鏡像技術(shù)
發(fā)布作者：微思網(wǎng)絡 發(fā)布時間：2024-04-29 瀏覽量：0次
鏡像可以在不影響交換機/路由器等網(wǎng)絡設備報文正常處理流程的情況下，將指定源的報文復制一份到目的端口。目的端口與監(jiān)控設備直接或間接相連，監(jiān)控設備上安裝了分析軟件，可以對報文進行分析。
當網(wǎng)絡中存在攻擊或出現(xiàn)故障時，網(wǎng)絡管理員可以通過鏡像功能對報文進行獲取并分析，找到攻擊源或故障原因。
根據(jù)鏡像源的不同，鏡像可以分為端口鏡像、流鏡像、VLAN鏡像、MAC鏡像。例如端口鏡像代表將指定端口入方向、出方向、或者出入方向的報文復制到目的端口。
根據(jù)目的端口與監(jiān)控設備間的連接方式，鏡像可以分為本地鏡像和遠程鏡像。
點擊鏈接查看往期文章：
端口鏡像是將網(wǎng)絡設備上指定端口接收或發(fā)送的報文復制到目的端口，可以只復制端口接收或者發(fā)送的報文，也可以同時復制接收和發(fā)送的報文。指定端口稱為鏡像端口，目的端口稱為觀察端口。
如下圖所示，DeviceA上的鏡像端口在接收或發(fā)送報文的時候，會將報文復制一份到觀察端口。觀察端口再將復制的原始報文發(fā)送給監(jiān)控設備。
端口鏡像示意圖
當觀察端口和監(jiān)控設備直連時稱為本地鏡像。當觀察端口和監(jiān)控設備間不是直連，而是通過二層網(wǎng)絡或三層網(wǎng)絡相連時稱為遠程鏡像。
目的端口通過二層網(wǎng)絡與監(jiān)控設備相連的場景稱為二層遠程鏡像RSPAN（Remote Switched Port Analyzer）。
目的端口通過三層網(wǎng)絡與監(jiān)控設備相連的場景稱為三層遠程鏡像ERSPAN（Encapsulated Remote Switched Port Analyzer）。
如下圖所示，遠程端口鏡像場景，觀察端口將復制的報文發(fā)送給監(jiān)控設備前會添加一層VLAN Tag或進行GRE封裝，便于復制的報文能夠穿過中間的二層網(wǎng)絡/三層網(wǎng)絡，到達監(jiān)控設備。
遠程端口鏡像示意圖
其他類型的鏡像方式原理與端口鏡像類似，例如：
流鏡像是將符合指定規(guī)則的報文流復制到觀察端口。
VLAN鏡像是將指定VLAN內(nèi)所有活動接口的入方向/出方向的報文復制到觀察端口。
MAC鏡像將指定VLAN內(nèi)源MAC地址或目的MAC地址為指定MAC地址的報文復制到觀察端口。
網(wǎng)絡維護過程中會遇到需要對報文進行獲取和分析的情況，例如懷疑有攻擊報文，此時需要在不影響報文轉(zhuǎn)發(fā)的情況下，對報文進行獲取和分析。
鏡像可以在不影響報文正常處理流程的情況下，將鏡像端口的報文復制一份到觀察端口，用戶利用數(shù)據(jù)監(jiān)控設備來分析復制到觀察端口的報文，進行網(wǎng)絡監(jiān)控和故障排除。
鏡像功能主要用于網(wǎng)絡檢測和故障管理，可能涉及使用個人用戶某些通信內(nèi)容。本公司無法單方采集或存儲用戶通信內(nèi)容。建議您只有在所適用法律法規(guī)允許的目的和范圍內(nèi)方可啟用相應的功能。在使用、存儲用戶通信內(nèi)容的過程中，您應采取足夠的措施以確保用戶的通信內(nèi)容受到嚴格保護。
開啟鏡像功能會占用設備的帶寬資源，導致設備處理業(yè)務的性能下降，嚴重時可能會影響業(yè)務。因此鏡像功能使用后需要及時關(guān)閉，避免影響設備業(yè)務流量的轉(zhuǎn)發(fā)性能。
端口鏡像和流鏡像都屬于鏡像。區(qū)別在于，端口鏡像是將鏡像端口所有入方向/出方向的報文復制到觀察端口；而流鏡像會對端口入方向/出方向的報文進行篩選，只有滿足匹配條件的報文才會被復制到觀察端口。流鏡像中可以通過ACL或相關(guān)的配置命令指定具體的匹配條件。
