如何为 EVPN-VXLAN 交换矩阵配置远程端口镜像

在此示例中，我们支持在精简主干交换机上进行远程端口镜像。镜像的流量通过 GRE 隧道发送至远程监控站。此用例基于端口镜像实例方法。

此示例使用 EVPN-VXLAN ERB 架构，其中在叶设备上进行单播虚拟网络标识符 （VNI） 路由。精简主干设备不会终止任何 VXLAN 隧道。它们提供 IP 转发以及基于 IBGP 的叠加网络中的路由反射功能。我们的叠加基于 EBGP，因此我们不使用路由反射。

此配置可镜像叶设备之间发送的所有流量。监控站捕获叶上所有 VLAN 的 VLAN 内部（桥接）和 VLAN 间（路由）流量。租户的特定信息不会在精简主干设备上配置，但您可以在精简主干主干处启用镜像会话。

注意分析器端口的容量。大量流量通过分析器端口，因为您正在镜像叶对之间发送的所有叠加信息流。叶设备通过两个 40GE 接口连接到主干，因此它们能够承载大量流量。交换机的缓冲功能有限。如果镜像的信息流超过监控站支持的流量，则会发生帧丢弃。

要增加容量，请使用包含多个链路成员的聚合以太网接口。通过在叶设备上执行镜像，并选择性地为特定租户镜像流量，从而减少流量负载。

此配置示例使用 “要求”中显示的硬件和软件组件。拓扑中的设备从 附录：完整设备配置中提供的基准配置开始。

如 图 2 所示，主干 1 通过应用于其 et-0/0/7 接口的防火墙过滤器，镜像叶 1 和叶 4 之间的入口和出口叠加流量。此接口连接到服务器 Leaf 1。通过在服务器 1 和服务器 2 之间发送 ping 流量来生成叠加信息流。镜像的流量由 Spine 1 发送至连接到边界叶 3 上的 xe-0/0/33：1 接口的远程监控站。

图 2：通过主干设备进行远程端口镜像的拓扑

主干使用 GRE 通道将镜像的流量发送至监控站。GRE 是必要的，因为镜像的信息流可能是第 2 层或叠加第 3 层，因此无法定向到底层结构上。一旦通过底层建立了面向监控子网 172.16.1.0/24 的 IP 可访问性，GRE 隧道就会自动形成。

在这种情况下，服务器 1 是单宿主到枝叶 1 的。

使用此示例镜像通过主干 1 的流量。要镜像所有流量，请在主干 2 上重复配置。在主干 1 和 2 上配置端口镜像时，无论叶选择哪个 ECMP 交换矩阵下一跳跃，流量都将镜像。

1. （可选）停用主干 2 上的 BGP。出于测试目的，我们停用了主干 2 上的 BGP 部分。这样，我们只能专注于主干 1，并确保叶 1 和叶 4 之间的所有流量都镜像。

   在主干 2 上停用 BGP 后，Leaf 1 有一个下一跳跃来到达叶 4 的回传。这是通过主干 1 通过其 et-0/0/48 接口。

2. 在 Spine 1 创建镜像实例，将镜像的流量发送到远程监控站。

3. 在 ERB 交换矩阵中，精简主干不具有叠加感知能力。在叶设备之间发送的所有 VXLAN 封装流量均使用本地 VTEP 地址。VTEP 地址通常与设备的环路地址匹配。这意味着我们可以在主干设备上使用过滤器来匹配相关叶设备的回传地址，从而将流量定向到端口镜像实例中。

   在主干 1 中，创建与叶 1 和叶 4 的源和目标 IP 地址匹配的防火墙过滤器。通过在源 IP 和目标 IP 上匹配，在这些叶之间发送的所有叠加信息流都将镜像到 GRE 隧道中。

   注意：

   由于精简主干不具备 VXLAN 感知能力，因此此方法可反映叶设备发送的所有叠加信息流。例如，如果叶已定义 100 VLAN 或 VXLAN VNIs，则所有 100 VNIS 的流量将镜像。如果您想更精细地镜像，请参阅 示例：EVPN-VXLAN ERB 阵列叶设备的入口解决方案。在该示例中，镜像功能发生在 VXLAN 感知叶设备上。

