[技术]各类交换机端口镜像配置
1、 什么是端口镜像
把交换机一个或多个端口（VLAN）的数据镜像到一个或多个端口的方法。端口镜像（Port Mirroring）可以让用户将所有的流量从一个特定的端口复制到一个镜像端口。如果您的交换机提供端口镜像功能，则允许管理人员自行设置一个监视管理端口来监视被监视端口的数据。监视到的数据可以通过PC上安装的网络分析软件来查看，通过对数据的分析就可以实时查看被监视端口的情况。
端口镜像选取的设备原则为网络中连接重要服务器群的交换机或路由器，或是连接到网通的出口路由器。
2、 为什么需要端口镜像
通常为了部署流量分析、IDS等产品需要监听网络流量，但是在目前广泛采用的交换网络中监听所有流量有相当大的困难，因此需要通过配置交换机来把一个或多个端口（VLAN）的数据转发到某一个端口来实现对网络的监听。
3、 端口镜像的别名
端口镜像通常有以下几种别名：
●Port Mirroring
通常指允许把一个端口的流量复制到另外一个端口，同时这个端口不能再传输数据。
●Monitoring Port
监控端口
●Spanning Port
通常指允许把所有端口的流量复制到另外一个端口，同时这个端口不能再传输数据。
●SPAN port
在 Cisco 产品中，SPAN 通常指 Switch Port ANalyzer。某些交换机的 SPAN 端口不支持传输数据。
●Link Mode port
4、 支持端口镜像的交换机
大多数中档以上的交换机都支持端口镜像功能，但支持程度不同。
5、 各种交换机端口镜像配置
大多数三层交换机和部份两层交换机，具备端口镜像功能，不同的交换机或不同的型号，镜像配置方法的有些区别，下面我们提供常见交换机的镜像配置方法：
Cisco CATALYST交换机端口监听配置
CISCO CATALYST交换机分为两种，在CATALYST家族中称监听端口为分析端口(analysis port)。
1、Catalyst 2900XL/3500XL/2950系列交换机端口监听配置(基于CLI)
以下命令配置端口监听：
port monitor
例如，F0/1和F0/2、F0/5同属VLAN1，F0/1监听F0/2、F0/5端口：
interface FastEthernet0/1
port monitor FastEthernet0/2
port monitor FastEthernet0/5
port monitor VLAN1
cisco:3550 IOS端口映射的举例
monitor session 1 source interface Fa0/32 both
以上命令的意思是：在监控组，组"1"的设置中，将Fa0/32的流量作为"源数据"。命令的后面还有选项分别是rx,tx,both。rx意思是仅将该接口接收的流量作为"源数据"。tx的意思是仅将该接口发送的流量作为"源数据"。both的意思是将该接收进出的流量都作为"源数据"。其中f0/32口是上行到出口路由器的口，所以这里设置此口监控。
这样设置的问题是，公司内部PC-PC之间的流量是监控不到的。而cisco设备又只能设置一个"both"状态的口。所以这个是相对比较好的设置方案。
monitor session 1 destination interface Fa0/5
以上命令的意思是：在监控组，组"1"的设置中，将Fa0/5作为监控的目的口，也就是监控服务器所插的口。设置完成后，该口将接收到监控组组"1""源接口"，在这里也
就是Fa0/32的数据。
注意cisco设备一旦设置了监控后，监控的目的口将不会再接收三层数据。通常的理解就
是："会断网"。
Catalyst 4000/5000/6000系列交换机端口监听配置(基于CatOS)
支持2组镜像
En
Show module (确认端口所在的模块)
Set span source(mod/port) destination(mod/port) in|out|both inpkts enable
Write tern all
Show span
注：多个source：mod/port,mod/port-mod/port 连续端口用横杆“－”，非连续端口用逗号“，”
set span enable 允许镜像
set span disable 禁止镜像
set span source destination in|out|both inpkts enable create (create用于建立第二组镜像)
以下命令配置端口监听：
set span
例如，模块6中端口1和端口2同属VLAN1，端口3在VLAN2，端口4和5在VLAN2，端口2监听端口1和3、4、5，
set span 6/1,6/3-5 6/2
3COM交换机端口监听配置
在3COM交换机中，端口监听被称为“Roving Analysis”。 网络流量被监听的端口称作“监听口”（Monitor Port），连接监听设备的端口称作“分析口”（Analyzer Port）。
以下命令配置端口监听：
指定分析口
feature rovingAnalysis add，或缩写 f r a
例如：
Select menu option: feature rovingAn alysis add
Select analysis slot: 1
Select analysis port: 2
指定监听口并启动端口监听
feature rovingAnalysis start，或缩写 f r sta
例如：
Select menu option: feature rovingAn alysis start
