논리적 인터페이스에서 포트 미러링 구성

이 항목에서는 다음 정보에 대해 설명합니다.

• 레이어 2 포트 미러링 방화벽 필터 개요
• 논리적 인터페이스에서 수신 또는 전송된 패킷 미러링
• VLAN으로 전달되거나 플러딩된 패킷 미러링
• VPLS 라우팅 인스턴스로 전달되거나 플러드된 패킷 미러링

서비스 프로바이더 네트워크의 고객 대면 에지에서 프로바이더 에지(PE) 디바이스로 구성된 라우터 또는 스위치의 경우, 다음 수신 및 송신 지점에 레이어 2 포트 미러링 방화벽 필터를 적용하여 라우터 또는 스위치와 고객 에지(CE) 디바이스(일반적으로 라우터 및 이더넷 스위치이기도 함) 간의 트래픽을 미러링할 수 있습니다.

표 1 에서는 레이어 2 포트 미러링 방화벽 필터를 PE 디바이스로 구성된 라우터 또는 스위치에 적용할 수 있는 방법을 설명합니다.

어그리게이션 이더넷 인터페이스는 동일한 속도의 물리적 인터페이스 집합으로 구성되고 전이중 링크 연결 모드에서 작동하는 가상 어그리게이션 링크입니다. VPLS 라우팅 인스턴스를 위해 CE 디바이스와 PE 디바이스 간에 어그리게이션 이더넷 인터페이스를 구성할 수 있습니다. 트래픽은 어그리게이션 인터페이스의 모든 링크에서 로드 밸런싱됩니다. 어그리게이션 인터페이스에서 하나 이상의 링크에 장애가 발생하면 트래픽이 나머지 링크로 전환됩니다.

레이어 2 포트 미러링 방화벽 필터를 어그리게이션 이더넷 인터페이스에 적용하여 상위 인터페이스에서 포트 미러링 을 구성할 수 있습니다. 그러나 하위 인터페이스가 다른 레이어 2 포트 미러링 인스턴스에 바인딩된 경우 하위 인터페이스에서 수신된 패킷은 해당 포트 미러링 인스턴스에서 지정한 대상으로 미러링됩니다. 따라서 여러 하위 인터페이스가 패킷을 여러 대상으로 미러링할 수 있습니다.

예를 들어, 상위 어그리게이션 이더넷 인터페이스 인스턴스에 ae0 두 개의 하위 인터페이스가 있다고 가정해 보겠습니다.

• xe-2/0/0

• xe-3/1/2

의 이러한 하위 인터페이스가 ae0 두 개의 서로 다른 레이어 2 포트 미러링 인스턴스에 바인딩되었다고 가정해 보겠습니다.

• pm_instance_A- 하위 인터페이스에 xe-2/0/0바인딩된 레이어 2 포트 미러링의 명명된 인스턴스입니다.

• pm_instance_B- 하위 인터페이스에 xe-3/1/2바인딩된 레이어 2 포트 미러링의 명명된 인스턴스입니다.

이제 전송된 레이어 2 트래픽 ae0.0 (어그리게이션된 이더넷 인터페이스 인스턴스의 0논리적 단위0)에 레이어 2 포트 미러링 방화벽 필터를 적용한다고 가정해 보겠습니다. 이는 에서 ae0.0포트 미러링을 활성화하며, 이는 레이어 2 포트 미러링 속성이 지정된 하위 인터페이스에서 수신된 트래픽 처리에 다음과 같은 영향을 미칩니다.

• 에서 xe-2/0/0 수신된 패킷은 포트 미러링 인스턴스에서 pm_instance_A구성된 출력 인터페이스로 미러링됩니다.

• 에서 xe-3/1/2.0 수신된 패킷은 포트 미러링 인스턴스에서 pm_instance_B구성된 출력 인터페이스로 미러링됩니다.

및 pm_instance_B 은(는) 다른 패킷 선택 속성 또는 미러링 대상 속성을 지정할 수 있기 때문에 pm_instance_A 에서 xe-2/0/0 수신된 패킷은 다른 패킷을 다른 대상으로 미러링할 수 있습니다xe-3/1/2.0.

