改，然后再添加新配置。

2. 总共支持 15 个镜像实例。如果远程端口镜像实例数超过 15，则不会提交错误。

3. 一个给定的镜像数据包只能发送到一个远程分析器。

4. 最大数据包长度可配置为 128 字节的倍数。导出的数据包将比配置的值少 22 个字节。

5. 给定镜像实例不支持多个输出接口。如果配置了多个输出接口，则不会发生提交错误。

6. 不支持 GRES 采样过程。如果发生 GRES 事件或进程重新启动 mirrord ，镜像流量将被丢弃。

7. 在本地路由器上终止的隧道流量无法在出口方向上镜像。

8. 不能将端口镜像与在出口方向上调用监管器操作的过滤器一起使用。

9. 必须通过防火墙计数器或 FTI 接口统计信息来验证与镜像数据包相关的统计信息。