一、组网需求:
如图所示,外部访问用户通过SwitchA访问公司的服务器,防病毒监控设备Server通过SwitchB与SwitchA相连。
现在公司网站被恶意攻击瘫痪,网络管理员希望Server能够远程对TCP端口号匹配WWW端口号的报文流进行分析,定位出恶意攻击源。
![d0bb6a6a1f3fe50536c089c777333791.png](https://i-blog.csdnimg.cn/blog_migrate/fe0f87b2fdb5ed95b1125a92ccded58d.jpeg)
配置基于ACL的远程流镜像组网图
二、配置思路:
- 在SwitchA上配置接口GE1/0/2为二层远程观察端口,负责向绑定的VLAN转发镜像报文。
- 在SwitchA上配置高级ACL,匹配的报文流为TCP端口号是WWW端口号的报文流。
- 在接口GE1/0/1上配置基于ACL的流策略,对上述匹配的报文进行镜像。
- 在SwitchB上创建VLAN,关闭该VLAN的MAC地址学习功能。配置接口加入VLAN,负责将观察端口发送过来的报文向Server转发。
三、操作步骤:
- 在SwitchA上配置观察端口
# 在SwitchA上配置接口GE1/0/2为二层远程观察端口,绑定的VLAN为VLAN10。
system-view[HUAWEI] sysname SwitchA[SwitchA] observe-port 1 interface gigabitethernet 1/0/2 vlan 10 //配置GE1/0/2为二层远程观察端口,观察端口索引为1,绑定的VLAN为VLAN10
配置完成后,观察端口会将镜像报文向VLAN10进行转发,不需要在观察端口下进行接口加入VLAN的操作。
- 在SwitchA上配置高级ACL
# 在SwitchA上分别创建编号为3000的ACL,并配置ACL 3000的规则是匹配TCP端口号是WWW端口号的报文。
[SwitchA] acl number 3000 //创建ACL 3000,规则配置为允许TCP端口号是WWW端口号的报文通过[SwitchA-acl-adv-3000] rule permit tcp destination-port eq www[SwitchA-acl-adv-3000] quit
- 在SwitchA上配置基于ACL的流策略
# 在SwitchA的接口GE1/0/1上配置基于ACL的流策略,对上述匹配的报文进行镜像。
[SwitchA] interface gigabitethernet 1/0/1[SwitchA-GigabitEthernet1/0/1] traffic-mirror inbound acl 3000 to observe-port 1 //将GE1/0/1入方向上匹配ACL 3000规则的报文流镜像到索引为1的观察端口[SwitchA-GigabitEthernet1/0/1] return
- 在SwitchB上创建VLAN,配置接口加入VLAN
# 在SwitchB上创建VLAN10,关闭该VLAN的MAC地址学习功能,将接口GE1/0/1和GE1/0/2加入VLAN10。
system-view[HUAWEI] sysname SwitchB[SwitchB] vlan 10[SwitchB-vlan10] mac-address learning disable //关闭该VLAN的MAC地址学习功能[SwitchB-vlan10] quit[SwitchB] interface gigabitethernet 1/0/1[SwitchB-GigabitEthernet1/0/1] port link-type access //设置监控设备侧接口链路类型为access,接口缺省链路类型不是access口[SwitchB-GigabitEthernet1/0/1] port default vlan 10[SwitchB-GigabitEthernet1/0/1] quit[SwitchB] interface gigabitethernet 1/0/2[SwitchB-GigabitEthernet1/0/2] port link-type trunk //设置网络侧接口链路类型为trunk,接口缺省链路类型不是trunk口[SwitchB-GigabitEthernet1/0/2] port trunk allow-pass vlan 10[SwitchB-GigabitEthernet1/0/2] return
- 验证配置结果
# 查看ACL规则和流行为信息。
display traffic-applied interface gigabitethernet 1/0/1 inbound-----------------------------------------------------------ACL applied inbound interface GigabitEthernet1/0/1ACL 3000 rule 5 permit tcp destination-port eq www (match-counter 0)ACTIONS: mirror to observe-port 1-----------------------------------------------------------
# 查看观察端口的配置情况。
display observe-port ---------------------------------------------------------------------- Index : 1 Untag-packet : No Interface : GigabitEthernet1/0/2 Vlan : 10 ----------------------------------------------------------------------
# 查看镜像端口的配置情况。
display port-mirroring ---------------------------------------------------------------------- Observe-port 1 : GigabitEthernet1/0/2 ---------------------------------------------------------------------- Stream-mirror: ---------------------------------------------------------------------- Behavior Direction Observe-port ---------------------------------------------------------------------- 1 SACL - Observe-port 1 ----------------------------------------------------------------------