Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Konfigurieren der Portspiegelung an physischen Schnittstellen

Vorrang mehrerer Ebenen der Layer-2-Portspiegelung an einer physischen Schnittstelle

Sie können verschiedene Sätze von Layer-2-Portspiegelungseigenschaften (die globale Instanz und eine oder mehrere benannte Instanzen) auf verschiedenen Ebenen eines Routers der MX-Serie oder eines Switch-Gehäuses der EX-Serie (auf Gehäuseebene, FPC-Ebene oder PIC-Ebene) binden. Daher ist es möglich, dass eine einzelne Gruppe physischer Schnittstellen an mehrere Layer-2-Port-Spiegelungsdefinitionen gebunden ist.

Wenn eine Gruppe von Ports (oder im Falle einer Bindung auf PIC-Ebene in einem MX960-Router ein einzelner Port) an mehrere Layer-2-Portspiegelungsdefinitionen gebunden ist, wendet der Router (oder Switch) die Layer-2-Portspiegelungseigenschaften wie folgt auf diese Ports an:

  1. Die Portspiegelungseigenschaften auf Gehäuseebene gelten implizit für alle Ports im Gehäuse. Wenn ein Router der MX-Serie oder ein Switch der EX-Serie mit der globalen Portspiegelungsinstanz konfiguriert ist, gelten diese Portspiegeleigenschaften für alle Ports. Siehe Konfigurieren der globalen Instanz der Layer 2-Portspiegelung.

  2. Portspiegelungseigenschaften auf FPC-Ebene überschreiben Eigenschaften auf Gehäuseebene. Wenn eine DPC oder FPC an eine benannte Instanz der Portspiegelung gebunden ist, gelten diese Portspiegelungseigenschaften für alle mit dieser DPC oder FPC verbundenen Ports, wobei alle auf Gehäuseebene gebundenen Portspiegelungseigenschaften außer Kraft gesetzt werden. Siehe Bindung von Layer 2-Portspiegelung zu Ports, die auf FPC-Ebene gruppiert sind.

  3. Portspiegelungseigenschaften auf PIC-Ebene überschreiben FPC-Ebeneneigenschaften. Wenn eine Packet Forwarding Engine oder PIC an eine benannte Instanz der Portspiegelung gebunden ist, gelten diese Portspiegelungseigenschaften für alle ports, die mit der Packet Forwarding Engine oder PIC verbunden sind, und überschreiben alle Portspiegelungseigenschaften, die an diese Ports auf FPC-Ebene gebunden sind. Siehe Bindung von Layer 2-Portspiegelung zu ports, die auf PIC-Ebene gruppiert sind.

Bindung der Layer 2-Portspiegelung an Ports, die auf FPC-Ebene gruppiert sind

Auf einem Router der MX-Serie und auf einem Switch der EX-Serie können Sie eine benannte Instanz der Layer-2-Portspiegelung an eine bestimmte DPC oder an eine bestimmte FPC im Router- (oder Switch)-Gehäuse binden. Dies wird als Bindung einer benannten Instanz von Layer 2-Portspiegelung auf FPC-Ebene des Router- (oder Switch)-Gehäuses bezeichnet. Die in der benannten Instanz angegebenen Portspiegelungseigenschaften werden auf alle physischen Ports angewendet, die mit allen Packet Forwarding Engines der angegebenen DPC oder FPC verbunden sind.

Anmerkung:

Sie können auch eine benannte Instanz der Layer 2-Portspiegelung an eine bestimmte Packet Forwarding Engine auf einer DPC oder FPC im Router- (oder Switch)-Gehäuse binden.

Für alle Pakettypen, die durch Layer 2-Portspiegelung unterstützt werden

  • Portspiegelungseigenschaften, die an eine bestimmte DPC oder FPC gebunden sind, überschreiben alle auf globaler Ebene konfigurierten Portspiegelungseigenschaften.

  • Port-Spiegelungseigenschaften, die an eine bestimmte Packet Forwarding Engine gebunden sind, überschreiben alle auf DPC- oder FPC-Ebene konfigurierten Portspiegelungseigenschaften.

Sie können bis zu zwei benannte Instanzen der Layer 2-Portspiegelung auf dieselbe Portgruppe innerhalb des Router- (oder Switch-Gehäuses) anwenden. Durch die Anwendung von zwei verschiedenen Portspiegelungsinstanzen auf dieselbe DPC oder FPC können Sie zwei verschiedene Layer 2-Portspiegelungsspezifikationen an eine einzige Gruppe von Ports binden.

