利用交换机镜像点抓流量与分析协议

 以下信息是本人刚涉足IDC圈，整理的文档，三年过去….觉得当时写的不太好。但还是把它黏贴出来，一些理解错或者看不懂的，大家可以交流.现在关于流量，有了更全面的监控平台.对于实时捉交换机端口流量，solarwinds绝对是个首选。一些arp 或者要分析协议，还是要靠抓包软件去实现的.

相对我们公司涉及到一些交换机，如何做端口镜像，通过辅助抓包软件解析流量！我做个简单介绍，以下是IDC机房交换机的部分品牌：

D-Link 3226s

DES-3026

H3C-S3100-26TP-SI 

H3C-S2126-E0001P01  

H3C-S5024P-E0102P01 

TL-SL3226P

Cisco-3560

<b>D-Link 3226s 和 DES-3026</b>

登陆交换机主配置菜单------选择下面的Advanced setup------Mirroring Configurations（镜像配置）---- 把mirror Status选项设为Enabled，然后将Target Port 选项设置为Port24即为镜像端口，Port1端口监听模式点选为Both（即发送与接收的数据都同时监控），这样交换机就把1号端口（即2号端口至23端口，因为2-23的端口都是从1号进出流量）的数据随时随地都COPY了一份给Port 1，然后我们在Port 24上进行监听，Sniffer等抓包软件也就有了用武之地。

<a href="http://blog.51cto.com/attachment/201003/134740158.png" target="_blank"></a>

<b>H3C-S3100-26TP-SI</b>

<b>H3C-S2126-E0001P01  </b>

<b>H3C-S5024P-E0102P01</b>

<b> </b>

A.<b>web</b><b>登陆</b>

 登陆到交换机界面---端口管理----端口镜像

 镜像端口设置为24,被镜像口选为1号端口,其他不用管!

<a href="http://blog.51cto.com/attachment/201003/134835700.png" target="_blank"></a>

 <b>因为真如机房有个千兆H3C-S5024P</b><b>设备,1-4</b><b>端口接了4</b><b>个百兆交换机!</b>直接把1-4号设置为被镜像端口.这样利用sniffer就可以监听到底下哪台服务器流量跑高了,比如4号端口的交换机,碰巧客户没设置ip或者这个交换机不支持网管功能,抓不了包!我们把1-4号设置为被镜像端口,利用sniffer监听,看到哪台流量跑高了.知道他的ip后,就可以知道MAC地址,用dis mac-address 0046-e68c-7c2f   就可以发现该MAC地址是从哪个端口出来,然后进入该端口后,输入mac-address blackhole 0046-e68c-7c2f vlan 1.限制这个MAC在这个端口通信,取消的话,输入undo mac-address blackhole 0046-e68c-7c2f vlan 1.如果知道哪个柜子有问题,为了更清晰分析,那么我们只把那个端口做为被镜像端口.就OK

<b>判断华为中低端交换机是二层还是三层的简单方法</b>

看型号的第二位数字,0-4是二层交换机,5-9是三层交换机，如3026/5012因为第二位是0，所以只带二层功能，3526/3924/2952/5648因第二位是5/9/9/6,所以都是带三层功能的

B.<b>命令行登陆</b>

就拿H3CS5024P举个例子,其他型号我就不依依介绍了,大致一样!只是写千兆跟百兆注意下

要把GigabitEthernet 0/1端口上的报文复制到制定镜像端口GigabitEthernet 0/24上.

进入视图模式

Monitor-port GigabitEthernet 0/24

Mirroring-port GigabitEthernet 0/1

如果是1-4端口作为被镜像点

Mirroring-port GigabitEthernet 0/1 to GigabitEthernet 0/4

删除镜像端口

Undo monitor-port

删除被镜像端口

Undo Mirroring-port GigabitEthernet 0/1

显示被镜像端口配置信息

Show mirror

提示

：

<a href="http://blog.51cto.com/attachment/201003/134914969.png" target="_blank"></a>

<b>TL-SL3226P</b>

进入登陆界面-----端口管理----方向模式监控

监控模式选择为：输入输出监控   监控端口选：24号端口

被监控端口选1号端口

<a href="http://blog.51cto.com/attachment/201003/135005208.png" target="_blank"></a>

当然，你也可以把2-23设为被监控端口，24号端口为镜像端口。效果一样的！后面我会做个截图对照一下

<a href="http://blog.51cto.com/attachment/201003/135036677.jpg" target="_blank"></a>

<b>Cisco-3560</b>

要把1号端口的报文镜像到24号端口

monitor session 1 source interface Fa0/24

monitor session 1 destination remote interface F0/1

有些会涉及在vlan上做个端口镜像点

monitor session 1 destination remote vlan 11

关于屏蔽流量高的服务器

执行conf t，

mac-address static 0046-e68c-7c2f vlan 1 drop；限制通信

no mac-address static 0046-e68c-7c2f vlan 1 drop,取消限制

小技巧：机房备份好每个网段的MAC与ip对应表！经常更新。这对于我们找arp和ddos   的机器有很大的帮助！我个人是用科来网络这个软件自带MAC扫描工具，然后把数据备份到它自带的数据库。以方便网络故障分析

<b>关于用什么软件抓包？我平时用的就以下三种</b>

Sniffer     这个软件名字应该很熟悉了，对于不是很熟悉操作！可以到网上找个wolf培训视频教程

OmniPeek 功能非常非常强大！

科来网络   （推荐）相对不怎么熟悉一些协议，或者软件操作来说！这个很实用！易上手

现在用科来软件，对TL-SL3226P 做端口镜像做个介绍

打开 立即开始采集----选个网络适配器，然后确定！进入界面点“端点”，就可以看到详细信息。首先我把1号做为被控镜像点，24号为镜像点！如下图（因为我是远程抓的包，服务器一般会连不上，会很卡在那里，抓一会，我就把镜像关了，所以截的图，有些可能没显示那么全面）

<a href="http://blog.51cto.com/attachment/201003/135122885.jpg" target="_blank"></a>

下面这个图是2-23口做为被镜像口，24号口为镜像口

提示：因为科来这个软件是受限制，抓的ip只到50个，不限制是需要授权收费的，如果是捉真如那个s5024p的交换机，估计要用到sniffer或者OmniPeek，但也可以这样做，先用solarwinds抓，看到哪个端口流量跑高，再对那个端口做镜像！利用科来软件抓！

下面这个图是用OmniPeek 捉的图，因为我对这个软件不是很熟悉，还在学当中！供看一下，做个比较吧！

<a href="http://blog.51cto.com/attachment/201003/135539930.jpg" target="_blank"></a>

只是一些表面描述，需要对大家还是有点帮助.

    本文转自viong 51CTO博客，原文链接：http://blog.51cto.com/viong/287027，如需转载请自行联系原作者