   为从 Leaf 1 发送的信息流设置防火墙过滤器。在我们的示例中，叶 1 发送的所有 VXLAN 流量（通过主干）的源地址为 10.1.255.11。叶 4 发送的所有 VXLAN 流量的源地址为 10.1.255.14。

   为从 Leaf 4 发送的信息流设置防火墙过滤器。

4. 将防火墙过滤器应用于主干 1 的叶 1 和叶 4 面结构接口。

   注意过滤器应用程序的方向性。我们的过滤器支持 QFX5110 平台，根据 表 2，该平台仅支持用于端口镜像的入口过滤器。通过使用在本地叶的 VTEP 上匹配的输入过滤器作为源地址，并将远程叶的 VTEP 用作目标地址，我们确保仅镜像这两个叶之间的叠加流量。如果您希望镜像叶发送的所有 VXLAN 流量，而不管目标叶如何，请在过滤器中的本地叶源地址上匹配。

5. （可选）添加任何附加过滤器。

   在此示例中，到目前为止，我们假设 Server 1 仅对 Leaf 1 进行单宿主机。如果服务器多宿主到叶 1 和叶 2，则需要调整显示的过滤器，以捕获从叶 2 到叶 4 的流量，反之亦然。

   例如，这些语句为主干 1 面向叶 2 的接口创建输入过滤器：

   需要对现有 port-mirror-from-leaf4 过滤器进行快速修改，以便在 Leaf 2 VTEP 的目标地址上进行匹配。

6. 在主干 1 上提交更改。

   从开始 EVPN-VXLAN 基准的更改显示：

7. 修改 Leaf 3 的配置，以配置连接到监控站的 xe-0/0/33：1 接口。

   连接到监控站的叶设备不需要显式 GRE 配置。这是因为 GRE 隧道在监控站终止。您必须确保监控站的 IP 地址可到达交换矩阵底层。不同的说明是，如果 GRE 没有底层可到达监控站，则主干无法将封装的流量发送至监控站。

8. 修改边界叶 3 的底层导出策略以通告监控站的前缀。我们的拓扑结构使用 EBGP 底层。我们只是为现有的底层出口政策添加一个新的术语。

9. 提交边界叶 3 上的更改。

   开始基准的更改显示：

1. 验证从主干 1 到监控站的底层连接。

   在主干 1 上，显示到 172.16.1.0/24 的路由。

   注意：

   严格地说，只需要在主干站和监控站之间建立简单的连接。我们在监控站上配置了一个静态路由，使其能够到达交换矩阵底层。这允许进行故障隔离的 ping 测试。

   对监控站进行 Ping 以确认连接。

   输出确认从主干到监控站的预期底层可访问性。

2. 确认主干 1 上的端口镜像实例。在主干 1 上，验证远程端口镜像状态是否为 up。

   输出确认端口镜像实例的正确定义。的状态 up 表示主干有到监控站的底层路由。回想一下 GRE 是无状态协议。这就是为什么验证主干和监控站之间的连接是一个好主意，就像我们在上一步中所做的那样。

3. 验证应用于主干 1 的过滤器是否正确反映了测试流量。

   在生成任何 ping 之前清除计数器。

   通过交换矩阵在 Server 1 和 Server 2 之间开始 ping。

   现在显示主干 1 上的防火墙计数器。验证应用于主干 1 的过滤器是否正确反映了测试流量。我们的示例拓扑只有一个 VLAN 和一对服务器。这样可以轻松关联测试流量以过滤匹配项。任何非零计数都表明过滤器正常工作。