Führen Sie die folgenden Aufgaben aus, bevor Sie beginnen:

  • Definieren Sie eine benannte Instanz der Layer 2-Portspiegelung. Siehe Definition einer benannten Instanz der Layer-2-Portspiegelung.

  • Zeigen Sie Informationen über die Anzahl und die Typen von DPCs oder FPCs im Router der MX-Serie und im Switch der EX-Serie, die Anzahl der Jeweils paketweiterleitungs-Engines sowie die Anzahl und arten von Ports pro Packet Forwarding Engine an.

So binden Sie eine benannte Instanz der Layer 2-Portspiegelung an eine DPC oder FPC und deren Packet Forwarding Engines:

  1. Aktivieren der Konfiguration der Gehäuseeigenschaften des Routers (oder Switches):
  2. Aktivieren Sie die Konfiguration einer DPC (und der entsprechenden Packet Forwarding Engines) oder einer FPC (und der installierten PICs):
  3. Binden Sie eine benannte Instanz der Layer 2-Portspiegelung (PM-Instanzname) an die DPC oder FPC:
  4. (Optional) Um eine zweite benannte Instanz der Layer 2-Portspiegelung an dieselbe DPC oder FPC zu binden, wiederholen Sie den vorherigen Schritt (Schritt 3) und geben Sie eine andere benannte Instanz der Layer 2-Portspiegelung an.
  5. Überprüfen Sie die mindeste Konfiguration der Bindung:

Layer 2-Portspiegelung an auf PIC-Ebene gruppierte Ports binden

Auf einem Router der MX-Serie und auf einem Switch der EX-Serie können Sie eine benannte Instanz der Layer-2-Portspiegelung an die Ports binden, die mit einer bestimmten Packet Forwarding Engine (auf einer DPC) oder mit den Ports verbunden sind, die mit einer bestimmten PIC (in einer FPC installiert) verbunden sind. Dies wird als Bindung einer benannten Instanz von Layer 2-Portspiegelung auf PIC-Ebene des Router- (oder Switch)-Gehäuses bezeichnet. Die in der benannten Instanz angegebenen Portspiegelungseigenschaften werden auf alle physischen Ports angewendet, die der angegebenen Packet Forwarding Engine zugeordnet sind.

Anmerkung:

Sie können auch eine benannte Instanz der Layer 2-Portspiegelung an eine bestimmte DPC oder FPC im Router- (oder Switch)-Gehäuse binden.

Für alle Pakettypen, die durch Layer 2-Portspiegelung unterstützt werden:

  • Port-Spiegelungseigenschaften, die an eine bestimmte Packet Forwarding Engine gebunden sind, überschreiben alle auf DPC- oder FPC-Ebene konfigurierten Portspiegelungseigenschaften.

  • Portspiegelungseigenschaften, die an eine bestimmte DPC oder FPC gebunden sind, überschreiben alle auf globaler Ebene konfigurierten Portspiegelungseigenschaften.

Sie können bis zu zwei benannte Instanzen der Layer 2-Portspiegelung auf dieselbe Portgruppe innerhalb des Router- (oder Switch-Gehäuses) anwenden. Durch die Anwendung von zwei verschiedenen Portspiegelungsinstanzen auf dieselbe Packet Forwarding Engine oder PIC können Sie zwei verschiedene Layer-2-Portspiegelungsspezifikationen an eine einzige Gruppe von Ports binden.

Für MX960-Router gibt es eine One-to-One-Zuordnung von Packet Forwarding Engines zu Ethernet-Ports. Daher können Sie nur bei MX960-Routern eine benannte Instanz der Layer-2-Portspiegelung an einen bestimmten Port binden, indem Sie die Instanz an die mit dem Port verbundene Packet Forwarding Engine binden.

Führen Sie die folgenden Aufgaben aus, bevor Sie beginnen:

  • Definieren Sie eine benannte Instanz der Layer 2-Portspiegelung. Siehe Definition einer benannten Instanz der Layer-2-Portspiegelung.

  • Zeigen Sie Informationen über die Anzahl und die Arten von DPCs im Router der MX-Serie oder im Switch der EX-Serie, die Anzahl der Packet Forwarding Engines auf jeder DPC und die Anzahl und die Arten von Ports pro Packet Forwarding Engine an.

