Beispiel: Konfiguration der lokalen Portspiegelung auf PTX-Routern

Tabelle 1 enthält eine kurze Zusammenfassung der in diesem Beispiel verwendeten Protokolle und Technologien.

In diesem Beispiel fungiert das R3-Gerät als Testobjekt (Device Under Test, DUT), da hier die Portspiegelung konfiguriert ist. Das Gerät verwendet Firewall-Filter, um die IP-Adressen abzugleichen, die den CE-Geräten zugeordnet sind, um die Portspiegelungsaktion auszulösen. Eine Kombination aus Eingangs- und Ausgangsfiltern wird verwendet, um sowohl den Anforderungs- als auch den Antwortverkehr widerzuspiegeln, der zwischen den CE-Geräten (R1 und R5) fließt.

Die Firewall-Filter, die Paketabtastung hervorrufen, werden auf eine oder mehrere der Transitschnittstellen des R3-Geräts angewendet.

Informationen zum Navigieren in der CLI finden Sie unter Verwenden des CLI-Editors im Konfigurationsmodus

In diesem Abschnitt werden die wichtigsten Konfigurationsaufgaben hervorgehoben, die zum Konfigurieren des Prüflings erforderlich sind, in diesem Beispiel das P-Gerät (R3). Abgesehen von den für das Sampling verwendeten Besonderheiten verfügen alle Geräte über eine ähnliche Basiskonfiguration, die IPv6- und IPv4-Konnektivität der Hauptinstanz unterstützt.

1. Konfigurieren Sie die IPv4- und IPv6-Routing-Baseline. Dazu gehört die Nummerierung der Loopback- und Core-Schnittstellen für IPv4 und IPv6. Außerdem definieren Sie das Routing-Protokoll OSPF und OSPFv3, um die Erreichbarkeit zwischen allen Netzwerkschnittstellen zu gewährleisten.

   Eine passive IGP-Instanz wird für die Schnittstelle bereitgestellt, die an das Analysetool angeschlossen ist. Dies bietet Erreichbarkeit für Diagnosezwecke, ohne dass Hello-Pakete auf der Schnittstelle generiert werden müssen. Eine OSPF-Nachbarschaft zum Analysegerät wird nicht erwartet oder benötigt

   Hinweis: Für den Anwendungsfall der lokalen Spiegelung ist nur eine IP-Verbindung zwischen dem Analysator und dem Gerät erforderlich, das die Portspiegelung durchführt. In diesem Beispiel führen wir eine passive IGP auf der Schnittstelle aus, die an das Analysetool angeschlossen ist. Außerdem konfigurieren wir eine Standardroute auf dem Analysator, um die IP-Konnektivität zwischen ihm und den anderen Geräten zu gewährleisten. Dies bietet die Möglichkeit, die Konnektivität zwischen dem Analysator und allen anderen Geräten zu testen. in der Topologie.

   Diese Funktion ist besonders nützlich in einem Fall einer Remote-Port-Spiegelung, in dem eine Layer-3-Erreichbarkeit zwischen dem Probenahmegerät und dem Analysator erforderlich ist.

2. Konfigurieren Sie die Abtastrate. Wir verwenden eine Rate von 1, um alle passenden Pakete auszuwählen und zu sampeln. Der Standardwert run-length 0 bleibt erhalten, sofern der gesamte übereinstimmende Datenverkehr bereits abgetastet wurde. Sie müssen auch die Ausgangsschnittstelle und die Adresse des nächsten Hops angeben, an die der gespiegelte Datenverkehr gesendet wird. In diesem Beispiel der lokalen Portspiegelung ist zu beachten, dass die angegebene Schnittstelle und die Adressen des nächsten Hops direkt an den Prüfling angeschlossen sind. Daher werden beim Senden des gespiegelten Datenverkehrs an das Analysegerät keine Tunnel benötigt oder verwendet.
   Hinweis:

   Bei dieser Konfiguration wird davon ausgegangen, dass das Analysetool auf ARP- und ND-Anforderungen antwortet, die vom Testling zur Auflösung von MAC-Adressen gesendet werden. Wenn dies nicht der Fall ist oder wenn Sie möchten, dass ARP-Datenverkehr nicht Teil Ihrer Paketerfassung ist, sollten Sie einen statischen ARP-Eintrag konfigurieren. Stellen Sie sicher, dass Sie die richtige MAC-Adresse für die Schnittstelle auf dem Analysegerät angeben, das an den Prüfling angeschlossen ist.

3. Definieren Sie den Firewallfilter so, dass IPv4-Pakete eingegriffen und dann gespiegelt werden. Beachten Sie, dass die Aktion des Filters eine Portspiegelungsaktion angibt. Diese Aktion leitet übereinstimmenden Datenverkehr an die zuvor konfigurierten Portspiegelungsinstanzen weiter. Es werden zwei Filter definiert, jeweils einer für die Quell- und Zieladressen von CE1 und CE2. Die Filter enthalten eine Zählfunktion, die bei der Bestätigung des ordnungsgemäßen Betriebs hilft.

   Übersehen Sie nicht den letzten accept-all Begriff, der die Standardaktion deny-all eines Junos-Firewall-Filters außer Kraft setzt!

4. Definieren Sie den Firewall-Filter so, dass er IPv6-Pakete abgleicht und spiegelt.

5. Wenden Sie die IPv4- und IPv6-Filter auf die gewünschten Schnittstellen an. In unserem Beispiel wenden wir beide Filter auf die Schnittstelle et-0/0/0 an. Beachten Sie die Richtungsabhängigkeit der Filteranwendung. Für jeden CE-Datenstrom (IPv4 oder IPv6) wenden wir einen Filter als Eingang und den anderen als Ausgang an. Diese Art der Anwendung ist kompatibel mit der Art und Weise, wie die Filter geschrieben werden, unter Berücksichtigung der Adresszuweisungen und der Richtungsabhängigkeit des Datenverkehrs.

Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle erforderlichen Details, um sie an Ihre Netzwerkkonfiguration anzupassen, und kopieren Sie dann die Befehle und fügen Sie sie dann in die CLI auf der Hierarchieebene [edit] ein.

• R1 (CE)
• R2 (PE)
• R3 (ANT)
• R4 (PE)
• R5 (CE)