网络流量采集（五）——SPAN镜像配置

定义

SPAN镜像是指将镜像端口（源端口）的报文复制一份到观察端口（目的端口）。

目的

在网络维护的过程中会遇到需要对报文进行获取和分析的情况，此时需要在不影响报文转发的情况下，对报文进行获取和分析。

镜像可以在不影响报文正常处理流程的情况下，将镜像端口的报文复制一份到观察端口，用户利用数据监控设备来分析复制到观察端口的报文，进行网络监控和故障排除。

基本概念

• 镜像端口

  镜像端口是被监控的端口，从镜像端口流经的所有报文或匹配流分类规则的报文将被复制到观察端口。

• 观察端口

  观察端口是连接监控设备的端口，用于输出从镜像端口复制过来的报文。

• 观察端口组

  观察端口组是连接多个监控设备的一组端口。观察端口组中的多个成员端口分别连接多个监控设备，当使用观察端口组镜像报文时，镜像到观察端口组的报文将被复制到所有的成员端口。

端口镜像 

端口镜像是指设备复制一份从镜像端口流经的报文，并将此报文传送到指定的观察端口进行分析和监控，如图1所示。

图1 端口镜像示意图

端口镜像的方向分为三种：

• 入方向：仅对端口接收的报文进行镜像。

• 出方向：仅对端口发送的报文进行镜像。

• 双向：对端口接收和发送的报文都进行镜像。

 配置本地端口镜像 

以华为设备为例

1. 配置观察端口

   # 配置接口10GE1/0/2为本地观察端口。

   <HUAWEI> system-view
   [~HUAWEI] sysname SwitchA
   [*HUAWEI] commit
   [~SwitchA] observe-port 1 interface 10ge 1/0/2
   [*SwitchA] commit
   

2. 配置镜像端口

   # 配置接口10GE1/0/1为镜像端口，以监控Host发送的报文。

   [~SwitchA] interface 10GE 1/0/1
   [~SwitchA-10GE1/0/1] port-mirroring observe-port 1 inbound
   [*SwitchA-10GE1/0/1] commit
   [~SwitchA-10GE1/0/1] return
   

3. 验证配置结果

   # 查看端口镜像的配置情况。

   <SwitchA> display port-mirroring
     Observe port mirroring:
     ---------------------------------------------------
     MirroringPort         Direction        ObservePort 
     ---------------------------------------------------
     10GE1/0/1              Inbound                    1
     ---------------------------------------------------