   防火墙计数器正确反映了两台服务器之间的测试流量。

4. 确认在 Server 1 和 Server 2 之间发送的流量在主干 1 上镜像并发送至监控站。

   再次生成 Server 1 和 2 之间的流量（未显示为简洁性）。 rapid 使用 ping 命令中的选项生成更大的测试流量，从而简化关联。

   监控连接到监控站的边界叶 3 接口上的接口流量。确认出口数据包计数反映已生成的测试信息流。

   输出确认信息流镜像到监控站。由于监控站不会对收到的 GRE 流量生成任何响应，因此预计不会出现输入数据包的缺失。

5. 使用 Wireshark 或等效分析器应用程序捕获并解码镜像的信息流。

   图 3：镜像流量分析

   捕获显示，Server 1 将 ping 流量发送至 Server 2，以及该服务器 2 回复。这确认叶 1 和叶 4 对之间发送的叠加信息流在主干 1 中正确镜像。请注意，VXLAN 封装的信息流（UDP 端口 4789）又封装为 GRE（IP 协议 47）。GRE 标头的协议类型为“ERSPAN”（可与远程端口镜像相媲美），所有其他标记设置为零。

   借助解码，您可以查看底层中使用的叶 VTEP 或回传地址 （10.1.255.x）。还有服务器发送的原始第 2 层帧，现在显示为使用 VNI 101 封装在 VXLAN 中。服务器发送的 IP 数据包也解码。叠加网络中的服务器使用的 IP 地址可见 （10.1.100.x/24），它们生成的 IP/ICMP 数据包的详细信息也可见。

   您已在拓扑上成功配置了端口镜像。

使用以下示例镜像通过 EVPN-VXLAN ERB 交换矩阵上的叶设备的流量。与第一个示例中覆盖的基于精简主干的端口镜像场景不同，叶在 ERB 设计中具有租户感知和 VLAN 感知能力。这意味着我们可以镜像叶设备之间发送的特定流量，而不是所有叠加流量。与 ERB 叶设备上的过滤标准相符的租户流量镜像到 GRE 隧道中，该隧道在连接到边界叶 3 的监控站终止。

此配置示例使用 “要求”中显示的硬件和软件组件。拓扑中的设备从 附录：完整设备配置中提供的基准配置开始。

图 4 显示了带有租户流过滤功能的远程端口镜像拓扑结构。

图 4：通过叶设备进行远程端口镜像的拓扑

请注意，Server 1 仍然仅对 Leaf 1 进行单宿主机。不同的是过滤器和端口镜像实例现已在叶设备上定义。目标是匹配服务器 1 发送至与 VLAN 101 相关联的 10.1.101.0/24 子网的所有流量。从 Server 1 发送至 VLAN 101 目标的信息流与上匹配，并发送至边界叶 3 的端口镜像站。

1. 在 Leaf 1 上配置端口镜像实例。将 IP 地址 172.16.1.2 用于监控站。

2. 接下来，在分配给 VLAN 101 的子网上创建匹配的防火墙过滤器。目标是镜像服务器 1 到叶 1 发送的所有 VLAN 内部 101 流量。要捕获 VLAN 间流量，请为目标地址指定目标 VLAN 的子网。

   注意：

   如果您只希望镜像路由流量（VLAN 间），请使用 family inet 应用于 VLAN IRB 接口的过滤器。每个 VLAN 仅定义一个 IRB 接口。应用于 VLAN IRB 接口的过滤器可捕获相关 VLAN 的所有 VLAN 间流量，而不管信息流到达哪个前面板端口。

   此处显示的方法适用于 VLAN 间和 VLAN 内部流量，但需要根据其 VLAN 成员资格将过滤器应用于面向服务器的接口。 inet 应用于 IRB 接口的过滤器不会显示桥接（VLAN 内部）流量。

3. 将远程端口镜像防火墙过滤器应用于输入方向连接到 Server 1 的访问端口。

   注意：

   在 QFX5110 和 QFX5120 交换机上，防火墙过滤器不能应用于输出方向，也无法应用于连接到主干设备的结构接口上。

4. 由于 GRE 隧道在监控站终止，边界叶 3 不需要配置为执行 GRE 解封装。但是，叶 3 确实需要将监控站的子网的可访问性通告到交换矩阵的底层。在叶 3 上配置以下内容，以确定可到达监控站。

