埠鏡像

為了方便對一個或多個網路介面的流量進行分析（如IDS產品、網路分析儀等），可以通過配置交換機或路由器來把一個或多個埠（VLAN）的數據轉發到某一個埠，即埠鏡像，來實現對網路的監聽。

埠鏡像功能是對網路流量監控的一個有效的安全手段，對監控流量的分析可以進行安全性的檢查，同時也能及時地在網路發生故障時進行準確的定位。

鏡像的功能簡單地說就是將被監控流量鏡像到監控埠，以便對被監控流量進行故障定位、流量分析、流量備份等，監控埠一般直接與監控主機等相連。

監視到進出網路的所有數據包，供安裝了監控軟體的管理伺服器抓取數據，如網吧需提供此功能把數據發往公安部門審查。而企業出於信息安全、保護公司機密的需要，也迫切需要 網路中有一個埠能提供這種實時監控功能。在企業中用埠鏡像功能，可以很好的對企業內部的網路數據進行監控管理，在網路出現故障的時候，可以做到很好地故障定位。

(備註：交換機把某一個埠接收或發送的數據幀完全相同的複製給另一個埠；其中被複制的埠稱為鏡像源埠，複製的埠稱為鏡像目的埠。)

埠鏡像通常有以下幾種別名：

●Port Mirroring 通常指允許把一個埠的流量複製到另外一個埠，同時這個埠不能再傳輸數據。

●Monitoring Port 監控埠

●Spanning Port 通常指允許把所有埠的流量複製到另外一個埠，同時這個埠不能再傳輸數據。

●SPAN port 在 Cisco 產品中，SPAN 通常指 Switch Port ANalyzer。某些交換機的 SPAN 埠不支持傳輸數據。

●Link Mode port這樣，這些流量就可以被一個特殊的設備監控。它對發現和修理故障有很大的幫助。

埠鏡像根據不同的分類標準，鏡像類型也不一樣。

根據鏡像作用的埠模式來劃分，埠鏡像分為以下三種類型：

• 入口鏡像：只對從該埠進入的流量進行鏡像。

• 出口鏡像：只對該埠的發出的流量進行鏡像。

• 雙向鏡像：支持對該埠收到和發出的雙向流量進行鏡像。

根據鏡像功能劃分，埠鏡像分為兩種類型：

• 流鏡像：如果埠上配置了ACL並啟用，則認為是流鏡像。流鏡像只採集經過ACL過濾后的數據包，否則認為是純埠鏡像。對於ACL流量採集方式，支持在埠的方向（出向、入向和雙向三種）上綁定標準訪問列表和擴展訪問列表。

• 純埠鏡像：對埠進出的流量進行鏡像。

根據鏡像工作的範圍劃分，埠鏡像分為兩種類型：

• 本地鏡像：源埠和目的埠在同一個路由器上。

遠端鏡像：源埠和目的埠分佈在不同的路由器上，鏡像流量經過某種封裝，實現跨路由器傳輸。

SPAN(Switched Port Analyzer)的作用主要是為了給某種網路分析器提供網路數據流。

它既可以實現一個VLAN中若干個源埠向一個監控埠鏡像數據，也可以從若干個VLAN向一個監控埠鏡像數據。源埠的5號埠上流轉的所有數據流均被鏡像至10號監控埠，而數據分析設備通過監控埠接收了所有來自5號埠的數據流。值得注意的是，源埠和鏡像埠必須位於同一台交換機上(但也有例外，如Catalyst 6000系列交換機)；而且SPAN並不會影響源埠的數據交換，它只是將源埠發送或接收的數據包副本發送到監控埠。

在SPAN任務過程中，用戶可以通過參數控制，來指明需要監控的數據流種類；還可以將一個或多個端、口、一個或多個VLAN作為源埠，並將從這些埠中發送或接收的單向或雙向數據流傳送至監控埠。在Catalyst 4006交換機中，最多可以配置6個單向的SPAN任務：2個輸入數據流監控、4個輸出數據流監控。一個雙向SPAN任務實際上包含一個單向輸入和一個單向輸出。而且不僅僅二層交換埠可作為源埠，Catalyst 4006上的三層路由埠也可設置為源埠。