So binden Sie eine benannte Instanz der Layer 2-Portspiegelung an eine Packet Forwarding Engine:

  1. Aktivieren der Konfiguration der Gehäuseeigenschaften des Routers (oder Switches):
  2. Aktivieren der Konfiguration einer Packet Forwarding Engine oder PIC:
  3. Binden Sie eine benannte Instanz der Layer 2-Portspiegelung (PM-Instanzname) an die Packet Forwarding Engine oder PIC:
  4. (Optional) Um eine zweite benannte Instanz der Layer 2-Portspiegelung an dieselbe Packet Forwarding Engine oder PIC zu binden, wiederholen Sie den vorherigen Schritt (Schritt 3), und geben Sie eine andere benannte Instanz der Layer-2-Portspiegelung an.
  5. Überprüfen Sie die mindeste Konfiguration der Bindung:

Beispiele: Layer 2-Portspiegelung auf mehreren Ebenen des Gehäuses

Auf einem Router der MX-Serie oder auf einem Switch der EX-Serie können Sie benannte Instanzen der Layer 2-Portspiegelung auf FPC- oder DPC-Ebene des Gehäuses oder auf PIC-Ebene des Gehäuses anwenden. Sie können jedoch nur eine globale Instanz von Layer 2-Portspiegelung für das gesamte Gehäuse konfigurieren (und implizit anwenden).

Layer 2-Portspiegelung auf FPC-Ebene

In diesem Beispiel ist die Konfiguration eines Routers der MX-Serie oder eines Switch-Gehäuses der EX-Serie eine benannte Instanz der Layer 2-Portspiegelung (pm1) an physische Ports gebunden, die auf FPC-Ebene gruppiert sind:

Dies ist keine vollständige Konfiguration. Die mit der FPC oder DPC in Steckplatz 2 verbundenen physischen Schnittstellen müssen auf Hierarchieebene [edit interfaces] konfiguriert werden. Die Layer-2-Portspiegelung namens Instanz pm1 muss auf der [edit forwarding-options port-mirroring instance] Hierarchieebene konfiguriert werden.

Layer 2-Portspiegelung auf PIC-Ebene

In diesem Beispiel ist die Konfiguration eines Routers der MX-Serie oder eines Switch-Gehäuses derpm2 EX-Serie an die auf PIC-Ebene gruppierten physischen Ports gebunden:

Dies ist keine vollständige Konfiguration. Die mit der FPC oder DPC in Steckplatz 2 verbundenen physischen Schnittstellen müssen auf Hierarchieebene [edit interfaces] konfiguriert werden. Die Layer-2-Portspiegelung namens Instanz pm2 muss auf der [edit forwarding-options port-mirroring instance] Hierarchieebene konfiguriert werden.

Layer 2-Portspiegelung auf FPC- und PIC-Ebenen

In diesem Beispiel wird die Konfiguration eines Routergehäuses der MX-Serie oder eines Switches der EX-Serie auf der FPC-Ebene des Router-Gehäuses (oder Switches) mit einer benannten Instanz der Layer 2-Portspiegelung (pm1) angewendet. Eine zweite benannte Instanz (pm2) wird auf PIC-Ebene angewendet:

Dies ist keine vollständige Konfiguration. Physische Schnittstellen, die mit der FPC oder DPC in Steckplatz 2 verbunden sind, einschließlich der zugehörigen physischen Schnittstellen pic 0, müssen auf der [edit interfaces] Hierarchieebene konfiguriert werden. Die Layer-2-Portspiegelung namens Instanzen pm1 muss pm2 auf Hierarchieebene [edit forwarding-options port-mirroring instance] konfiguriert werden.

Konfigurieren der Layer 2-Portspiegelung über GRE-Schnittstelle

Port-Spiegelung ist die Fähigkeit eines Routers, eine Kopie eines Pakets zur Analyse an eine externe Hostadresse oder einen Paketanalyse-Switch zu senden. Eine Anwendung zur Portspiegelung sendet ein doppeltes Paket an einen virtuellen Tunnel. Eine Next-Hop-Gruppe kann dann so konfiguriert werden, dass Kopien dieses duplizierten Pakets an mehrere Schnittstellen weitergeleitet werden. Junos OS unterstützt layer 2-Portspiegelung zu einem Remote-Collector über eine GRE-Schnittstelle.

So konfigurieren Sie die Layer-2-Portspiegelung über eine GRE-Schnittstelle:

  1. Konfigurieren Sie die GRE-Schnittstelle mit der Quell- und Zieladresse.
  2. Konfigurieren Sie Familien-Bridge-Parameter auf der GRE-Schnittstelle.
  3. Konfigurieren Sie die Rate, mit der die Eingangspakete gespiegelt werden.
  4. Konfigurieren Sie die Ausgabeschnittstelle für VPLS der Familie für die GRE-Schnittstelle.
  5. Konfigurieren Sie den Firewall-Filterbegriff für Family Bridge, um pakete zu zählen, die an der Schnittstelle ankommen.
  6. Konfigurieren Sie den Firewall-Filterbegriff für Family Bridge zur Spiegelung der Pakete.