   首先配置连接到监控站的 xe-0/0/33：1 接口。

5. 修改边界叶 3 的底层导出策略以通告监控站的前缀。我们的拓扑结构使用 EBGP 底层。我们只是为现有的底层出口政策添加一个新的术语。

6. 提交配置。

   叶 1 显示了从起始基准更改。

   您已通过 EVPN-VXLAN ERB 交换矩阵上的叶设备成功配置远程端口镜像。

以太网分段标识符 （ESI） 是唯一的 10 字节编号，用于识别连接到服务器的 EVPN-VXLAN 交换矩阵中的以太网分段。ESI 配置在连接到服务器的接口上。当多个链路形成链路聚合组 （LAG） 并连接到服务器时，这将形成一个 ESI-LAG（也称为 EVPN LAG）接口。在某些情况下，您需要为进入或离开 ESI-LAG 接口的所有或部分流量启用端口镜像。

使用本节在 EVPN-VXLAN ERB 交换矩阵的 ESI-LAG 级别启用远程端口镜像。

此配置示例使用 “要求”中显示的硬件和软件组件。拓扑中的设备从 附录：完整设备配置中提供的基准配置开始。

在这种情况下，我们会修改 EVPN 交换矩阵以支持服务器 1 的多宿主，以便离开 1 和 2。我们使用 ESI-LAG（也称为 EVPN LAG 接口）来做到这一点。查看 EVPN LAG 配置优秀实践 的最佳实践。

图 6 显示了此示例的拓扑。这两个主干都在这种拓扑中运行。ECMP 表示叶 1 和叶 2 可通过任一主干设备发送流量。为了简化插图，我们展示了以主干 1 为焦点的流量和镜像路径。

图 6：ESI-LAG 接口上的远程端口镜像拓扑

接口 ae0.0 是连接到 Server 1 的 ESI-LAG 接口。服务器 1 被分配为 10.1.101.10/24 的 IP 地址，并与 VLAN 101 相关联。目标是在通过任一叶上的 ae0.0 时过滤，然后镜像从 Server 1 发送的信息流。镜像的信息流置于 GRE 隧道中并发送至监控站。与以前一样，您必须确保监控站子网可到达 EBGP 底层。

如果您从 附录：完整设备配置中显示的基准配置开始，请在开始之前按照这些步骤修改拓扑。

1. 修改 Leaf 1 和 Leaf 2 的配置以支持 Server 1 的多宿主附件。首先将现有 xe-0//0/0 接口重新命名为新的 ae0.0 接口。此可通过 xe-0/0/0 接口的任何配置来节省一些时间。

2. 服务器聚合以太网接口（通常称为 Linux 中的粘合接口）的配置细节超出了此 NCE 的范围。请注意，对于服务器，只有标准聚合以太网配置。与 ESI-LAG 相关的语句仅应用于叶设备。

   注意：

   启动基准配置通过 set chassis aggregated-devices ethernet device-count 1 配置语句支持聚合以太网接口。您必须为聚合设备启用机箱支持，或者未创建聚合接口。

3. 对叶设备和服务器应用这些更改并提交这些更改后，确认两个叶上的 ae0 接口是否正常运行。为了澄清起见，下面的示例输出已缩短。

   还要验证 Server 1 是否能够 ping Server 2（未显示为简洁性）。

此示例说明如何使用远程端口镜像实例在 ESI-LAG 级别启用远程端口镜像。此方法支持租户特定（叠加 VLAN 内）匹配标准，以便有选择地镜像流量。

1. 在叶 1 和叶 2 上配置端口镜像实例。服务器 1 可通过其任一 LAG 成员接口发送 VLAN 101 的流量。ECMP 意味着流量可以到达任一叶。IP 地址 172.16.1.2 是监控站。

2. 接下来，在两个叶上分配给 VLAN 101 的子网上创建匹配的防火墙过滤器。目标是镜像服务器 1 到叶 1 或叶 2 发送的所有 VLAN 内部 101 流量。要捕获 VLAN 间流量，请为目标地址指定目标 VLAN 的子网。

   如果您需要过滤多个源或目标 IP 地址，请考虑在过滤器中使用 source-prefix-list 和/或 destination-prefix-list 。这样就可以更改前缀列表，而无需修改过滤器定义。

   注意：

   如果您只想镜像路由流量（VLAN 间），请使用 family inet 应用于 VLAN IRB 接口的过滤器。每个 VLAN 仅定义一个 IRB 接口。因此，应用于 VLAN IRB 接口的过滤器会捕获关联 VLAN 的所有 VLAN 间流量，而不管信息流入口位于哪个前面板端口。

