华为交换机配置基于ACL的二层远程流镜像示例

华为交换机配置基于ACL的二层远程流镜像示例

组网需求
如图所示，外部访问用户通过SwitchA访问公司的服务器，防病毒监控设备Server通过SwitchB与SwitchA相连。
现在公司官网被恶意攻击瘫痪，网络管理员希望Server能够远程对TCP端口号匹配WWW端口号的报文流进行分析，定位出恶意攻击源。
配置思路
进行如下配置，实现Server远程监控指定TCP端口号的流量：
    在SwitchA上配置接口GE1/0/2为二层远程观察端口，负责向绑定的VLAN转发镜像报文。
    在SwitchA上配置高级ACL，匹配的报文流为TCP端口号是WWW端口号的报文流。
    在SwitchA的接口GE1/0/1上配置基于ACL的流策略，对上述匹配的报文进行镜像。
    在SwitchB上创建VLAN，关闭该VLAN的MAC地址学习功能。配置接口加入VLAN，负责将观察端口发送过来的报文向Server转发。

操作步骤
    在SwitchA上配置观察端口
    # 在SwitchA上配置接口GE1/0/2为二层远程观察端口，绑定的VLAN为VLAN10。
    <HUAWEI> system-view
    [HUAWEI] sysname SwitchA
    [SwitchA] observe-port 1 interface gigabitethernet 1/0/2 vlan 10
    # 配置观察端口不再转发数据报文。该配置是可选推荐配置，配置后可使观察端口专门用于镜像报文的转发，防止镜像报文与其他业务的数据报文在观察端口上同时转发互相影响。当观察端口有其他VLAN转发报文时，不能配置该命令。
    [SwitchA] observe-port 1 forwarding disable
    在SwitchA上配置高级ACL
    # 在SwitchA上分别创建编号为3000的ACL，并配置ACL 3000的规则是匹配TCP端口号是WWW端口号的报文。
    [SwitchA] acl number 3000
    [SwitchA-acl-adv-3000] rule permit tcp destination-port eq www
    [SwitchA-acl-adv-3000] quit
    在SwitchA上配置基于ACL的流策略
    # 在SwitchA的接口GE1/0/1上配置基于ACL的流策略，对上述匹配的报文进行镜像。
    [SwitchA] interface gigabitethernet 1/0/1
    [SwitchA-GigabitEthernet1/0/1] traffic-mirror inbound acl 3000 to observe-port 1
    [SwitchA-GigabitEthernet1/0/1] return
    在SwitchB上创建VLAN，配置接口加入VLAN
    # 在SwitchB上创建VLAN10，关闭该VLAN的MAC地址学习功能，并将接口GE1/0/1和GE1/0/2加入VLAN10。
    该VLAN仅用于转发镜像报文，不要使用该VLAN进行其他业务转发。如果该VLAN已存在，且已学习到MAC地址，请在系统视图下执行undo mac-address vlan vlan-id命令删除该VLAN已学习到的所有MAC地址。
    <HUAWEI> system-view
    [HUAWEI] sysname SwitchB
    [SwitchB] vlan 10
    [SwitchB-vlan10] mac-address learning disable
    [SwitchB-vlan10] quit
    [SwitchB] interface gigabitethernet 1/0/1
    [SwitchB-GigabitEthernet1/0/1] port link-type access
    [SwitchB-GigabitEthernet1/0/1] port default vlan 10
    [SwitchB-GigabitEthernet1/0/1] quit
    [SwitchB] interface gigabitethernet 1/0/2
    [SwitchB-GigabitEthernet1/0/2] port link-type trunk
    [SwitchB-GigabitEthernet1/0/2] port trunk allow-pass vlan 10
    [SwitchB-GigabitEthernet1/0/2] return

    验证配置结果
    # 查看ACL规则和流行为信息。
    <SwitchA> display traffic-applied interface gigabitethernet 1/0/1 inbound
    -----------------------------------------------------------
    ACL applied inbound interface GigabitEthernet1/0/1
    ACL 3000
     rule 5 permit tcp  destination-port eq www (match-counter 0)
    ACTIONS:
     mirror to observe-port 1
    -----------------------------------------------------------

    # 查看观察端口的配置情况。
    <SwitchA> display observe-port
      ----------------------------------------------------------------------
      Index          : 1
      Untag-packet   : No
      Forwarding     : No
      Interface      : GigabitEthernet1/0/2
      Vlan           : 10
      ----------------------------------------------------------------------

    # 查看镜像端口的配置情况。
    <SwitchA> display port-mirroring
      ----------------------------------------------------------------------
      Observe-port 1 : GigabitEthernet1/0/2
      ----------------------------------------------------------------------
      Stream-mirror:
      ----------------------------------------------------------------------
           Behavior               Direction  Observe-port
      ----------------------------------------------------------------------
      1    SACL                   -          Observe-port 1
      ----------------------------------------------------------------------

镜像（列表、list、全）
http://www.zh-cjh.com/wenzhangguilei/1006.html
文章归类、所有文章列表、LISTLIST
http://www.zh-cjh.com/wangzhangonggao/2195.html