SPAN 任務不會影響交換機的正常工作。當一個SPAN任務被建立后，根據交換機所處的不同的狀態或操作，任務會處於激活或非激活狀態，同時系統會將其記入日誌。通過“show monitor session”命令可顯示SPAN的當前狀態。

如果遇到系統重新啟動的情況，在目的埠初始化結束之前，SPAN任務將處於非激活狀態。目的埠(監控埠)可以是交換機上的任意一個交換或路由埠。當一個目的埠處於激活狀態時，任何發送到該埠且與SPAN任務無關的數據包將會被丟棄。

一個目的埠只能處於一個SPAN任務中。當一個埠被配製成目的埠后就不能再成為源埠，同時冗餘鏈路埠也不能成為SPAN的目的埠。特別需要指出的是，如果一個 Trunk埠被配置成為SPAN的目的埠，則其Trunk功能也將自動停止。

源埠又可以稱作被監控埠。在一個SPAN任務中，可以有一個或多個源埠，而且可以根據用戶需要設置為輸入方向、輸出方向或雙向，但無論哪種情況，在一個SPAN任務中，所有源埠的被監控方向都必須是一致的。

在Catalyst 4006交換機上的VLAN也可以整體設置為源埠，這意味著被指定VLAN中的所有埠均為當前SPAN任務中的源埠。

Trunk埠可以單獨設為源埠，也可以與非Trunk埠一起被設置為源埠，但要注意的是，在監控埠不會識別來自Trunk埠針對不同VLAN的數據封裝格式，換句話說，在監控埠收到的數據包將無法辨明是來自哪個VLAN。

SPAN數據流主要分為三類：

(1)輸入數據流(Ingress SPAN)：指被源埠接收進來，其數據副本發送至監控埠的數據流；

(2)輸出數據流(Egress SPAN)：指從源埠發送出去，其數據副本發送至監控埠的數據流；

(3)雙向數據流(Both SPAN)：即為以上兩種的綜合。

基於VLAN的SPAN是以一個或幾個VLAN作為監控對象，其中的所有埠均為源埠，與基於埠的SPAN類似，基於VLAN的SPAN也分為輸入數據流、輸出數據流和雙向數據流監控三種類型。

在配置基於VLAN的SPAN任務過程中，應注意幾點：

(1)Trunk埠可以包含在源埠中；

(2)針對雙向SPAN任務，如果在源VLAN中的兩個源埠之間有數據交換，則每一個數據包將有兩個副本被轉發至鏡像埠；

(3)對有多個源VLAN的SPAN任務來說，如果某個源VLAN被刪除掉，則該VLAN也將從源VLAN列表中刪除；

(4)處於非激活狀態的VLAN無法參與SPAN任務；

(5)對於一個設置為輸入數據流監控的源VLAN來說，來自其他VLAN的路由信息數據包不會被鏡像；此外，從設置為輸出數據流監控的VLAN向其他VLAN發送出的路由信息數據包也同樣不會被鏡像。換句話說，基於VLAN的SPAN任務只對進出二層交換埠的數據包進行鏡像，而不鏡像VLAN之間的路由信息。

所有網間傳輸的非路由數據包，包括組播包和BPDU(橋接協議數據單元)包，都可以使用SPAN任務進行鏡像。

在一些SPAN任務的配置下，會出現同一個SPAN源埠數據包的多個副本被發送到 SPAN監控埠的情況。正像前面提到的那樣，在一個雙向SPAN任務中，假設a1和a2為源埠，d1為目的埠，如果a1與a2之間有數據包傳輸，則在a1傳向a2的數據包將會被傳送到d1兩次，反之亦然。

Cisco CATALYST交換機埠監聽配置

Cisco CATALYST交換機分為兩 種，在CATALYST家族中稱偵聽埠為分析端 口(analysis port)。

1、Catalyst 2900XL/3500XL/2950系列交換機埠監聽配 置 (基於CLI)