   此示例中显示的方法适用于 VLAN 间和 VLAN 内部流量，但需要根据其 VLAN 成员资格将过滤器应用于面向服务器的接口。 inet 应用于 IRB 接口的过滤器不会显示桥接（VLAN 内部）流量。

3. 将远程端口镜像防火墙过滤器应用到 ae0.0 接口，作为两个叶上的输入过滤器。

   注意：

   在 QFX5110 和 QFX5120 交换机上，防火墙过滤器无法在传出方向启用或在连接到主干设备的接口上使用。

4. 由于 GRE 隧道在监控站终止，边界叶 3 不需要配置为执行 GRE 解封装。但是，叶 3 确实需要将监控站的子网的可访问性通告到交换矩阵的底层。配置连接到监控站的 xe-0/0/33：1 接口。

   修改边界叶 3 的底层导出策略以通告监控站的前缀。我们的拓扑结构使用 EBGP 底层。我们只是为现有的底层出口政策添加一个新的术语。

5. 叶 1 显示了对起始基准的更改。

   您已通过 EVPN-VXLAN ERB 交换矩阵上的叶设备成功配置远程端口镜像。

1. 验证从叶 1 到监控站的底层连接。

   在叶 1 上，显示到 172.16.1.0/24 的路由。

   注意：

   严格地说，叶站和监控站之间只需要简单的连接。我们在监控站上配置了一个静态路由，使其能够到达交换矩阵底层。这样，ping 测试就可作为故障隔离工具进行。

   对监控站进行 Ping 以确认连接。

   输出确认从叶 1 到监控站的预期底层可访问性。我们必须从叶的环路地址获取 ping，因为我们的底层导出策略只会通告环路地址可达性。精简主干情况下不需要从环路地址采购。这是因为主干和边界叶共享一个直接连接的结构链路。

2. 确认叶 1 上的端口镜像实例。

   在叶 1 上，验证远程端口镜像状态是否为 up。

   输出确认端口镜像实例的正确定义。的状态 up 表示叶有到监控站的底层路由。回想一下 GRE 是无状态协议。因此，像上一步一样，验证叶站和监控站之间的连接是一个好主意。

3. 验证应用于叶 1 和叶 2 的过滤器是否正确反射测试信息流。通过交换矩阵在 Server 1 和 Server 2 之间开始 ping。

   验证应用于叶 1 和叶 2 的过滤器是否正确反射信息流。我们的示例拓扑只有一个 VLAN 和一对服务器。这样可以轻松关联测试流量以过滤匹配项。任何非零计数都表明过滤器正常工作。

   由于 ECMP 行为，单 ping 流仅对聚合以太网接口的成员链路之一有哈希。这意味着测试流量预计会发送至一枝叶，或另一叶，但不会同时发送。如果 Server 1 生成大量流，则希望看到使用两个成员接口转发至两个叶的数据包。

   在生成任何 ping 之前清除计数器。

   现在显示叶 1 和叶 2 上的防火墙计数器。

   输出显示叶 1 中未显示任何数据包。这表示此流的服务器散列到 Leaf 2。

   检查 Leaf 2 上的防火墙计数器：

   Leaf 2 的防火墙计数器正确反映了生成的测试流量。

4. 确认在 Leaf 1 和/或 Leaf 2 上发送的 Server 1 和 Server 2 之间的流量镜像，以便传输到监控站。

   再次生成 Server 1 和 2 之间的流量（未显示为简洁性）。使用 ping 命令的快速选项生成更大的数据包量，使检测更加轻松。

   监控边界叶 3 中的接口信息流计数器，以验证到达监控站的测试流量。

   输出确认信息流已发送至监控站。由于监控站不会对其收到的 GRE 流量生成任何响应，因此预计不会出现输入数据包的缺失。

5. 使用 Wireshark 或等效分析器应用程序捕获并解码镜像的信息流。

   图 7：镜像流量分析

   捕获显示，Server 1 将 ping 流量发送至 Server 2。回复流量未镜像，因为我们只在输入方向的叶 1 和叶 2 应用了过滤器。在 Leaf 4 上应用类似的端口镜像实例和过滤器配置，以镜像回路信息流。请回想一下，在精简主干情况下，镜像的信息流显示 VXLAN 封装。在此 ERB 叶式案例中，我们在第 2 层流量被封装到 VXLAN 之前对其进行镜像。用于镜像信息流的过滤器在面向服务器的 ae0.0 接口上作为输入过滤器应用。入口没有 VXLAN 封装。

