示例：在 PTX 路由器上配置远程端口镜像

远程端口镜像功能概述简要总结了此示例中部署的协议和技术。

此示例使用基于 MPLS 的 L3 VPN 上下文来演示 PTX 路由器上的远程端口镜像功能。L3 VPN 配置为支持客户边缘 （客户边缘） 和提供商边缘 （PE） 路由器之间的 IPv4 和 IPv6 流量。

图 1：远程端口镜像

此示例演示了镜像通过提供商网络发送的客户边缘流量的两种方法：

• 第一种方法在 PE-客户边缘 VRF 接口上使用全匹配过滤器。

• 第二种方法演示了应用于提供商 （P） 路由器上的 MPLS 标签匹配过滤器。

PE1 路由器 （R2） 和 P 路由器 （R3） 是配置了远程端口镜像并充当我们的 DUT 的路由器。这些路由器使用家族 any 防火墙过滤器来匹配所选流量，以进行端口镜像。入口过滤器和出口过滤器的组合用于镜像在客户边缘路由器（R1 和 R5）之间流动的请求和响应流量。

远程端口镜像使用隧道进行 GRE 封装，以将镜像流量发送到远程分析器设备。我们的拓扑有两个分析仪。一个连接到 R2/PE1 路由器，另一个连接到 R3/P 路由器。这使我们能够演示两种镜像客户边缘流量的方法，一种在 PE 上，另一种在核心 P 路由器上。我们使用 Centos 主机和 Wireshark 进行数据包捕获和分析。

PTX 平台使用灵活隧道接口 （fti） 基础架构来支持各种隧道应用。对于远程端口镜像，在 FTI 接口上配置 GRE 隧道，以便将镜像流量传输到远程分析器设备。在此示例中，您将配置基于 FTI 的 GRE 隧道、镜像实例和用于选择要镜像的流量的防火墙过滤器。

有关导航 CLI 的信息，请参阅在 配置模式下使用 CLI 编辑器

本部分重点介绍在此示例中配置 PE1/R2 路由器所需的配置任务。附录中提供了所有路由器的完整配置。步骤 1 总结了示例的基线。此基准包括 IPv4 和 IPv6 连接、MPLS 和第 3 层 VPN。我们的示例将重点放在配置和验证远程端口镜像上。

1. 在 PE1 路由器上配置 IP 路由和 L3 VPN 基准。这涉及以下内容：

   1. 为 IPv4 和 IPv6 对接口进行编号，包括 family mpls 对面向核心接口的支持。

   2. 配置 OSPF 和 OSPFv3 路由协议以在所有网络接口之间提供可达性。

   3. RSVP 和 MPLS 标签交换路径 （LSP），支持 L3 VPN 流量。

   4. 使用 PE 路由器的地址族配置 inet-vpn and inet6-vpn VRF 和 BGP 对等互连。我们的 VRF 示例使用 OSPF 和 OSPF3 作为 PE-客户边缘路由协议。

   介绍了基线之后，剩下的步骤将侧重于配置 R2/PE1 路由器，以端口镜像在其面向 CE1 的 VRF 接口上发送和接收的所有流量。

2. 首先配置 GRE 隧道。在 PTX 路由器上，隧道通过 FTI 接口实现。GRE隧道的源地址不必是可路由的，除非您希望执行源自GRE隧道源或发往GRE隧道源的诊断ping测试。PE1 镜像的流量的 GRE 目标是分析器 1 路由器。此目标必须可访问，才能将镜像流量发送到分析器。我们使用无源 IGP 实例来确保 IGP 可访问到分析器网络。

   目标地址映射到 P/R3 路由器上连接到 et-0/0/2 接口的分析器 1 设备。您必须配置 FTI 逻辑接口， family ccc 以支持 PTX 上的远程端口镜像。这是因为镜像作发生在第 2 层。

   注意：

   系统会为连接到分析器的接口调配无源 IGP 实例。这为GRE封装的镜像流量提供了对分析器端口的IGP可访问性。被动设置可防止生成向分析器的hello数据包，因为这只会使捕获变得混乱。

   此外，我们在分析器设备上配置了一个静态路由，使其能够响应 ping，以辅助进行诊断测试。严格来说，DUT 和分析器之间只需要单工连接或路由，远程端口镜像即可发挥作用。

3. 配置采样实例。我们使用 1 的速率对所有匹配的数据包进行采样。鉴于所有匹配的流量都已采样，默认值 run-length 1 将保持不变。您必须在 FTI 路由器上指定用于传输镜像流量的逻辑接口。您在上一步中在 GRE 隧道的 fti0 接口上进行了配置 unit 1 ，以便将同一接口和单元指定为镜像实例中的输出接口。
   注意：

   您可以使用该maximum-packet-length选项在层次结构中[edit forwarding-options port-mirroring instance instance-name input]指定镜像流量的最大数据包长度。默认情况下，数据包长度为 0，这意味着整个数据包都会镜像。