以下命令配置埠監聽：

port monitor

例 如，F0/1和F0/2、F0/3同屬VLAN1，F0/1監聽F0/2、F0/3埠：

interface FastEthernet0/1

port monitor FastEthernet0/2

port monitor FastEthernet0/3

port monitor VLAN1

2、Catalyst 4000，5000 and 6000系列交換機埠監聽配 置 (基於IOS)

以下命令配置埠監聽：

set span

例如，模塊1中埠1和埠2同屬VLAN1，埠3在VLAN2，埠4和5在VLAN2，埠2監聽端 口1和3、4、5，

set span 1/1，1/3-5 1/2

2950/3550/3750

格式如下：

#monitor session number source interface mod_number/port_number both

#monitor session number destination interface mod_mnumber/port_number

//rx-->指明是進埠的流量，tx-->出埠的流量 both 進出的流量

for example:

第一條鏡像，將第一模塊中的源埠為1-10的鏡像到埠12上面；

#monitor session 1 source interface 1/1-10 both

#monitor session 1 destination interface 1/12

第二條鏡像，將第二模塊中的源埠為13-20的鏡像到埠24上面；

#monitor session 2 source interface 2/13-20 both

#monitor session 2 destination interface 2/24

當有多條鏡像、多個模塊時改變其中的參數即可。

Catalyst 2950 3550不支持port monitor

C2950#configure terminal

C2950(config)#

C2950(config)#monitor session 1 source interface fastEthernet 0/2

!--- Interface fa 0/2 is configured as source port.

C2950(config)#monitor session 1 destination interface fastEthernet 0/3

!--- Interface fa0/3 is configured as destination port.

1. 指定分析口

feature rovingAnalysis add，或縮 寫 f r a，

例 如：

Select menu option: feature rovingAn alysis add

Select analysis slot: 1?& nbsp;

Select analysis port: 2

2. 指定監聽口並啟動埠監聽

feature rovingAnalysis start，或縮 寫 f r sta，

例 如：

Select menu option: feature rovingAn alysis start

Select slot to monitor ?(1-12): 1

Select port to monitor&nb sp;?(1-8): 3

3. 停止埠監 聽

feature rovingAnalysis stop，或縮 寫 f r sto

Intel 稱埠監聽為“Mirror Ports”。網路流量被監聽的埠稱作“源端 口”（Source Port），連接監聽設備的埠稱作“鏡像 口”（Mirror Port）。

配置埠監聽步驟如下：

1. 在 navigation菜單，點擊Statistics下的Mirror Ports，彈出Mirror Ports信 息。

2. 在Configure Source 列中點擊埠來選擇源埠，彈出Mirror Ports Configuration。

3. 進行源埠設 置：源埠是鏡像流量的來源口，鏡像口是接收來自源埠流量的端 口，點擊Apply確定。

可以選擇三種監聽的方 式：

1．連續（Always）：鏡像全部流量。

2．周期（Periodic）：在一定周期內 鏡像全部流量。鏡像周期在Sampling Interval configuration中設置。

3 ．禁止（Disabled）：關閉流量鏡像。

在Avaya交換機用戶手冊中，埠監 聽被稱為“埠鏡像”（Port Mirror）。

以下命令配置埠監聽：

{ set|clear } Port Mirror

設置埠偵 聽：set port mirror source-port ? mirror-port sampling { always | disable | periodic } [ max-packets-sec ?& nbsp;] [ piggyback-port ]?&nb sp;

禁止埠監 聽：clear port mirror

命令 中，mod-port-range指定埠的範圍；mod-port-spec指定特定的埠；piggyback-port指定雙向鏡像的埠；sampling指定鏡像周期；max-packets-sec僅在sampling設置為periodic時使用，指定監聽口每秒最多的數據報數量。

華為交換機用戶手冊中，埠監聽被稱為“埠鏡 像”（Port Mirroring）。

使用Huawei Lanswitch View管 理系統添加一個鏡像埠：

● 選 擇Device Setup或Stack Setup。

● 點 擊Port Mirroring。

● 點擊Add按 鈕。

● 對於堆疊，點擊Switch並從列表選擇一個交換 機。

● 點擊Reflect from並選擇流量將被鏡像的端 口。

● 點擊Reflect to並選上面所選擇的埠。