Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Konfigurieren der Portspiegelung

Port-Spiegelung ist die Fähigkeit eines Routers, eine Kopie eines IPv4- oder IPv6-Pakets zur Analyse an eine externe Hostadresse oder einen Paketanalysator zu senden. Die Portspiegelung unterscheidet sich vom Traffic-Sampling. Beim Datenverkehrs-Sampling wird ein Sampling-Schlüssel basierend auf dem Paket-Header an die Routing-Engine gesendet. Dort kann der Schlüssel in einer Datei abgelegt werden, oder cflowd-Pakete, die auf dem Schlüssel basieren, können an einen cflowd-Server gesendet werden. Bei der Portspiegelung wird das gesamte Paket kopiert und über eine Next-Hop-Schnittstelle gesendet.

Eine Anwendung für die Port-Spiegelung sendet ein doppeltes Paket an einen virtuellen Tunnel. Eine Next-Hop-Gruppe kann dann so konfiguriert werden, dass Kopien dieses doppelten Pakets an mehrere Schnittstellen weitergeleitet werden. Weitere Informationen zu Next-Hop-Gruppen finden Sie unter Konfigurieren von Next-Hop-Gruppen für die Verwendung mehrerer Schnittstellen zum Weiterleiten von Paketen, die bei der Portspiegelung verwendet werden.

Alle Multiservice-Edge-Router der M-Serie, Core-Router der T-Serie und universelle 5G-Routing-Plattformen der MX-Serie unterstützen Port-Spiegelung für IPv4 oder IPv6. Die Router der Serien M120, M320 und MX unterstützen die Portspiegelung für IPv4 und IPv6 gleichzeitig.

Die Port-Spiegelung für VPLS-Datenverkehr wird auf M7i- und M10i-Routern unterstützt, die mit einem Enhanced CFEB (CFEB-E) konfiguriert sind, auf M120-Routern, auf M320-Routern, die mit einem Enhanced III Flexible PIC Concentrators (FPC) konfiguriert sind, und auf Routern der MX-Serie.

In Junos OS Version 9.3 und höher wird die Portspiegelung für Layer-2-Datenverkehr auf Routern der MX-Serie unterstützt. Informationen zum Konfigurieren der Portspiegelung für Layer-2-Datenverkehr finden Sie in der Junos OS Layer 2 Switching and Bridging Library for Routing Devices.

In Junos OS Version 9.6 und höher wird die Portspiegelung für Layer-2-VPN-Datenverkehr auf M120-Routern und M320-Routern, die mit einem Enhanced III FPC konfiguriert sind, unterstützt. Sie können auch die maximale Länge des gespiegelten Pakets festlegen. Wenn diese Option festgelegt ist, wird das gespiegelte Paket auf die angegebene Länge gekürzt.

In den MPCs auf Routern der M- und MX-Serie sind GRE- und MPLS-Header-Informationen nicht im portgespiegelten Datenverkehr enthalten, der MPLS-Paketen entspricht, die über IP-GRE-Tunnel übertragen werden.

PTX1K-, PTX10002-, PTX5K-, PTX3K- und PTX10K-Plattformen mit Linecards der ersten Generation (LC1101, LC1102, LC1104 und LC1105) unterstützen keine Spiegelung der Ausgangsports.

Im Funktions-Explorer finden Sie eine aktuelle Liste der unterstützten Plattformen und Junos-Versionen, die die Portspiegelung unterstützen.

Konfigurationsrichtlinien für die Portspiegelung

Bei der Konfiguration der Portspiegelung gelten die folgenden Einschränkungen:

  • Es werden nur Transitdaten unterstützt.

  • Sie können entweder IPv4- oder IPv6-Port-Spiegelung konfigurieren, aber nicht beides auf Routern der M-Serie, mit Ausnahme der Router M120 und M320, die die Port-Spiegelung für IPv4 und IPv6 gleichzeitig unterstützen.

  • Sie können die Portspiegelung für IPv4 und IPv6 gleichzeitig auf den Routern M120 und M320 sowie den Routern der MX-Serie konfigurieren.

  • Die Portspiegelung in Eingangs- und Ausgangsrichtung wird für Link Services IQ (lsq-)-Schnittstellen nicht unterstützt.

  • Die Eingangsfilterung von Multicast-Paketen wird von allen Dense Port Concentrators (DPCs) in Routern der MX-Serie unterstützt. Die Ausgangsfilterung von Multicast-Paketen wird nur für Schnittstellen auf MPCs in Routern der MX-Serie unterstützt. Das Filtern von Multicast-Paketen basierend auf der Zieladresse wird auf Routern der M-Serie oder T-Serie nicht unterstützt und wird nicht für Schnittstellen auf I-Chip-ASIC-basierten DPCs in Routern der MX-Serie unterstützt.