Select slot to monitor (1-12): 1
Select port to monitor&nb sp; (1-8): 3
停止端口监听
feature rovingAnalysis stop，或缩写 f r sto
DELL交换机端口监听配置
在Dell交换机中，端口监听被称为“端口镜像”（Port Mirroring）。使用交换机的管理界面，参数如下：
Destination Port（目的地端口）：定义端口通信要镜像到的端口号；
Source Port（源端口）：定义被镜像端口的端口号。
Add（添加）：添加端口镜像操作。
Type（类型）：指定要镜像的端口通信类型。 可能的字段值包括：“RX”-表示镜像进入网络的数据；“TX”-表示镜像流出网络的数据；Both（）–表示镜像所有数据。
Status（状态）：表示端口的状态。 可能的字段值包括： “Active”-表示端口被启用；“Not Active”-表示端口被禁用。
Remove（删除）：删除端口镜像会话。 可能的字段值包括： “已选取”-删除端口镜像会话；“未选取”-保留端口镜像会话。
具体设置：
1、在Port Mirroring对话框中的Destination Port中选中目的端口（镜像端口），再单击Add按钮；
2、在系统将打开“Add Source Port”（添加源端口）页面中，定义“Source Port”（源端口）和“Type”（类型）字段，并单击“Apply Changes”（应用更改）， 使系统接收更改。
（注：如果需要从端口镜像会话删除副本端口，请打开“Port Mirroring”（端口镜像）页面，选取“Remove”（删除）复选框，再单击“Apply Changes”（应用更改）。 系统将删除端口镜像会话，并更新设备。）
以下命令配置端口监听：
指定分析口
CLI 命令实例：
Console(config)# interface ethernet 1/e1
Console(config-if)# port monitor 1/e8
Console# show ports monitor
Source port Destination Port Type Status
———– —————- —– ——-
1/e1 1/e8 RX, TX Active
NetCore交换机端口监听配置
NetCore交换机中，端口监听被称为“端口镜像”（Port Mirroring）。
交换机提供四种监视状态：
Off 关闭Mirror功能
Rx 捕获被监视端口的接收数据
Tx 捕获被监视端口的发送数据
Both 捕获被监视端口的接收和发送的数据
进入NetCore的超级终端，在主菜单中输入“5”进入端口镜像设置界面，输入“1”设置端口镜像状态。
如设置端口1为镜像端口，端口8为被镜像端口，捕获该端口的接收和发送数据。
配置命令如下：
1. 选择配置的选项 (1,off, 2.Rx, 3.Tx, 4.Both) ：4
2. 选择捕获端口：1
3. 选择被镜像端口：8
Intel交换机端口监听配置
Intel 称端口监听为“Mirror Ports”。 网络流量被监听的端口称作“源端口”（Source Port），连接监听设备的端口称作“镜像口”（Mirror Port）。
配置端口监听步骤如下：
● 在navigation菜单，点击Statistics下的Mirror Ports，弹出Mirror Ports信息。
● 在Configure Source 列中点击端口来选择源端口， 弹出Mirror Ports Configuration。
● 进行源端口设置：
● 源端口是镜像流量的来源口，镜像口是接收来自源端口流量的端口。
● 点击Apply确定
可以选择三种监听的方式：
1．连续（Always）：镜像全部流量。
2．周期（Periodic）：在一定周期内 镜像全部流量。镜像周期在Sampling Interval configuration中设置。
Avaya交换机端口监听配置
在Avaya交换机用户手册中，端口监听被称为“端口镜像”（Port Mirror）。
以下命令配置端口监听：
{set|clear } Port Mirror
设置端口侦听：
set port mirror source-port
mirror-portsampling { always } [ max-packets -sec
] [ piggyback-port ]
禁止端口监 听：
clear port mirror
命令中，
mod-port-range 指定端口的范围；
mod-port-spec 指定特定的端口；
piggyback-port 指定双向镜像的端口；
sampling 指定镜像周期；
max-packets-sec 仅在sampling设置为periodic时使用，指定监听口每秒最多的数据报数量。
港湾交换机的配置
conf mirr 1 to 24 (设置镜像端口24）
conf mirr 1 add port 21,25 in (需要镜像的端口入流量）
conf mirr 1 add port 21,25 eg (需要镜像的端口出流量）
conf mirr 1 dis (消除镜像）
北电交换的设置
Passport8600的做端口镜像的命令(在86的cli接口下做)
实际上这些工作都可以在Java Device Manager下面做(一个非常直观的图形化配置工具)
1.第一步config diag mirror-by-port enable true
打开端口镜像功能