Beispiel: Konfigurieren der Layer 2-Portspiegelung über eine GRE-Schnittstelle

Dieses Beispiel zeigt, wie Sie die Layer-2-Portspiegelung über eine GRE-Schnittstelle für die Analyse konfigurieren.

Anforderungen

In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:

  • Ein Router der MX-Serie

  • Junos OS Version 16.1 oder höher, die auf allen Geräten ausgeführt wird

Überblick

Port-Spiegelung ist die Fähigkeit eines Routers, eine Kopie eines Pakets zur Analyse an eine externe Hostadresse oder einen Paketanalyse-Switch zu senden. Eine Anwendung zur Portspiegelung sendet ein doppeltes Paket an einen virtuellen Tunnel. Eine Next-Hop-Gruppe kann dann so konfiguriert werden, dass Kopien dieses duplizierten Pakets an mehrere Schnittstellen weitergeleitet werden. Ab Junos OS Version 16.1 wird layer 2-Portspiegelung zu einem Remote-Collector über eine GRE-Schnittstelle unterstützt.

Topologie

Abbildung 1 zeigt die über eine GRE-Schnittstelle konfigurierte Portspiegelung. Die Schnittstelle gr-4/0/0 ist als Family Bridge konfiguriert. Der Bridge-Filter der Firewall-Familie f1 ist als Portspiegel konfiguriert. Spiegelungsziel wird als gr-4/0/0 konfiguriert. Der Bridge-Filter der Firewall-Familie f1 wird am Eingang und Ausgang der xe-3/2/5.0-Schnittstelle angewendet, wodurch Pakete zur Spiegelung des Zielziels gr-4/0/0 gespiegelt werden.

Abbildung 1: Beispiel: Layer 2-Portspiegelung über GRE-SchnittstelleBeispiel: Layer 2-Portspiegelung über GRE-Schnittstelle

Konfiguration

CLI-Schnellkonfiguration

Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle Details, die für die Netzwerkkonfiguration erforderlich sind, kopieren Und fügen Sie die Befehle auf Hierarchieebene in die [edit] CLI ein und geben Sie dann aus dem Konfigurationsmodus ein commit .

R0

Konfigurieren von R0

Schritt-für-Schritt-Verfahren

Im folgenden Beispiel müssen Sie in verschiedenen Ebenen in der Konfigurationshierarchie navigieren. Informationen zum Navigieren in der CLI finden Sie unter "Using the CLI Editor in Configuration Mode" im Cli-Benutzerhandbuch von Junos OS .

So konfigurieren Sie Gerät R0:

  1. Konfigurieren Sie die flexiblen PIC-Concentrator-Parameter des Gehäuses.

  2. Konfigurieren Sie die erweiterten IP-Netzwerkservices des Gehäuses.

  3. Konfigurieren Sie die Schnittstellen.

  4. Konfigurieren Sie die Rate der zu prüfenden Eingangspakete.

  5. Konfigurieren Sie die Ausgabeschnittstelle für die VPLS-Adressfamilie von Paketen zur Spiegelung.

  6. Konfigurieren Sie die Bridge-Protokollfamilie für den Firewall-Filter.

  7. Konfigurieren Sie die VLAN-ID für die Bridge-Domäne.

  8. Konfigurieren Sie die Schnittstelle für die Bridge-Domäne.

Ergebnisse

Bestätigen Sie Im Konfigurationsmodus Ihre Konfiguration, indem Sie die show bridge-domainsBefehle , , show chassisshow forwarding-options, show firewallund eingebenshow interfaces. Wenn die Ausgabe die beabsichtigte Konfiguration nicht anzeigt, wiederholen Sie die Anweisungen in diesem Beispiel, um die Konfiguration zu korrigieren.

Überprüfung

Bestätigen Sie, dass die Konfiguration ordnungsgemäß funktioniert.

Überprüfung der Portspiegelung des Datenverkehrs

Zweck

Portspiegelung von Datenverkehrsinformationen anzeigen.

Aktion

Führen Sie auf Gerät R0 im Betriebsmodus den show forwarding-options port-mirroring Befehl aus, um die Portspiegelung der Datenverkehrsinformationen anzuzeigen.

Bedeutung

Die Ausgabe zeigt die Portspiegelung der Datenverkehrsinformationen.