4. 定义两个系列 any 防火墙过滤器以匹配和镜像客户边缘流量。定义了两个过滤器，一个用于将 CE1 镜像到 CE2 流量，另一个用于将 CE2 镜像到 CE1。过滤器包括一个计数功能以帮助验证。端口镜像作会将匹配流量定向到您之前配置的端口镜像实例。

   族 any 滤波器支持第 2 层和第 3 层匹配。对于前者，您可以根据 VLAN ID、接口、MAC 地址或 MPLS 标签进行匹配。对于后者，您可以在标准 IPv4 或 IPv6 报头字段上进行匹配。

   鉴于我们的拓扑结构，我们使用“全部匹配”术语来捕获 CE 发送或接收 的所有 流量。这包括 IPv4、IPv6、ARP、LLDP 和任何路由协议，例如 OSPF。

   两个过滤器都以匹配全部接受术语结尾，以覆盖 Junos 过滤器末尾的默认拒绝所有作。这样，就可以接受在第一个术语中未匹配的流量。如果稍后将特定匹配条件添加到第一个术语中，则添加此术语作为保护措施。

   如果需要，您可以在过滤器中调用监管器作，以限制通过 GRE 隧道发送的镜像数据包数。监管器定义有带宽和突发限制，以及对于超过监管器的流量的丢弃作。

   您不能在出口方向上应用带有监管器作的 PM 过滤器。
   注意：

   如果只想匹配在客户边缘设备的 IPv4 环路地址之间发送的 ICMP 流量，请将第 3 层匹配标准添加到过滤器中。

5. 将过滤器应用于 R2/PE1 上面向客户边缘的接口。对于我们的示例，这意味着将过滤器应用于 PE1 上的 et-0/0/0 接口。请注意过滤器应用的方向性。需要入口和出口过滤器来镜像客户边缘流量的两个方向。

为完整起见，我们以大括号格式显示 R2/PE1 的配置。

有关导航 CLI 的信息，请参阅在 配置模式下使用 CLI 编辑器

本节重点介绍在此示例中配置 P/R3 路由器所需的主要配置任务。我们从基于 MPLS 的 L3 VPN 基准开始。然后，我们将展示在 P 路由器上配置远程端口镜像以匹配和镜像 MPLS 流量所需的步骤。

1. 在 P/R3 路由器上配置 IPv4 和 IPv6 路由以及 MPLS 基准。这涉及几个方面：

   1. 为 IPv4 和 IPv6 对接口进行编号，包括 family mpls 对面向核心接口的支持。

   2. 配置 OSPF 和 OSPFv3 路由协议，以便在所有网络接口之间提供可达性。

   3. RSVP 和 MPLS 来支持 L3 VPN 数据平面。作为 P 路由器，不存在 BGP 对等和 VRF 定义。

      P1/R3 路由器通过 et-0/0/2 接口连接到分析器 1。当镜像流量使用 GRE 封装以 IPv4 的形式到达时，我们将在此接口上禁用 RSVP 协议和 MPLS 支持。LSP 不会扩展到分析器。

      注意：

      此处使用的 et-0/0/2 接口配置假定分析器会回复 DUT 发送的 ARP 和 ND 请求，以便进行 MAC 地址解析。如果不是这种情况，或者您希望 ARP 流量不属于数据包捕获的一部分，则应配置静态 ARP 条目。请务必为连接到 DUT 的分析器设备上的接口指定正确的 MAC 地址。

   了解基线后，以下步骤重点介绍为 P 路由器上的 MPLS 流量配置远程端口镜像。

2. 您从定义 GRE 隧道开始。在 PTX 平台上，隧道是在 FTI 接口上实施的。GRE隧道的源地址不必是可路由的，除非您希望执行源自GRE隧道源或发往GRE隧道源的诊断ping测试。镜像流量的 GRE 目的是连接到 PE2/R4 的分析器 2 设备。此目标必须可访问，才能将镜像流量发送到分析器。我们使用无源 IGP 实例来确保 IGP 可访问到分析器网络。

   您必须配置 FTI 逻辑接口， family ccc 以支持 PTX 上的远程端口镜像。这是因为镜像作发生在第 2 层。

   注意：

   系统会为连接到分析器的接口调配无源 IGP 实例。这为GRE封装的镜像流量提供了对分析器端口的IGP可访问性。被动设置可防止生成向分析器的 hello 数据包，因为这只会使数据包捕获变得混乱。

   此外，我们在分析器设备上配置了一个静态路由，以便它可以响应 ping，以帮助进行诊断测试。严格来说，DUT 和分析器之间只需要单工连接或路由，远程端口镜像即可发挥作用。

3. 配置采样实例。我们使用 1 的速率来选择并采样所有匹配的数据包。默认情况下，为 run-length 1。鉴于所有匹配流量都以 1 的速率进行采样，这很好。您必须在 FTI 路由器上指定用于发送镜像流量的逻辑接口。您在上一步中为 fti 接口配置了单元 1，以便将同一单元指定为镜像实例的输出接口。

