华为交换机配置基于MQC的二层远程流镜像示例

华为交换机配置基于MQC的二层远程流镜像示例

组网需求
如图所示，外部访问用户通过SwitchA访问公司的服务器，防病毒监控设备Server通过SwitchB与SwitchA相连。
现在公司官网被恶意攻击瘫痪，网络管理员希望Server能够远程对TCP端口号匹配WWW端口号的报文流进行分析，定位出恶意攻击源。
配置思路
进行如下配置，实现Server远程监控指定TCP端口号的流量：
    在SwitchA上配置接口GE1/0/2为二层远程观察端口，负责向绑定的VLAN转发镜像报文。
    在SwitchA上配置流分类，匹配的报文流为TCP端口号是WWW端口号的报文流；配置流行为，将报文镜像到观察端口。
    在SwitchA上配置流镜像策略，绑定创建的流分类和流行为，并在接口GE1/0/1上应用流策略。
    在SwitchB上创建VLAN，关闭该VLAN的MAC地址学习功能。配置接口加入VLAN，负责将观察端口发送过来的报文向Server转发。
操作步骤
    在SwitchA上配置观察端口
    # 在SwitchA上配置接口GE1/0/2为二层远程观察端口，绑定的VLAN为VLAN10。
    <HUAWEI> system-view
    [HUAWEI] sysname SwitchA
    [SwitchA] observe-port 1 interface gigabitethernet 1/0/2 vlan 10
    # 配置观察端口不再转发数据报文。该配置是可选推荐配置，配置后可使观察端口专门用于镜像报文的转发，防止镜像报文与其他业务的数据报文在观察端口上同时转发互相影响。当观察端口有其他VLAN转发报文时，不能配置该命令。
    [SwitchA] observe-port 1 forwarding disable
    在SwitchA上配置流分类
    # 在SwitchA上创建流分类c1，并配置流分类规则为匹配TCP端口号是WWW端口号的报文。
    [SwitchA] acl number 3000
    [SwitchA-acl-adv-3000] rule permit tcp destination-port eq www
    [SwitchA-acl-adv-3000] quit
    [SwitchA] traffic classifier c1
    [SwitchA-classifier-c1] if-match acl 3000
    [SwitchA-classifier-c1] quit
    
    在SwitchA上配置流行为
    # 在SwitchA上创建流行为b1，并配置流行为是流镜像，将指定报文流镜像到观察端口GE1/0/2。
    [SwitchA] traffic behavior b1
    [SwitchA-behavior-b1] mirroring to observe-port 1
    [SwitchA-behavior-b1] quit

    除X系列单板外，对于其他支持配置出方向流镜像的单板，配置出方向流镜像时，不能再配置其他流行为（V100R006及之前版本的流量统计功能除外），V200R001至V200R010版本创建流行为时默认生成的permit动作也必须删除，否则出方向流镜像不生效。
    在SwitchA上配置流策略并应用到接口上
    # 在SwitchA上创建流策略p1，将流分类和对应的流行为进行绑定，并将流策略应用到接口GE1/0/1的入方向上，对指定TCP端口号的流量进行监控。
    [SwitchA] traffic policy p1
    [SwitchA-trafficpolicy-p1] classifier c1 behavior b1
    [SwitchA-trafficpolicy-p1] quit
    [SwitchA] interface gigabitethernet 1/0/1
    [SwitchA-GigabitEthernet1/0/1] traffic-policy p1 inbound
    [SwitchA-GigabitEthernet1/0/1] return
    在SwitchB上创建VLAN，配置接口加入VLAN
    # 在SwitchB上创建VLAN10，关闭该VLAN的MAC地址学习功能，并将接口GE1/0/1和GE1/0/2加入VLAN10。
    该VLAN仅用于转发镜像报文，不要使用该VLAN进行其他业务转发。如果该VLAN已存在，且已学习到MAC地址，请在系统视图下执行undo mac-address vlan vlan-id命令删除该VLAN已学习到的所有MAC地址。
    <HUAWEI> system-view
    [HUAWEI] sysname SwitchB
    [SwitchB] vlan 10
    [SwitchB-vlan10] mac-address learning disable
    [SwitchB-vlan10] quit
    [SwitchB] interface gigabitethernet 1/0/1
    [SwitchB-GigabitEthernet1/0/1] port link-type access
    [SwitchB-GigabitEthernet1/0/1] port default vlan 10
    [SwitchB-GigabitEthernet1/0/1] quit
    [SwitchB] interface gigabitethernet 1/0/2
    [SwitchB-GigabitEthernet1/0/2] port link-type trunk
    [SwitchB-GigabitEthernet1/0/2] port trunk allow-pass vlan 10
    [SwitchB-GigabitEthernet1/0/2] return

    验证配置结果
    # 查看流分类的配置信息。
    <SwitchA> display traffic classifier user-defined c1
      User Defined Classifier Information:
       Classifier: c1
        Precedence: 5
        Operator: OR
        Rule(s) : if-match acl 3000

    # 查看流策略的配置信息。
    <SwitchA> display traffic policy user-defined p1
      User Defined Traffic Policy Information:
      Policy: p1
       Classifier: c1
        Operator: OR
         Behavior: b1
          Permit
          Mirroring  to observe-port 1

    # 查看观察端口的配置情况。
    <SwitchA> display observe-port
      ----------------------------------------------------------------------
      Index          : 1
      Untag-packet   : No
      Forwarding     : No
      Interface      : GigabitEthernet1/0/2
      Vlan           : 10
      ----------------------------------------------------------------------

    # 查看镜像端口的配置情况。
    <SwitchA> display port-mirroring
      ----------------------------------------------------------------------
      Observe-port 1 : GigabitEthernet1/0/2
      ----------------------------------------------------------------------
      Stream-mirror:
      ----------------------------------------------------------------------
           Behavior               Direction  Observe-port
      ----------------------------------------------------------------------
      1    b1                     -          Observe-port 1
      ------------------------------------------------------------

镜像（列表、list、全）
http://www.zh-cjh.com/wenzhangguilei/1006.html
文章归类、所有文章列表、LISTLIST
http://www.zh-cjh.com/wangzhangonggao/2195.html