端口鏡像

為了方便對一個或多個網絡接口的流量進行分析（如IDS產品、網絡分析儀等），可以通過配置交換機或路由器來把一個或多個端口（VLAN）的數據轉發到某一個端口，即端口鏡像，來實現對網絡的監聽。

端口鏡像功能是對網絡流量監控的一個有效的安全手段，對監控流量的分析可以進行安全性的檢查，同時也能及時地在網絡發生故障時進行準確的定位。

鏡像的功能簡單地説就是將被監控流量鏡像到監控端口，以便對被監控流量進行故障定位、流量分析、流量備份等，監控端口一般直接與監控主機等相連。

監視到進出網絡的所有數據包，供安裝了監控軟件的管理服務器抓取數據，如網吧需提供此功能把數據發往公安部門審查。而企業出於信息安全、保護公司機密的需要，也迫切需要網絡中有一個端口能提供這種實時監控功能。在企業中用端口鏡像功能，可以很好的對企業內部的網絡數據進行監控管理，在網絡出現故障的時候，可以做到很好地故障定位。

(備註：交換機把某一個端口接收或發送的數據幀完全相同的複製給另一個端口；其中被複制的端口稱為鏡像源端口，複製的端口稱為鏡像目的端口。)

端口鏡像通常有以下幾種別名：

●Port Mirroring 通常指允許把一個端口的流量複製到另外一個端口，同時這個端口不能再傳輸數據。

●Monitoring Port 監控端口

●Spanning Port 通常指允許把所有端口的流量複製到另外一個端口，同時這個端口不能再傳輸數據。

●SPAN port 在 Cisco 產品中，SPAN 通常指 Switch Port ANalyzer。某些交換機的 SPAN 端口不支持傳輸數據。

●Link Mode port這樣，這些流量就可以被一個特殊的設備監控。它對發現和修理故障有很大的幫助。

端口鏡像根據不同的分類標準，鏡像類型也不一樣。

根據鏡像作用的端口模式來劃分，端口鏡像分為以下三種類型：

根據鏡像功能劃分，端口鏡像分為兩種類型：

根據鏡像工作的範圍劃分，端口鏡像分為兩種類型：

遠端鏡像：源端口和目的端口分佈在不同的路由器上，鏡像流量經過某種封裝，實現跨路由器傳輸。

SPAN(Switched Port Analyzer)的作用主要是為了給某種網絡分析器提供網絡數據流。

它既可以實現一個VLAN中若干個源端口向一個監控端口鏡像數據，也可以從若干個VLAN向一個監控端口鏡像數據。源端口的5號端口上流轉的所有數據流均被鏡像至10號監控端口，而數據分析設備通過監控端口接收了所有來自5號端口的數據流。值得注意的是，源端口和鏡像端口必須位於同一台交換機上(但也有例外，如Catalyst 6000系列交換機)；而且SPAN並不會影響源端口的數據交換，它只是將源端口發送或接收的數據包副本發送到監控端口。

在SPAN任務過程中，用户可以通過參數控制，來指明需要監控的數據流種類；還可以將一個或多個端、口、一個或多個VLAN作為源端口，並將從這些端口中發送或接收的單向或雙向數據流傳送至監控端口。在Catalyst 4006交換機中，最多可以配置6個單向的SPAN任務：2個輸入數據流監控、4個輸出數據流監控。一個雙向SPAN任務實際上包含一個單向輸入和一個單向輸出。而且不僅僅二層交換端口可作為源端口，Catalyst 4006上的三層路由端口也可設置為源端口。

SPAN 任務不會影響交換機的正常工作。當一個SPAN任務被建立後，根據交換機所處的不同的狀態或操作，任務會處於激活或非激活狀態，同時系統會將其記入日誌。通過“show monitor session”命令可顯示SPAN的當前狀態。