다음 단계는 글로벌 포트 미러링 인스턴스 및 포트 미러링 방화벽 필터를 사용하여 논리적 인터페이스에 대한 입력에 대한 레이어 2 포트 미러링을 구성하는 예를 설명합니다.

1. 외부 패킷 분석기가 포함된 VLAN example-bd-with-analyzer과 미러링되는 레이어 2 트래픽의 소스 및 대상이 포함된 VLAN example-bd-with-traffic을 구성합니다.

   content_copy zoom_out_map

   [edit]
   bridge-domains {
       example-bd-with-analyzer { # Contains an external traffic analyzer
           vlan-id 1000;
           interface ge-2/0/0.0; # External analyzer
       }
       example-bd-with-traffic { # Contains traffic input and output interfaces
           vlan-id 1000;
           interface ge-2/0/6.0; # Traffic input port 
           interface ge-3/0/1.2; # Traffic output port
       }
   }
   

   논리적 인터페이스가 ge-2/0/0.0 포트 미러링 패킷을 수신할 외부 트래픽 분석기와 연결되어 있다고 가정합니다. 논리적 인터페이스 ge-2/0/6.0 및 ge-3/0/1.2 가 각각 트래픽 입력 포트와 출력 포트가 될 것이라고 가정합니다.

2. 포트 미러링 대상이 외부 분석기와 연결된 VLAN 인터페이스(VLANexample-bd-with-analyzer의 논리적 인터페이스ge-2/0/0.0)가 되도록 글로벌 인스턴스에 대한 레이어 2 포트 미러링을 구성합니다. 이 포트 미러링 대상에 필터를 적용할 수 있는 옵션을 활성화해야 합니다.

   content_copy zoom_out_map

   [edit]
   forwarding-options {
       port-mirroring {
           input {
               rate 10;	
               run-length 5; 
           }
           family ethernet-switching {
               output {
                   interface ge-2/0/0.0; # Mirror packets to the external analyzer
                   no-filter-check; # Allow filters on the mirror destination interface 
               }
           }
       }
   }
   

   계층 수준의 문 [edit forwarding-options port-mirroring] 은 샘플링이 input 매 10번째 패킷마다 시작되고 선택된 처음 5개의 패킷이 각각 미러링되도록 지정합니다.

   계층 수준의 문 [edit forwarding-options port-mirroring family ethernet-switching] 은 output 브리징 환경에서 레이어 2 패킷에 대한 출력 미러 인터페이스를 지정합니다.

   • 외부 패킷 분석기와 연결된 논리적 인터페이스 ge-2/0/0.0는 포트 미러링 대상으로 구성됩니다.

   • 선택적 no-filter-check 문을 사용하면 이 대상 인터페이스에서 필터를 구성할 수 있습니다.

3. 레이어 2 포트 미러링 방화벽 필터를 example-bridge-pm-filter구성합니다.

   content_copy zoom_out_map

   [edit]
   firewall {
       family ethernet-switching {
           filter example-bridge-pm-filter {
               term example-filter-terms {
                   then {
                       accept; 
                       port-mirror;
                   }
               }
           }
       }
   }
   

   이 방화벽 필터가 브리징 환경에서 트래픽에 대한 논리적 인터페이스의 입력 또는 출력에 적용될 때, 레이어 2 포트 미러링 글로벌 인스턴스에 대해 구성된 입력 패킷 샘플링 속성 및 미러 대상 속성에 따라 레이어 2 포트 미러링이 수행됩니다. 이 방화벽 필터는 단일 기본 필터 동작 accept으로 구성되므로 속성(rate = 10 및 run-length =5)으로 input 선택한 모든 패킷이 이 필터와 일치합니다.

