二层网络服务-流量镜像

二层网络服务-流量镜像

Scroll Down

一、流量镜像

流量镜像技术是将指定接口多个接口指定VLAN的流量复制一份到交换机的另一个端口上。管理员可以通过配置,告诉交换机哪些端口的流量需要进行监控,然后将这些接口的流量复制一份,发送给另一个安装了流量监控软件的接口,以便进行流量分析。

span3.png

简单的打个比方说就是三层交换机的进出口流量复制一份,一般复制到运行流量分析的服务器的接口上

二、流量镜像(思科技术)

1、SPAN

SPAN是将指定接口/多个接口/指定VLAN的流量复制一份到同交换机的另一个端口上。可以镜像源端口的出站流量,也可以镜像源端口的入站流量。然后将镜像的流量发送到目的端口,目的端口运行wireshark等流量分析工具。SPAN也有缺点:

  • 无法跨交换机镜像流量:SPAN支持对某个VLAN流量的监控,但是无法捕获分布在多台交换机上的特定VLAN的全部流量(采用RSPAN解决)
  • 接口带宽限制:无法将40Gbps的镜像流量镜像到一个10Gbps端口上

span2.png

在配置SPAN前,需要了解几个概念:SPAN的端口角色、端口流量方向、SPAN会话

  • SPAN定义了两种端口:源端口目的端口。源端口表示需要镜像流量的端口,目的端口表示流量镜像到该端口。
  • 端口流量方向:可以镜像源端口的inoutboth方向的流量,无论是2层还是3层端口都可以配置成SPAN源端口。
  • SPAN会话是一组源端口和目的端口的关联,每个SPAN会话中可配置一个/多个源端口,也可以将会话流量镜像到一个/多个目的端口上。

不同交换机平台对SPAN的能力需要根据官网参数来

SPAN支持源VLAN,表示源VLAN的所有端口是SPAN源端口,每个SPAN会话只能在端口或VLAN之间任选其一,不能同时配置。SPAN的目的端口不存在所谓的流量方向问题

配置SPAN

1st. 定义SPAN源端口:monitor session session-id source interface g0/0/0 {both | rx | tx}
2nd. 定义SPAN源VLAN:monitor session session-id source vlan vlan-id {both | rx | tx}
3rd. 定义SPAN目的端口/VLAN:monitor session session-id source {int g0/0/0 | vlan vlan-id }
4th. 验证SPAN会话:show monitor

最佳实践

span1.png
需求:将g0/1接口的流量镜像到g0/2上

SW#
monitor session 10 source int g0/1 both
monitor session 10 destination int g0/2 
show monitor

2、RSPAN

RSPAN是远程镜像端口技术,将SPAN特性从单台交换机扩展到了多台交换机上。RSPAN将远程流量镜像到本地交换机端口上,无需将抓包工具物理连接到远程交换机上。

理解RSPAN:所有参与RSPAN会话的交换机都需要配置RSPAN VLAN,通过RSPAN VLAN这个虚拟通道来实现跨交换机的流量镜像。源端口的被监控流量将被注入到RSPAN VLAN中,通过该通道到达跨越了多个交换机的目的交换机的RSPAN VLAN中。随后通过RSPAN VLAN注入到目的交换机的目的端口中。

  • trunk可以承载RSPAN VLAN的流量
  • 了解性:在某些交换机平台中,配置RSPAN VLAN的同时,需要指定一个反射端口,反射端口作用就是将从源端口复制下来的流量反射到RSPAN VLAN中。实际流量不走反射端口,配置反射端口仅仅是某些平台的硬件限制。每个反射端口每次只能应用在一个会话中。

配置RSPAN

配置的时候需要注意:

  • 镜像流量流经过的交换机都需要配置RSPAN VLAN
  • 源和目的交换机之间的trunk链路需要放通RSPAN VLAN
  • RSPAN使用两个SPAN会话,一个用于源(配置在源交换机上),一个用于目的(配置在目的交换机上)

1st. 定义RSPAN VLAN:
vlan vlan-id
name RSPAN VLAN
remote-span
exit
2nd. 定义源交换机源端口:monitor session session-id source {int g0/0/0 | vlan vlan-id}
3rd. 定义源交换机的目的端口为RSPAN VLAN:monitor session session-id destination remote vlan vlan-id
4th. 定义目的交换机的源端口为RSPAN VLAN:monitor session session-id source remote vlan vlan-id
5th. 定义目的交换机的目的端口:monitor session session-id destination {int g0/0/0 | vlan vlan-id}

最佳实践

span4.png
需求:配置RSPAN将SW3 g0/1的流量镜像到SW1 g0/2。(从左至右依次为SW1、SW2、SW3)

SW1#
vlan 199
name RSPAN VLAN
remote vlan
exit

monitor session 1 source remote vlan 199
monitor session 1 destination int g0/2

int g0/0
sw tr allow vlan add 199 

SW2#
vlan 199
name RSPAN VLAN
remote vlan
exit

int range TRUNK-LINK
sw tr allow vlan add 199 

SW3#
vlan 199
name RSPAN VLAN
remote vlan
exit

monitor session 1 source int g0/1
monitor session 1 destination remote vlan 199

int g0/0
sw tr allow vlan add 199 

三、流量镜像(华为技术)

镜像端口指流量源端口,本地观察端口指转发到的目的端口,远程观察端口指转发到远程目的端口。S5700支持将多镜像端口复制到一个观察端口上,支持将一个镜像端口复制到多个观察端口上。

配置流量镜像

1st. 定义观察端口:observe-port 1 int g0/0/1 {to g0/0/10}
2nd. 定义镜像源:镜像VLAN、镜像端口
定义镜像VLAN:
int vlan x
port-mirroring to observe-port 1 {both | inbound | outbound}
定义镜像端口:
int g0/0/0
port-mirroring to observe-port 1 {both | inbound | outbound}

查看镜像端口:dis port-mirroring

查看观察端口:dis observe-port