鏡像簡介：
鏡像是指將通過指定端口（源端口或者鏡像端口）的報文復制一份到另外一個指定端口（目的端口或者觀察端口）。web
目的：
在網絡運營與維護的過程當中，為了便于業務監測和故障定位，網絡管理員時常要獲取設備上的業務報文進行分析。網絡
鏡像能夠在不影響設備對報文進行正常處理的狀況下，將鏡像端口的報文復制一份到觀察端口。網絡管理員經過網絡監控設備就能夠分析從觀察端口復制過來的報文，判斷網絡中運行的業務是否正常。svg
原理描述： 基本概念：
###鏡像端口和觀察端口：spa
在設備上應用鏡像功能時，若是鏡像過多，會占用較多的設備內部轉發帶寬，可能影響其余業務轉發。另外，若是鏡像端口與觀察端口的帶寬不一致，好比，鏡像端口的帶寬是/s，觀察端口的帶寬是/s，則有可能致使觀察端口因帶寬不足而不能及時轉發所有的鏡像報文鏡像端口是什么意思，發生丟包狀況。blog
鏡像方向：
鏡像方向是指將鏡像端口指定方向的報文復制到觀察端口，包括：索引
端口鏡像：
端口鏡像是指設備復制從鏡像端口流經的報文，并將此報文傳送到指定的觀察端口進行分析和監控。端口鏡像根據監控設備在網絡中位置的不一樣，分為本地端口鏡像和遠程端口鏡像。token
本地端口鏡像：
本地端口鏡像是指觀察端口與監控設備直接相連，此時觀察端口被稱為本地觀察端口。
遠程端口鏡像：
遠程端口鏡像是指觀察端口與監控設備經過中間網絡傳輸鏡像報文，此時觀察端口被稱為遠程觀察端口。
二層遠程端口鏡像是指遠程觀察端口與監控設備經過一個二層網絡相連。以下圖所示，二層遠程端口鏡像中鏡像報文的具體轉發過程以下。
圖：二層遠程端口鏡像示意圖 鏡像端口將流經的原始報文復制到遠程觀察端口。 遠程觀察端口收到鏡像端口復制過來的鏡像報文，在原來的VLAN標簽（）外層再添加一層VLAN標簽（），以便將鏡像報文向中間二層網絡轉發。值得注意的是，這一步不須要經過端口加入VLAN來完成，是直接經過配置遠程觀察端口來實現的。 在接收到遠程觀察端口發來的鏡像報文后，就將鏡像報文向監控設備轉發。為了實現這一步，須要將中間二層設備（）與遠程觀察端口、監控設備相連的端口加入，保證tchB、與監控設備間可以二層通訊。 流鏡像：
流鏡像是指在設備上配置必定的規則，將符合規則的特定業務流復制到觀察端口進行分析和監控。
VLAN鏡像：
VLAN鏡像是指將指定VLAN內全部活動接口的報文鏡像到觀察端口。用戶能夠對某個VLAN或者某些VLAN內的報文進行監控。
目前，華為S系列盒式交換機在應用VLAN鏡像時，僅支持將VLAN內活動接口入方向的報文鏡像到觀察端口。
同端口鏡像相似，根據監控設備在網絡中位置的不一樣鏡像端口是什么意思，VLAN鏡像也能夠分為本地VLAN鏡像和遠程VLAN鏡像。值得注意的是，遠程VLAN鏡像中，主機所在VLAN和用于轉發鏡像報文的中間二層網絡的VLAN不能相同。
MAC鏡像:
MAC鏡像是指將VLAN內匹配指定源或者目的MAC地址的報文鏡像到觀察端口。MAC地址鏡像提供了一種更加精確的鏡像方式，用戶能夠對網絡中特定設備的報文進行監控。
目前，華為S系列盒式交換機在應用MAC鏡像時，僅支持將VLAN內活動接口入方向匹配指定源或者目的MAC地址的報文鏡像到觀察端口。
端口鏡像配置命令：
observer-port [observer-port-index] interface-type interface-number [untag-packet] //配置單個本地觀察端口 observer-port [ observe-port-index ] interface-range { interface-type interface-number [ to interface-type interface-number ] } &<1-n> [ untag-packet ] //批量配置本地觀察端口 observer-port observe-port-index interface-range { add | delete } interface-type interface-number //向配置好的本地觀察端口組添加或者刪除本地觀察端口。 port-mirroring to observe-port observe-port-index { both | inbound | outboud } //將鏡像端口綁定到觀察端口 display observe-port //查看觀察端口的配置信息diaplay port-mirroring //查看鏡像功能的配置信息
注意：
通常觀察端口專門用于鏡像流量的轉發，所以不建議在上面配置其余業務，防止鏡像流量與其余業務流量在觀察端口上同時轉發會互相影響。
本地端口鏡像配置：
以下圖,Gi0/0/02為觀察端口，其余三個端口為鏡像端口。
圖：本地端口鏡像
配置命令：
[SW]dis current-configuration # sysname SW # observe-port 1 interface GigabitEthernet0/0/1 //觀察端口 # interface GigabitEthernet0/0/3 port-mirroring to observe-port 1 inbound port-mirroring to observe-port 1 outbound # interface GigabitEthernet0/0/4 port-mirroring to observe-port 1 inbound port-mirroring to observe-port 1 outbound # interface GigabitEthernet0/0/5 port-mirroring to observe-port 1 inbound port-mirroring to observe-port 1 outbound#
遠程端口鏡像：
以下圖,PC8為監控器，經過兩臺交換機實現對PC6,7出入流量的監控。
圖：遠程端口鏡像
配置命令：
<SW2>dis current-configuration # sysname SW2 # observe-port 1 interface GigabitEthernet0/0/3 vlan 10 //配置遠程觀察端口所屬VLAN10 # interface GigabitEthernet0/0/1 port-mirroring to observe-port 1 inbound port-mirroring to observe-port 1 outbound # interface GigabitEthernet0/0/2 port-mirroring to observe-port 1 inbound port-mirroring to observe-port 1 outbound # interface GigabitEthernet0/0/3 port link-type trunk port trunk allow-pass vlan 10 #
<SW3>display current-configuration # sysname SW3 # vlan batch 10 # interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 # interface GigabitEthernet0/0/2 port link-type access port default vlan 10 #
流鏡像配置示例：
以下圖，AR4設備監控源從源10.0.12.0地址的出去的流量。
圖：流鏡像
配置命令：
<AR2>dis current-configuration # sysname AR2 # observe-port interface GigabitEthernet0/0/1 # acl number 2000 rule 5 permit source 10.1.12.0 0.0.0.255# traffic classifier c1 operator or if-match acl 2000 # traffic behavior b1 mirror to observe-port # traffic policy p1 classifier c1 behavior b1 # interface GigabitEthernet0/0/0 ip address 10.1.12.2 255.255.255.0 mirror to observe-port inbound # interface GigabitEthernet0/0/1 ip address 10.1.24.2 255.255.255.0 traffic-policy p1 inbound traffic-policy p1 outbound # interface GigabitEthernet0/0/2 ip address 10.1.23.2 255.255.255.0 # ospf 1 area 0.0.0.0 network 10.1.12.0 0.0.0.255 network 10.1.23.0 0.0.0.255 network 10.1.24.0 0.0.0.255 #
參考文檔：華為HedEx文檔