4. 논리적 인터페이스를 구성합니다.

   content_copy zoom_out_map

   [edit]
   interfaces {
       ge-2/0/0 { # Define the interface to the external analyzer 
           encapsulation ethernet-bridge;
           unit 0 {
               family ethernet-switching;
           }
       }
       ge-2/0/6 { # Define the traffic input port
           flexible-vlan-tagging;
           encapsulation extended-vlan-bridge; 
           unit 0 {
               vlan-id 100;
               family ethernet-switching {
                   filter {
                       input example-bridge-pm-filter; # Apply the port-mirroring firewall filter
                   }
               }
           }
       }
       ge-3/0/1 { # Define the traffic output port 
           flexible-vlan-tagging;
           encapsulation extended-vlan-bridge;
           unit 2 {
               vlan-tags outer 10 inner 20;
               family ethernet-switching;
           }
       }
   }
   

   VLAN example-bd-with-traffic 의 논리적 인터페이스에서 ge-2/0/6.0 수신된 패킷은 포트 미러링 방화벽 필터example-bridge-pm-filter에 의해 평가됩니다. 방화벽 필터는 방화벽 필터 자체에 구성된 필터 동작과 글로벌 포트 미러링 인스턴스에 구성된 입력 패킷 샘플링 속성 및 미러 대상 속성에 따라 입력 트래픽에 작용합니다.

   • 에서 ge-2/0/6.0 수신된 모든 패킷은 논리적 인터페이스의 ge-3/0/1.2(가정된) 정상 대상으로 전달됩니다.

   • 10개의 입력 패킷마다 해당 선택 항목의 처음 5개 패킷 사본은 다른 VLANexample-bd-with-analyzer의 논리적 인터페이스에 ge-0/0/0.0 있는 외부 분석기로 전달됩니다.

   작업 대신 accept 작업을 수행하도록 discard 포트 미러링 방화벽 필터를 example-bridge-pm-filter 구성하면 전역 포트 미러링 input 속성을 사용하여 선택한 패킷의 복사본이 외부 분석기로 전송되는 동안 모든 원본 패킷이 삭제됩니다.

다음 예는 완전한 구성은 아니지만 를 사용하여 family cccL2VPN에서 포트 미러링을 구성하는 데 필요한 모든 단계를 보여줍니다.

1. 외부 패킷 분석기가 포함된 VLAN port-mirror-bd을 구성합니다.

   content_copy zoom_out_map

   [edit]
   vlans {
       port-mirror-vlan { # Contains an external traffic analyzer
           interface ge-2/2/9.0; # External analyzer
       }
   }
   

2. 논리적 인터페이스 ge-2/0/1.0 와 논리적 인터페이스를 ge-2/0/1.1연결하도록 레이어 2 VPN CCC를 구성합니다.

   content_copy zoom_out_map

   [edit]
   protocols {
       mpls {
           interface all;
       }
       connections {
           interface-switch if_switch {
               interface ge-2/0/1.0;
               interface ge-2/0/1.1;
           }
       }
   }
   

3. 포트 미러링 대상이 외부 분석기와 연결된 VLAN 인터페이스(VLANexample-bd-with-analyzer의 논리적 인터페이스ge-2/2/9.0)가 되도록 글로벌 인스턴스에 대한 레이어 2 포트 미러링을 구성합니다.

   content_copy zoom_out_map

   [edit]
   forwarding-options {
       port-mirroring {
           input {
               rate 1;	
               maximum-packet-length 200; 
           }
           family ccc {
               output {
                   interface ge-2/2/9.0; # Mirror packets to the external analyzer
               }
           }
           instance {
               inst1 {
                   input {
                       rate 1;	
                       maximum-packet-length 300; 
                   }
                   family ccc {
                       output {
                           interface ge-2/2/9.0;
                       }
                   {
               }
           }
       }
   }
   

4. 에 대한 family ccc레이어 2 포트 미러링 방화벽 필터를 pm_filter_ccc 정의합니다.

   content_copy zoom_out_map

   [edit]
   firewall {
       family ccc {
           filter pm_filter_ccc {
               term pm {
                   then port-mirror;
               }
           }
       }
   }
   

5. 포트 미러 인스턴스를 섀시에 적용합니다.

   content_copy zoom_out_map

   [edit]
   chassis {
       fpc 2 {
           port-mirror-instance inst1;
       }
   }
   

