端口镜像（本地、二层、三层）

Hzhile

已于 2024-09-08 22:11:24 修改

阅读量203

点赞数 10

文章标签：网络

于 2024-09-01 22:11:23 首次发布

本文链接：https://blog.csdn.net/Hzhile/article/details/141788985

版权

1、端口镜像
作用:这种技术通常应用于流量审计，流量抓取，抓包等场景
1.1 SPAN 本地端口镜像
2.2 RSPAN 二层远端端口镜像
2.3 ERSPAN 三层远端端口镜像

1.1 本地（在一台交换机上）

在这里插入图片描述

[LSW1]observe-port 1 interface GigabitEthernet0/0/2		//观察端口
[LSW1-GigabitEthernet0/0/1]port-mirroring to observe-port 1 both	//将改端口配置为镜像端口，并且将该端口两个方向的流量镜像发送给观察端口1

//该配置只是把PC1发送到G0/0/2接口的流量 复制一遍给PC2查看

2.2 二层：二层远端

server为抓包的服务器，行政部为被抓包的，不在本地，需要用二层去远程抓包
在这里插入图片描述

//抓包采用的vlan不可以和部门的vlan一样！！单独搞一个
[SwitchA]observe-port l interface gigabitethernet 0/0/2 vlan 10
[SwitchA-GigabitEthernet0/0/1]port-mirroring to observe-port l inbound


[SwitchB]vlan 10
[SwitchB-vlan10]mac address learning disable		//关闭mac地址学习能力
[SwitchB-GigabitEthernet0/0/1]port link-type access
[SwitchB-GigabitEthernet0/0/1]port default vlan 10
[SwitchB-GigabitEthernet0/0/2]port link-type trunk
[SwitchB-GigabitEthernet0/0/2]port trunk allow-pass vlan 10

转发行为：查表（转发）、泛洪、丢弃

解析：
交换机B收到数据帧就实行转发行为，收到单播帧查找mac地址表进行转发（收到广播帧就进行泛洪），进行二层转发。帧的目的mac是谁？即行政部自己发送网关的目的mac地址，假设交换机A有个vlanif10的tag，那么收到的是单播帧又要重新封装回去，这是不允许的。所以这时候就需要关闭mac地址学习能力，这时候流量过来就不需要查表了（没有转发的机会，只有泛洪的机会）所以在vlan10中进行泛洪，server就能收到了

3层：默认封装GRE（通用路由封装）

在这里插入图片描述

//配置好各端口ip，用ospf连通
//源ip随便的，只要有发出去让pc4收到就好了，（且抓包就是单方向的，不需要回包）
[ar1]observe-server destination ip 192.168.20.1 source-ip 100.100.100.100
[ar1-GigabitEthernet0/0/0]mirror to observe-server both

R3g0/0/1的接口抓包：多了个GRE（通用路由封装）隧道技术
把要抓取的流量放到隧道中，重新封装源目ip的头部，里面包装观察端口的IP以及源IP
在这里插入图片描述