   这类似于将过滤器应用于 VLAN 的 IRB 接口的情况。在 IRB 过滤案例中，镜像的信息流也不包含 VXLAN 封装。IRB 过滤器仅在 IP 层处理 VLAN 间流量。因此，对于 IRB 过滤器案例，仅镜像第 3 层 IP 流量。

   解码显示 GRE 隧道位于叶 2 与监控站之间，通过底层。服务器 1 发送的以太网帧和 IP 数据包也解码。分配给服务器的 IP 地址可见性（10.1.100.x/24），服务器 1 生成的 IP/ICMP 数据包的详细信息也可见。

   您已在拓扑上成功配置了端口镜像。

以太网分段标识符 （ESI） 是标识以太网分段的唯一 10 字节编号。ESI 在连接到服务器的接口上启用。当多个链路形成链路聚合组 （LAG） 时，结果是 ESI-LAG（也称为 EVPN LAG）接口。在某些情况下，您需要为进入或离开 ESI-LAG 接口的所有或部分流量启用端口镜像。

EVPN-VXLAN 交换矩阵中的叶设备上的 ESI-LAG 接口支持出口和入口分析器实例。这在数据中心很有用，管理员需要将进入或离开给定 ESI-LAG 端口的所有流量发送到或从远程主机发送。使用本节在 EVPN-VXLAN ERB 交换矩阵的 ESI-LAG 级别启用分析器实例。

分析器实例与端口镜像实例不同，因为分析器在输入、输出或两个方向上工作。此外，它会镜像接口上 的所有 流量。例如，如果 Server 1 使用中继接口有 10 个 VLAN，则所有 10 个 VLAN 的流量将发送至监控站。在上一个端口镜像示例中，过滤器用于从一个 VLAN 或 VLAN 中的特定 IP 地址选择性地镜像流量。

分析器实例不使用防火墙过滤器进行细粒度匹配。指定接口上指定方向上的所有信息流都镜像。

此配置示例使用 “要求”中显示的硬件和软件组件。拓扑中的设备从 附录：完整设备配置中提供的基准配置开始。

在此示例中，服务器 1 和叶 1 和叶 2 之间使用 ESI-LAG（也称为 EVPN LAG）接口。查看 EVPN LAG 配置优秀实践 的最佳实践。

图 8 显示了此示例的拓扑。

图 8：ESI-LAG 接口上的远程分析器拓扑

接口 ae0.0 是连接到 Server 1 的 ESI-LAG 接口。服务器 1 被分配为 10.1.101.10/24 的 IP 地址，并与 VLAN 101 相关联。目标是配置分析器实例，以转发叶 1 和叶 2 上的 ae0.0 接口上发送和接收的所有流量。镜像的信息流置于 GRE 隧道中并发送至监控站。与以前一样，您必须确保监控站子网可到达 EBGP 底层。

如果您从 附录：完整设备配置中显示的基准配置开始，请在开始之前按照这些步骤修改拓扑。

1. 修改 Leaf 1 和 Leaf 2 的配置以支持 Server 1 的多宿主附件。我们首先将现有 xe-0//0/0 接口重新命名为新的 ae0.0 接口。此可通过 xe-0/0/0 接口的任何配置来节省一些时间。

   服务器聚合以太网接口（通常称为 Linux 中的粘合接口）的配置细节超出了此 NCE 的范围。值得注意的是，对于服务器，只有标准聚合以太网配置。与 ESI-LAG 相关的语句仅应用于叶设备。

   注意：

   启动基准配置支持使用配置语句的 set chassis aggregated-devices ethernet device-count 1 聚合以太网设备。您必须为聚合设备启用机箱支持，或者未创建聚合接口。

