路由器、交换机的端口镜像

1.什么是端口镜像

port  mirroring 端口镜像：在交换机或者路由器上，把一个或多个源端口的所有流量重发一份到另一个目的端口，从而实现流量的复制，方便对网络的监管

镜像口：指被复制流量的源端口

观察口：指的是集合复制后流量的目的端口，用于流量分析

2.用于场景

2.1故障定位，因软件处理异常、网络设备故障、病毒等原因导致网络流量异常或者出错时，在不干扰系统正常运行的情况下，对网络报文进行分析，以定位

2.2业务可视：方便分析企业内部业务流量模型，比如员工上网行为，服务器的访问量排名，在网络汇聚或核心交换机上，对业务流量进行镜像，是企业各类应用清晰可见

2.3入侵检测：为了及时发现各种攻击企图，攻击行为或者攻击结果，保证网络系统的安全，在企业的上行接口，将所有流量镜像到一个IDS服务器，进行实时分析

3.配置命令

路由器配置：

[R1]observe-port interface g0/0/1      配置观察口
[R1]int g0/0/0                                     配置镜像口
[R1-GigabitEthernet0/0/0]mirror to observe-port both     设置镜像-->观察

交换机配置：

[SW1]observe-port   1  interface e0/0/2      配置观察口
[SW1]int e0/0/1                                   配置镜像口
[SW1Ethernet0/0/1]port-mirroring to observe-port  1  both     设置镜像-->观察

案例图：

 

<Huawei>sys
[Huawei]sys R1
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip add 192.168.10.254 24
[R1-GigabitEthernet0/0/0]int g0/0/1
[R1-GigabitEthernet0/0/1]ip add 192.168.30.254 24
[R1-GigabitEthernet0/0/1]int g0/0/2
[R1-GigabitEthernet0/0/2]ip add 192.168.20.254 24
[R1-GigabitEthernet0/0/2]q
[R1]observe-port interface g0/0/1
[R1]int g0/0/0    
[R1-GigabitEthernet0/0/0]mirror to observe-port both 
[R1-GigabitEthernet0/0/0]q
[R1]q
<R1>save

g0/0/1口抓包，client到server1的流量