4. 定义防火墙过滤器以镜像在客户边缘路由器之间传输的流量。

   族 any 过滤器仅允许第 2 层匹配类型。例如，VLAN ID、接口、MAC 地址或 MPLS 标签。因此，您无法使用 IPv4 或 IPv4 特定的匹配条件。

   定义了两个过滤器，CE 之间的每个流量流向一个。

   鉴于我们在 P 路由器上镜像 VPN 流量，因此编写过滤器的目的是与标识两个 PE 路由器之间的 MPLS 流量流的特定标签进行匹配。

   对于 CE1 到 CE2 方向，过滤器与 PE1 用于到达 PE2 的 RSVP 传输标签匹配。由于 PHP 和出口应用程序的原因，CE2 到 CE1 方向中使用的过滤器与 PE1 到 PE2 播发的 VRF 标签上匹配。匹配流量会将端口镜像作唤起到之前定义的镜像实例。过滤器包括计数功能，以帮助确认正确作。

   我们使用以下命令确定了正确的标签：

   1. 对于 CE1 向 CE2 发送的流量，将通过命令 show rsvp session ingress detail 显示当前 RSVP 传输标签。这是 PE1 使用 MPLS 到达 PE2 的 RSVP 分配标签。应注意的是，此 PE 对之间发送的所有 VPN 流量都使用相同的 RSVP 传输。生成的过滤器并不特定于 PE 路由器上的 CE1 VRF。

      在这种情况下，输出显示 RSVP 标签 22 已分配给 PE1/R2 路由器，以到达 PE2/R4 路由器的 LSP 出口。

   2. 对于由 CE2 发送到 CE1 的流量，必须在 VRF 标签上匹配。这是因为 P 路由器是倒数第二个跃点节点，在出口接口上，它会弹出 RSVP 传输标签。这会在 VRF 标签上作为堆栈的底部。您可使用 show route advertising-protocol bgp remote-peer-address detail 命令确认 PE1 向 PE2 播发的 VRF 标签。此命令显示本地 PE 播发的路由以及绑定到路由实例的 VRF 标签。

      输出显示，PE1 向 PE2 路由器发出了与 CE1 路由实例关联的路由的 VRF 标签 16 信号。

      根据前面命令中的信息，我们知道要在防火墙过滤器中匹配哪些 RSVP/VRF 标签。

      过滤器以匹配全部接受条款结尾，以覆盖 Junos 过滤器末尾的默认拒绝全部。这样，就可以接受在第一个术语中未匹配的流量。这对于避免中断使用此接口的所有其他流量至关重要！

      注意：

      由于链路中断或其他配置更改引起的 LSP 重新信号，RSVP 标签可能会发生变化。我们演示了如何使用过滤器来匹配特定标签，以帮助限制镜像流量。您始终可以应用全部匹配过滤器，以确保 MPLS 标签更改不会影响镜像。全部匹配方法的缺点是，您将镜像 P 路由器接口上接收的所有流量，以包括核心协议和非 VPN 流量。

5. 将过滤器应用于 P/R3 路由器上面向 PE1 的接口。过滤器应用的方向性很重要。我们的滤波器设计用于在 CE1 到 CE2 流量的输入方向上运行，在 CE2 到 CE1 流量的出口方向上运行。由于这些是系列 Any 过滤器，因此它们在单元级别应用，与 IPv4 或 IPv6 无关。系列 任何过滤器都可以在独立于任何协议家族的第 2 层运行。

为完整起见，我们以大括号格式显示 R2/PE1 的配置。

要快速配置此示例，请复制以下命令，将其粘贴到文本文件中，移除所有换行符，更改任何必要的详细信息以匹配您的网络配置，然后将命令复制粘贴到 [edit] 层级的 CLI 中。

• R1 （CE1）
• R2 （PE1） DUT1
• R3（P 路由器）DUT 2
• R4 （PE2）
• R5 （CE2）

本节列出了 PTX 平台上远程端口镜像的注意事项和限制。

1. 如果必须更改端口镜像实例配置的输出部分，则应先删除现有输出配置并提交更改，然后再添加新配置。

2. 共支持15个镜像实例。如果远程端口镜像实例的数量超过 15，则不会出现提交错误。

3. 给定的镜像数据包只能发送到一个远程分析器。

4. 最大数据包长度可配置为 128 字节的倍数。导出的数据包将比配置的值小 22 个字节。

5. 给定的镜像实例中不支持多个输出接口。如果配置了多个输出接口，则不会出现提交错误。

6. 采样过程不受 GRES 支持。如果发生 GRES 事件或进程重新启动 mirrord ，镜像流量将会丢失。

7. 在本地路由器上终止的隧道流量不能在出口方向上镜像。

8. 您不能将端口镜像与在出口方向上唤起监管器作的过滤器一起使用。

9. 必须通过防火墙计数器或 FTI 接口统计信息来验证与镜像数据包相关的统计信息。