2017年08月25日
对于中小企业的网络管理员来说管理企业内网数据流量的监控是非常重要的，一方面我们可以通过分析数据流量掌握企业内网的各个网络应用，另一方面在网络出现故障后可以在第一时间通过流量分析找出问题所在，同时如果要安装网路岗对局域网内的电脑进行全面的上网行为管理监控的话，那也需要有端口镜像交换机的支持才可以的。今天就我们就来一起来学习了解下如何通过配置端口镜像实现对网络数据的监控与统计。
一.为什么要配置端口镜像：
要想实现针对网络数据进行监控，我们当然直接可以将sniffer工具放置在网络出口处针对所有流出数据包进行监控，不过这样实施最大的问题就是平白无故增加了一个中间设备，当设备损坏或出现故障后网络传输会中断，从而影响了员工正常网络访问。即便设备没有问题也会因为增加节点带来速度缓慢的问题，这样也必然影响企业网络的整体运行效率。
为了解决这种直接拿真正出口作为监控端口的麻烦，资深的网络管理员都采用端口镜像的方法来平白无故创造一个与真实出口一模一样的端口，所有发放到内网各个接口或者传出端口的数据包都会重复复制后发送到这个镜像端口，这样我们就可以同时实现不影响网络传输性能的同时对数据流量进行监控了。
实施端口镜像后，正常的企业员工数据流量会以正常报文的方式传输到外部网络，而同时交换机，路由器会将正常报文原原本本的复制一份为镜像报文，并且将这个复制后的镜像报文传输到镜像端口，这样我们再通过网络分析设备或sniffer这样的网络抓包工具就可以实现对整个网络所有数据包的监视控制与统计了。
那么到底我们该如何针对路由交换设备部署其端口镜像呢?一般来说各个设备的部署方法各不相同，例如命令行配置下的CISCO与H3C在指令方面存在不同，而还有部分设备不需要一条条指令，全部操作直接在图形化界面完成即可。下面我们就来分别进行介绍。
二.H3C路由交换设备上配置端口镜像：
首先我们来了解下如何在命令提示界面下针对端口镜像进行配置，我们选择的是H3C公司出品的路由交换设备，当然CISCO设备配置步骤类似，只是具体指令有所区别而已。
第一步：首先我们访问路由交换设备的管理地址，通过正确的帐户名称与密码进入，使用super命令进入高级模式并通过sys进入配置模式。
第二步：我们使用如下命令来添加端口镜像。
[Quidway] mirroring-group 1 inbound Ethernet 3/1/1 mirrored-to Ethernet 3/1/48，这个指令的意思就是建立一个镜像对应群组关系，我们命令为1，当然同一个路由交换设备他的不同mirroring-group是通过这个序号来区别的，接下来的inbound表示是传入方向的数据进行镜像，之后则是把Ethernet 3/1/48端口设置为Ethernet 3/1/1接口的镜像，通过监控Ethernet 3/1/48接口实现对流入Ethernet 3/1/1接口数据包的监视与统计。
第三步：最后再通过SAVE或COPY run start等命令保存配置更改后就可以实现端口镜像功能了。我们把网络分析设备或sniffer工具连接到Ethernet 3/1/48接口来分析流入Ethernet 3/1/1接口的网络数据包。
小提示：
当然在我们配置端口镜像时是可以实现将多个端口对应一个镜像的，我们可以通过“接口1 接口2 mirrored-to 镜像端口”命令来实现将多个端口对应一个镜像接口，另外还可以通过“接口1 to 接口8 mirrored-to 镜像端口”来实现将1到8这几个端口对应一个镜像接口的功能。在使用网路岗时，也需要交换机配置镜像后才可以正常监控（注：如果是非旁路监控的话，网路岗不需要交换机配置镜像端口的），我们建议是配置一对一的端口镜像，这样配置效果最好，把交换机上总出口的数据镜像到网路岗所连的端口，这样能监控到所有数据，而且对交换机的性能影响不大，多对一的端口镜像相对一对一的镜像比较耗交换机的资源。
三.图形化界面下镜像端口的设置：
当然除了CISCO与H3C公司的产品外，我们还经常会碰到不少中低端路由交换产品，他们同样具备设置镜像端口的功能，而且这类设备在界面显示方面更加人性化，配置都可以通过图形选择来完成。这里不再一一举例。
四，总结：
镜像端口功能帮助我们这些企业网络管理员更好的掌握企业内网运行状态，提高了排查故障的速度，同时可以在网络出现问题前分析数据包实现防患于未燃的目的。通过网络协议分析设备和sniffer等软件我们可以将数据包信息保存成文件来妥善保管，为日后调查阅览提供数据支持。
五，镜像交换机品牌
主流的可管理的交换机大多数都具备端口镜像功能，因为端口镜像功能属于交换机的基本功能了，大多数企业可能在监控管理网络，分析网络数据时都会用到交换机的端口镜像功能，所以说中小企业在部署网络时，主交换机应当选择好一些的可网管的交换机，这样当网络出问题时或是要监控管理网络时，都可以通过配置交换机的端口镜像来实现。