如果遇到系統重新啓動的情況，在目的端口初始化結束之前，SPAN任務將處於非激活狀態。目的端口(監控端口)可以是交換機上的任意一個交換或路由端口。當一個目的端口處於激活狀態時，任何發送到該端口且與SPAN任務無關的數據包將會被丟棄。

一個目的端口只能處於一個SPAN任務中。當一個端口被配製成目的端口後就不能再成為源端口，同時冗餘鏈路端口也不能成為SPAN的目的端口。特別需要指出的是，如果一個 Trunk端口被配置成為SPAN的目的端口，則其Trunk功能也將自動停止。

源端口又可以稱作被監控端口。在一個SPAN任務中，可以有一個或多個源端口，而且可以根據用户需要設置為輸入方向、輸出方向或雙向，但無論哪種情況，在一個SPAN任務中，所有源端口的被監控方向都必須是一致的。

在Catalyst 4006交換機上的VLAN也可以整體設置為源端口，這意味着被指定VLAN中的所有端口均為當前SPAN任務中的源端口。

Trunk端口可以單獨設為源端口，也可以與非Trunk端口一起被設置為源端口，但要注意的是，在監控端口不會識別來自Trunk端口針對不同VLAN的數據封裝格式，換句話説，在監控端口收到的數據包將無法辨明是來自哪個VLAN。

SPAN數據流主要分為三類：

(1)輸入數據流(Ingress SPAN)：指被源端口接收進來，其數據副本發送至監控端口的數據流；

(2)輸出數據流(Egress SPAN)：指從源端口發送出去，其數據副本發送至監控端口的數據流；

(3)雙向數據流(Both SPAN)：即為以上兩種的綜合。

基於VLAN的SPAN是以一個或幾個VLAN作為監控對象，其中的所有端口均為源端口，與基於端口的SPAN類似，基於VLAN的SPAN也分為輸入數據流、輸出數據流和雙向數據流監控三種類型。

在配置基於VLAN的SPAN任務過程中，應注意幾點：

(1)Trunk端口可以包含在源端口中；

(2)針對雙向SPAN任務，如果在源VLAN中的兩個源端口之間有數據交換，則每一個數據包將有兩個副本被轉發至鏡像端口；

(3)對有多個源VLAN的SPAN任務來説，如果某個源VLAN被刪除掉，則該VLAN也將從源VLAN列表中刪除；

(4)處於非激活狀態的VLAN無法參與SPAN任務；

(5)對於一個設置為輸入數據流監控的源VLAN來説，來自其他VLAN的路由信息數據包不會被鏡像；此外，從設置為輸出數據流監控的VLAN向其他VLAN發送出的路由信息數據包也同樣不會被鏡像。換句話説，基於VLAN的SPAN任務只對進出二層交換端口的數據包進行鏡像，而不鏡像VLAN之間的路由信息。

所有網間傳輸的非路由數據包，包括組播包和BPDU(橋接協議數據單元)包，都可以使用SPAN任務進行鏡像。

在一些SPAN任務的配置下，會出現同一個SPAN源端口數據包的多個副本被髮送到 SPAN監控端口的情況。正像前面提到的那樣，在一個雙向SPAN任務中，假設a1和a2為源端口，d1為目的端口，如果a1與a2之間有數據包傳輸，則在a1傳向a2的數據包將會被傳送到d1兩次，反之亦然。

Cisco CATALYST交換機端口監聽配置

Cisco CATALYST交換機分為兩 種，在CATALYST家族中稱偵聽端口為分析端 口(analysis port)。

1、Catalyst 2900XL/3500XL/2950系列交換機端口監聽配 置 (基於CLI)

以下命令配置端口監聽：

port monitor

例 如，F0/1和F0/2、F0/3同屬VLAN1，F0/1監聽F0/2、F0/3端口：

interface FastEthernet0/1

port monitor FastEthernet0/2

port monitor FastEthernet0/3

port monitor VLAN1

2、Catalyst 4000，5000 and 6000系列交換機端口監聽配 置 (基於IOS)

