Для настройки удаленного зеркалирования, где дополнительно необходимо применить фильтрацию данного трафика, можно воспользоваться следующей схемой:
Где gi1/0/7 — контролируемый порт;
gi1/0/19 — аплинк;
gi1/0/8, gi1/0/20 — физическая петля для QinQ.
Для анализа трафика, проходящего через контролируемый порт gi1/0/7, настроено его зеркалирование (SPAN) на порт gi1/0/8. Важно отметить, что зеркалированная копия трафика сохраняет оригинальные VLAN-метки.
Далее порт gi1/0/8 физически соединен с портом gi1/0/20. На этом порту ко всему входящему зеркалированному трафику добавляется внешняя VLAN-метка 2001 (QinQ). Одновременно на порту gi1/0/19, который является конечным пунктом назначения, эта внешняя метка удаляется с помощью конфигурации general untagged.
Фильтрация трафика осуществляется на порту gi1/0/20 с помощью ACL. Для корректного применения политики используется физическая петля, которая обходит ограничение, связанное с порядком обработки трафика: стандартная исходящая политика (egress-policy) применяется на этапе, следующем за механизмом зеркалирования.
Например, необходимо выполнить фильтрацию зеркалируемого трафика сети 192.168.1.0 /24. Тогда конфигурация ключевых интерфейсов и ACL будет выглядеть следующим образом:
monitor session 1 destination interface gigabitethernet1/0/8
monitor session 1 source interface gigabitethernet1/0/7 both
!
ip access-list extended TEST
deny ip any any 192.168.1.0 0.0.0.255 any ace-priority 20
permit ip any any any any ace-priority 40
exit
!
interface gigabitethernet1/0/8
spanning-tree disable
spanning-tree bpdu filtering
switchport forbidden default-vlan
exit
!
interface gigabitethernet1/0/20
spanning-tree disable
spanning-tree bpdu filtering
service-acl input TEST
switchport mode customer
switchport customer vlan 2001
exit
!
interface gigabitethernet1/0/19
switchport mode general
switchport general allowed vlan add 2001 untagged
switchport forbidden default-vlan
exit
Таким образом, комбинация SPAN, QinQ, ACL и физической петли позволяет построить гибкий механизм зеркалирования. В результате на порт gi1/0/19 поступает трафик, который был отфильтрован по заданным правилам (в примере — исключив подсеть 192.168.1.0/24), прошел VLAN-маркировку и был возвращен в исходное состояние, готовый для передачи на анализатор пакетов.
Комментарии (11)