    Bei der Layer-3-Port-Spiegelung (family inet und family inet6) entspricht die MAC-Zieladresse in der gespiegelten Kopie dieser Multicast-Ziel-IP-Adresse und nicht der in der [edit forwarding-options port-mirroring family (inet | inet6) output] Konfiguration angegebenen Unicast-MAC-Adresse, wenn der gespiegelte Datenverkehr gespiegelt wird (d. h. wenn die Ziel-IP-Adresse des Pakets eine Multicast-Adresse ist).

  • Standardmäßig können Firewallfilter nicht auf Zielschnittstellen mit Portspiegelung angewendet werden. Um die Portspiegelung von Zielschnittstellen zur Unterstützung von Firewallfiltern zu aktivieren, verwenden Sie die Anweisung, um die no-filter-check Filterüberprüfung auf den Schnittstellen zu deaktivieren. Sie können die no-filter-check Anweisung auf den folgenden Hierarchieebenen einbinden:

    • [edit forwarding-options port-mirroring family (inet | inet6 | ccc | vpls) output]

    • [edit forwarding-options port-mirroring instance instance-name family (inet | ccc | vpls) output]

  • Sie müssen einen Firewallfilter sowohl mit der accept-Aktion als auch mit dem port-mirror-action-Modifizierer auf der eingehenden Schnittstelle einschließen.

  • Die Schnittstelle, die Sie für die Portspiegelung konfigurieren, sollte nicht an irgendwelchen Routing-Aktivitäten teilnehmen.

  • Die von Ihnen angegebene Zieladresse sollte keine Route zum endgültigen Verkehrsziel haben. Wenn z. B. die abgetasteten IPv4-Pakete die Zieladresse 192.68.9.10 haben und der gespiegelte Datenverkehr zur Analyse an 192.68.20.15 gesendet wird, sollte das Gerät, das der letztgenannten Adresse zugeordnet ist, keine Route zu 192.68.9.10 kennen. Außerdem sollten die gesampelten Pakete nicht an die Quelladresse zurückgesendet werden.

  • Auf allen Routern mit Ausnahme des Routers der MX-Serie können Sie nur eine Port-Mirroring-Schnittstelle pro Router konfigurieren. Wenn Sie mehr als eine Schnittstelle in die port-mirroring Anweisung aufnehmen, wird die vorherige überschrieben. Router der MX-Serie unterstützen mehr als eine Port-Mirroring-Schnittstelle pro Router.

  • Sie können mehrere Port-Mirroring-Instanzen auf den Routern der Serien M120, M320 und MX konfigurieren.

  • Sie können sowohl Host-Sampling (cflowd) als auch Port-Mirroring in derselben Konfiguration angeben. Sie können RE-Sampling- und Port-Mirroring-Aktionen gleichzeitig durchführen. Es ist jedoch nicht möglich, PIC-Sampling- und Port-Spiegelungsaktionen gleichzeitig auszuführen.

  • In typischen Anwendungen senden Sie die abgetasteten Pakete zur Analyse an einen Analysator oder eine Workstation, nicht an einen anderen Router. Wenn Sie diesen Datenverkehr über ein Netzwerk senden müssen, sollten Sie Tunnel verwenden.

Konfigurieren der Portspiegelung

Um die Portspiegelung zu konfigurieren, fügen Sie die port-mirroring Anweisung auf Hierarchieebene [edit forwarding-options] ein:

Konfigurieren der Port-Mirroring-Adressfamilie und -Schnittstelle

Um die Portspiegelung zu konfigurieren, fügen Sie die port-mirroring Anweisung ein. Um den Adressfamilientyp des Datenverkehrs für die Stichprobe zu konfigurieren, schließen Sie die family Anweisung ein. Fügen Sie die input Anweisung ein, um die Abtastrate, die Länge der Abtastung und die maximale Größe für das gespiegelte Paket zu konfigurieren. Fügen Sie die Anweisung ein, um anzugeben, auf welcher Schnittstelle doppelte Pakete gesendet werden sollen, und die Adresse des nächsten Hops, an die output Pakete gesendet werden sollen. Um zu bestimmen, ob Filter auf der angegebenen Schnittstelle vorhanden sind, schließen Sie die no-filter-check Anweisung ein.

Weitere Informationen zu Rate und run-length Anweisungen finden Sie unter Konfigurieren von Traffic Sampling .