6. VLAN에 대한 인터페이스를 ge-2/2/9 구성하고 방화벽 필터를 사용하여 pm_filter_ccc 포트 미러링을 위한 인터페이스를 ge-2/0/1 구성합니다.

   content_copy zoom_out_map

   [edit]
   interfaces {
       ge-2/2/9 {
           encapsulation ethernet-bridge;
           unit 0 {
               family ethernet-switching;
           }
       }
       ge-2/0/1 {
           vlan-tagging;
           encapsulation extended-vlan-ccc;
           unit 0 {
               vlan-id 10;
               family ccc {
                   filter {
                       input pm_filter_ccc;
                   }
               }
           }
           unit 1 {
               vlan-id 20;
               family ccc {
                   filter {
                       output pm_filter_ccc;
                   }
               }
           }
       }
   }
   

다음 예는 완전한 구성은 아니지만 통합 이더넷 링크를 사용하여 family ccc L2VPN에서 포트 미러링을 구성하는 데 필요한 모든 단계를 보여줍니다.

1. 외부 패킷 분석기가 포함된 VLAN port_mirror_bd을 구성합니다.

   content_copy zoom_out_map

   [edit]
   vlans {
       port_mirror_vlan { # Contains an external traffic analyzer
           interface ge-2/2/8.0; # External analyzer
       }
   }
   

2. 인터페이스 ae0.0 와 인터페이스를 ae0.1연결하도록 레이어 2 VPN CCC를 구성합니다.

   content_copy zoom_out_map

   [edit]
   protocols {
       mpls {
           interface all;
       }
       connections {
           interface-switch if_switch {
               interface ae0.0;
               interface ae0.1;
           }
       }
   }
   

3. 포트 미러링 대상이 외부 분석기와 연결된 VLAN 인터페이스(VLANexample_bd_with_analyzer의 논리적 인터페이스ge-2/2/9.0)가 되도록 글로벌 인스턴스에 대한 레이어 2 포트 미러링을 구성합니다.

   content_copy zoom_out_map

   [edit]
   forwarding-options {
       port-mirroring {
           input {
               rate 1;	
               maximum-packet-length 200; 
           }
           family ccc {
               output {
                   interface ge-2/2/8.0; # Mirror packets to the external analyzer
               }
           }
           instance {
               pm_instance_1 {
                   input {
                       rate 1;	
                       maximum-packet-length 300; 
                   }
                   family ccc {
                       output {
                           interface ge-2/2/8.0;
                       }
                   {
               }
           }
       }
   }
   

4. 에 대한 family ccc방화벽 필터를 pm_ccc 구성합니다.

   content_copy zoom_out_map

   [edit]
   firewall {
       family ccc {
           filter pm_ccc {
               term pm {
                   then port-mirror;
               }
           }
       }
   }
   

5. 어그리게이션 이더넷 인터페이스와 포트 미러 인스턴스를 섀시에 적용합니다.

   content_copy zoom_out_map

   [edit]
   chassis {
       aggregated-devices {
           ethernet {
               device-count 10;
           }
       }
       fpc 2 {
           port-mirror-instance pm_instance_1;
       }
   }
   

6. 필터를 사용하여 인터페이스 ae0 및 ge-2/0/2 (어그리게이션 이더넷의 경우) 및 ge-2/2/8 (포트 미러링의 경우)를 구성합니다.pm_ccc

   content_copy zoom_out_map

   [edit]
   interfaces {
       ae0 {
           vlan-tagging;
           encapsulation extended-vlan-ccc;
           unit 0 {
               vlan-id 10;
               family ccc {
                   filter {
                       input pm_ccc;
                   }
               }
           }
           unit 1 {
               vlan-id 20;
               family ccc {
                   filter {
                       output pm_ccc;
                   }
               }
           }
       }
       ge-2/0/2 {
           gigether-options {
               802.3ad ae0;
           }
       }
       ge-2/2/8 {
           encapsulation ethernet-bridge;
           unit 0 {
               family ethernet-switching;
           }
       }
   }