2.config diag mirror-by-port 1 create in-port 3/46 out 3/2
这句话的意思就是创建一个端口镜像条目1(1只是一个id用来区别不同条目)
被镜像的端口是3/46,3/2就是用于接Sniffer的端口
3.config diag mirror-by-port 1 mode both
这句话意思是被镜像的端口的双向流量都要被Monitor
用完之后要config diag mirror-by-port enable false
华为交换机端口监听配置
华为6506R：
如：mirroring-group 1 inband gigabitethernet 1/0/0 mirroring to gigabitethernet 1/0/1
把该交换机的1/0/0端口，镜像到1/0/1
华为s8512
下面为将4/1的出流量和入流量全部境像到4/2上：
Mirroring-group 1 outbound 4/1 mirrored-to 4/2
Mirroring-group 2 inbound 4/1 mirrored-to 4/2
华为VRP S3526 ver3.1
华为交换机用户手册中，端口监听被称为“端口镜像”（Port Mirroring）。
使用Huawei Lanswitch View管理系统添加一个镜像端口：
选择 Device Setup或Stack Setup。
点击 Port Mirroring。
点击 Add按钮。对于堆叠，点击Switch并从列表选择一个交换机。
点击 Reflect from并选择流量将被镜像的端口。
点击 Reflect to并选上面所选择的端口上的
HP交换机端口监听配置
全局模式（conf ter）：
mirror-port a6 (a6为接流量分析软件的端口)
int a1-a3,a5,vlan20,trk2,mesh monitor (设置a1,a2,a3,a5,trunk2 mesh为被境像的端口，即源端口)
show monitor （显示境像设置结果）
ctrl+z
write memory （保存）
Extreme 交换机
特点：
●只能创建多对一或者一对一的镜像端口
●可以监听 VLAN 的流量
●Extreme 会镜像 IN 和 OUT 的流量。这就意味着在镜像 VLAN 的时候，会看到一个报文至少两次——从 VLAN 的某个端口出来，并且进入 VLAN 的另一个端口。
版本高于4.1的 Extreme 交换机端口镜像配置方法
{enable | disable} mirroring on port
开启/关闭端口镜像功能，并且指定镜像流量从何端口流出，port-no 只能是一个端口
configure mirroring { add | delete } { vlan | port }
指定镜像哪个或哪些 VLAN 或端口的流量 { vlan | port } 部分可以重复多次。
版本低于 4.1 的 Extreme 交换机端口镜像配置方法
enable mirror to port port-no
开启端口镜像功能，并且指定镜像流量从何端口流出，port-no 只能是一个端口
disable mirror
关闭端口镜像功能
config mirror add port
镜像端口 port-no 的流量，如果这个端口包含多个 VLAN 这些流量都会被镜像到目的端口
config mirror add port vlan
镜像端口 port-no 中指定 VLAN 的流量
config mirror add vlan
镜像端口中指定 VLAN 的所有端口的流量
config mirror del port
取消对 port-no 的端口镜像
config mirror del vlan
取消对指定 VLAN 的端口镜像
show mirror
显示端口镜像情况
Foundry 交换机
特点：
●可以创建多对多的端口镜像
Foundry 交换机端口镜像配置方法
在配置模式中（Configuration Mode）：
interface
port monitor { { rx | tx | both}}
确定镜像流量从哪个端口流出，修改此端口配置
指定要镜像哪些端口的哪些流量（rx 指接收的流量，tx 指发送的流量，both 指双向流量），{ { rx | tx | both}} 部分可以重复
Juniper 交换机
特点：
●每交换机只能有一个监听端口
●只能镜像 IPv4 的流量
●只能镜像发送（transit only）的流量，不能镜像接收的流量
Juniper M 系列和 T 系列端口镜像配置方法
usen@router# show forwarding-options port- mirroring { input {family inet; rate ; run- length ;} output interface {next-hop
;} no-filter-check;} }
选择将抽样的流量发送到哪个目的端口
user@router# show firewall filter mirror-sample from {…} then {sample; accept;}
定义抽样过滤器，选择感兴趣的流量
user@router# show interface unit 0 family inet filter {input mirror-sample;}
选择将抽样的过滤器应用到某个端口
端口镜像的风险
加重交换机负载，造成设备不稳定
在某些情况下会丢包，不能保证 100% 镜像流量。例如，由于多个源端口镜像到一个目的端口，目的端口无法处理造成丢包