Konfigurieren mehrerer Port-Mirroring-Instanzen

In Junos OS Version 9.5 und höher können Sie mehrere Port-Mirroring-Instanzen auf den Routern der Serien M120, M320 und MX konfigurieren. Auf dem M120-Router können Sie jede Instanz einem bestimmten Forwarding Engine Board (FEB) zuordnen. Sie können eine Portspiegelungsinstanz nicht mit einer FEB verknüpfen, die als Backup-FEB konfiguriert ist. Auf dem M320-Router können Sie jede Instanz mit einem bestimmten Flexible PIC Concentrator (FPC) verknüpfen. Wenn Sie eine Port-Mirroring-Instance mit einem FPC oder FEB verknüpfen, können Sie Pakete an verschiedene Ziele spiegeln. Mehrere Port-Mirroring-Instanzen werden auch auf Routern der MX-Serie unterstützt. Informationen zum Konfigurieren mehrerer Port-Mirroring-Instanzen auf Routern der MX-Serie finden Sie in der Junos OS Layer 2 Switching and Bridging Library for Routing Devices.

Hinweis:

In MX80- und MX104-Routern sollten Portspiegelungsinstanzen immer mit FPC 0 verknüpft werden, da die Zuordnung von Portspiegelungsinstanzen zu FPC 1 oder FPC 2 aufgrund der zugrunde liegenden Architektur zu inkonsistentem Verhalten führen kann.

Um eine Portspiegelungsinstanz zu konfigurieren, fügen Sie die instance port-mirroring-instance Anweisung auf Hierarchieebene [edit forwarding-options port-mirroring] ein:

Port-Mirroring-Instanzen konfigurieren

Sie können mehrere Port-Mirroring-Instanzen konfigurieren. Geben Sie für jede Instanz, die Sie konfigurieren, eine eindeutige port-mirroring-instance-name Instanz an.

Zuordnen einer Port-Mirroring-Instanz auf M320-Routern

Sie können eine Port-Mirroring-Instance mit einem bestimmten FPC auf einem M320-Router oder mit einem bestimmten FEB auf einem M120-Router verknüpfen. Sie können jedem FPC auf einem M320-Router oder jedem FEB auf einem M120-Router nur eine Port-Mirroring-Instanz zuordnen. Auf einem M120-Router können Sie eine Port-Spiegelungs-Instance nicht mit einer FEB verknüpfen, die als Backup-FEB konfiguriert ist.

Um eine Port-Mirroring-Instanz mit einem FPC auf einem M320-Router zu verknüpfen, fügen Sie die port-mirror-instance port-mirroring-instance-name folgende Anweisung auf Hierarchieebene [edit chassis fpc slot-number] ein:

Geben Sie für slot-numberdie Slotnummer des FPC an, den Sie der Portspiegelungsinstanz zuordnen möchten. Geben Sie für port-mirroring-instance-nameden Namen einer Portspiegelungsinstanz an, die Sie auf Hierarchieebene [edit forwarding-options port-mirroring] konfiguriert haben. Weitere Informationen zum Konfigurieren eines FPC auf einem M320-Router finden Sie in der Junos OS-Administrationsbibliothek für Routing-Geräte.

Zuordnen einer Port-Mirroring-Instanz auf M120-Routern

Um eine Port-Mirroring-Instanz mit einem FEB auf einem M120-Router zu verknüpfen, fügen Sie die port-mirror-instance port-mirroring-instance-name folgende Anweisung auf Hierarchieebene [edit chassis feb slot-number] ein:

Geben Sie für slot-numberdie Slotnummer der FEB an, die Sie der Portspiegelungsinstanz zuordnen möchten. Geben Sie für port-mirroring-instance-nameden Namen einer Portspiegelungsinstanz an, die Sie auf Hierarchieebene [edit forwarding-options port-mirroring] konfiguriert haben. Informationen zum Konfigurieren der FEB-Redundanz auf einem M120-Router finden Sie im Junos OS High Availability User Guide. Informationen zum Konfigurieren der FPC-zu-FEB-Konnektivität auf einem M120-Router finden Sie in der Junos OS-Administrationsbibliothek für Routing-Geräte.

Universelle 5G-Routing-Plattformen der MX-Serie und M120-Router so konfigurieren, dass der Datenverkehr nur einmal gespiegelt wird

Nur auf Routern der MX-Serie und M120 können Sie die Port-Spiegelung so konfigurieren, dass der Router den Datenverkehr nur einmal spiegelt. Wenn Sie die Portspiegelung sowohl auf Eingangs- als auch auf Ausgangsschnittstellen konfigurieren, kann dasselbe Paket zweimal gespiegelt werden. Um Pakete nur einmal zu spiegeln und zu verhindern, dass der Router doppelte Stichprobenpakete an dasselbe Spiegelungsziel sendet, fügen Sie die mirror-once Anweisung auf Hierarchieebene [edit forwarding-options port-mirroring] ein:

Hinweis:

Die mirror-once Anweisung wird nur in der globalen Portspiegelungsinstanz unterstützt.