以下命令配置端口監聽：

set span

例如，模塊1中端口1和端口2同屬VLAN1，端口3在VLAN2，端口4和5在VLAN2，端口2監聽端 口1和3、4、5，

set span 1/1，1/3-5 1/2

2950/3550/3750

格式如下：

#monitor session number source interface mod_number/port_number both

#monitor session number destination interface mod_mnumber/port_number

//rx-->指明是進端口的流量，tx-->出端口的流量 both 進出的流量

for example:

第一條鏡像，將第一模塊中的源端口為1-10的鏡像到端口12上面；

#monitor session 1 source interface 1/1-10 both

#monitor session 1 destination interface 1/12

第二條鏡像，將第二模塊中的源端口為13-20的鏡像到端口24上面；

#monitor session 2 source interface 2/13-20 both

#monitor session 2 destination interface 2/24

當有多條鏡像、多個模塊時改變其中的參數即可。

Catalyst 2950 3550不支持port monitor

C2950#configure terminal

C2950(config)#

C2950(config)#monitor session 1 source interface fastEthernet 0/2

!--- Interface fa 0/2 is configured as source port.

C2950(config)#monitor session 1 destination interface fastEthernet 0/3

!--- Interface fa0/3 is configured as destination port.

1. 指定分析口

feature rovingAnalysis add，或縮 寫 f r a，

例 如：

Select menu option: feature rovingAn alysis add

Select analysis slot: 1?& nbsp;

Select analysis port: 2

2. 指定監聽口並啓動端口監聽

feature rovingAnalysis start，或縮 寫 f r sta，

例 如：

Select menu option: feature rovingAn alysis start

Select slot to monitor ?(1-12): 1

Select port to monitor&nb sp;?(1-8): 3

3. 停止端口監 聽

feature rovingAnalysis stop，或縮 寫 f r sto

Intel 稱端口監聽為“Mirror Ports”。 網絡流量被監聽的端口稱作“源端 口”（Source Port），連接監聽設備的端口稱作“鏡像 口”（Mirror Port）。

配置端口監聽步驟如下：

1. 在 navigation菜單，點擊Statistics下的Mirror Ports，彈出Mirror Ports信 息。

2. 在Configure Source 列中點擊端口來選擇源端口， 彈出Mirror Ports Configuration。

3. 進行源端口設 置：源端口是鏡像流量的來源口，鏡像口是接收來自源端口流量的端 口， 點擊Apply確定。

可以選擇三種監聽的方 式：

1．連續（Always）：鏡像全部流量。

2．週期（Periodic）：在一定週期內 鏡像全部流量。鏡像週期在Sampling Interval configuration中設置。

3 ．禁止（Disabled）：關閉流量鏡像。

在Avaya交換機用户手冊中，端口監 聽被稱為“端口鏡像”（Port Mirror）。

以下命令配置端口監聽：

{ set|clear } Port Mirror

設置端口偵 聽：set port mirror <mod-port-range> source-port ?<mod-port-range> mirror-port <mod-port-spec> sampling { always | disable | periodic } [ max-packets-sec <max-packets-sec-value>?& nbsp;] [ piggyback-port<mod-port-spec> ]?&nb sp;

禁止端口監 聽：clear port mirror <mod-port-range>

命令 中，mod-port-range指定端口的範圍；mod-port-spec指定特定的端口；piggyback-port指定雙向鏡像的端口；sampling指定鏡像週期；max-packets-sec僅在sampling設置為periodic時使用，指定監聽口每秒最多的數據報數量。

華為交換機用户手冊中，端口監聽被稱為“端口鏡 像”（Port Mirroring）。

使用Huawei Lanswitch View管 理系統添加一個鏡像端口：

● 選 擇Device Setup或Stack Setup。

● 點 擊Port Mirroring。

● 點擊Add按 鈕。

● 對於堆疊，點擊Switch並從列表選擇一個交換 機。

● 點擊Reflect from並選擇流量將被鏡像的端 口。

● 點擊Reflect to並選上面所選擇的端口。