1、端口镜像
作用:这种技术通常应用于流量审计,流量抓取,抓包等场景
1.1 SPAN 本地端口镜像
2.2 RSPAN 二层远端端口镜像
2.3 ERSPAN 三层远端端口镜像
1.1 本地(在一台交换机上)
[LSW1]observe-port 1 interface GigabitEthernet0/0/2 //观察端口
[LSW1-GigabitEthernet0/0/1]port-mirroring to observe-port 1 both //将改端口配置为镜像端口,并且将该端口两个方向的流量镜像发送给观察端口1
//该配置只是把PC1发送到G0/0/2接口的流量 复制一遍给PC2查看
2.2 二层:二层远端
server为抓包的服务器,行政部为被抓包的,不在本地,需要用二层去远程抓包
//抓包采用的vlan不可以和部门的vlan一样!!单独搞一个
[SwitchA]observe-port l interface gigabitethernet 0/0/2 vlan 10
[SwitchA-GigabitEthernet0/0/1]port-mirroring to observe-port l inbound
[SwitchB]vlan 10
[SwitchB-vlan10]mac address learning disable //关闭mac地址学习能力
[SwitchB-GigabitEthernet0/0/1]port link-type access
[SwitchB-GigabitEthernet0/0/1]port default vlan 10
[SwitchB-GigabitEthernet0/0/2]port link-type trunk
[SwitchB-GigabitEthernet0/0/2]port trunk allow-pass vlan 10
转发行为:查表(转发)、泛洪、丢弃
解析:
交换机B收到数据帧就实行转发行为,收到单播帧查找mac地址表进行转发(收到广播帧就进行泛洪),进行二层转发。帧的目的mac是谁?即行政部自己发送网关的目的mac地址,假设交换机A有个vlanif10的tag,那么收到的是单播帧又要重新封装回去,这是不允许的。所以这时候就需要关闭mac地址学习能力,这时候流量过来就不需要查表了(没有转发的机会,只有泛洪的机会)所以在vlan10中进行泛洪,server就能收到了
3层:默认封装GRE(通用路由封装)
//配置好各端口ip,用ospf连通
//源ip随便的,只要有发出去让pc4收到就好了,(且抓包就是单方向的,不需要回包)
[ar1]observe-server destination ip 192.168.20.1 source-ip 100.100.100.100
[ar1-GigabitEthernet0/0/0]mirror to observe-server both
R3g0/0/1的接口抓包:多了个GRE(通用路由封装)隧道技术
把要抓取的流量放到隧道中,重新封装源目ip的头部,里面包装观察端口的IP以及源IP