2. 对叶设备和服务器应用这些更改并提交这些更改后，确认两个叶上的 ae0 接口是否正常运行。为了澄清起见，下面的示例输出已缩短。

   验证 Server 1 是否能够 ping Server 2（未显示为简洁性）。

此示例说明如何使用远程分析器实例在 ESI-LAG 级别启用远程端口镜像。

1. ae0.0 接口是 ESI-LAG 接口，租户服务器 1 用于连接该接口。此 ESI-LAG 在叶 1 和叶 2 上均终止。为 ae0.0 接口配置两个叶上的分析器实例。请注意，您为输入和输出方向配置远程分析器。

2. 由于 GRE 隧道在监控站终止，边界叶 3 不需要配置为执行 GRE 解封装。但是，叶 3 确实需要将监控站的子网的可访问性通告到交换矩阵的底层。

   配置连接到监控站的 xe-0/0/33：1 接口。

   修改边界叶 3 的底层导出策略以通告监控站的前缀。我们的拓扑结构使用 EBGP 底层。我们只是为现有的底层出口政策添加一个新的术语。

3. 叶 1 显示了从起始基准更改。

   您已通过 EVPN-VXLAN ERB 交换矩阵上的叶设备成功配置远程端口镜像。

1. 验证从叶 1 和叶 2 到监控站的底层连接。

   在叶 1 上，显示到 172.16.1.0/24 的路由。

   注意：

   严格地说，叶站和监控站之间只需要简单的连接。我们在监控站上配置了一个静态路由，使其能够到达交换矩阵底层。这样，ping 测试就可作为故障隔离工具进行。

   对监控站进行 Ping 以确认连接。

   输出确认从叶 1 到监控站的预期底层可访问性。我们必须从叶的环路地址获取 ping，因为我们的底层导出策略只会通告环路地址可达性。精简主干示例中不需要从环路地址采购，因为主干和边界叶通过共享结构链路子网直接连接。

2. 确认叶 1 和叶 2 上的分析器实例。

   在叶 1 上，验证远程分析器状态是否为 up。

   输出确认分析器实例的正确定义。的状态 up 表示叶有到监控站的底层路由。回想一下 GRE 是无状态协议。因此，像上一步一样，验证叶站和监控站之间的连接是一个好主意。

3. 确认服务器 1 和 Server 2 之间的流量由叶 1 和/或叶 2 镜像到监控站。

   再次生成 Server 1 和 2 之间的流量（未显示为简洁性）。我们使用 ping 命令的快速选项来生成更大的数据包量，以便于检测。

   监控边界叶 3 中的接口信息流计数器，以验证到达监控站的测试流量。

   输出确认到达监控站的信息流。由于监控站不会对其收到的 GRE 流量产生任何响应，因此预计不会出现输入数据包的缺失。

4. 使用 Wireshark 或等效分析器应用程序捕获并解码镜像的信息流。

   图 9：镜像流量分析

   捕获显示，Server 1 将 ping 流量发送至 Server 2。由于将分析器实例应用于 ae0.0 接口的两个方向，回复信息流也会镜像。由于分析器在接口级别工作，因此 LACP（聚合以太网接口上使用的链路级别协议）也会镜像。请回顾一下，在精简主干案例中，镜像的信息流显示了 VXLAN 封装。在此 ERB 叶式案例中，我们在第 2 层流量被封装到 VXLAN 之前捕获该流量。入口没有 VXLAN 封装。

   这类似于将过滤器应用于 VLAN 的 IRB 接口的情况。在这种情况下，镜像的信息流也不包含 VXLAN 封装。基于 IRB 的过滤器仅在 IP 层捕获 VLAN 间流量。因此，对于 IRB 过滤器案例，仅镜像非 VXLAN 封装的第 3 层 IP 流量。

   解码显示 GRE 隧道在叶 2 （10.1.12.2） 与监控站之间（通过底层）。服务器 1 发送的以太网帧和相关 IP 数据包也解码。分配给服务器的 IP 地址可见性（10.1.100.x/24），服务器 1 生成的 IP/ICMP 数据包的详细信息也可见。Server 2 的回复也会镜像，因为分析器实例将双向应用在我们的示例中。

   您已在拓扑上成功配置了端口镜像。