啊，啊，啊
 新技能get。。
 终于懂了一点，什么叫 镜像口，什么叫 观察口
 
观察口 搜集 所有镜像口 的流量，进行 observe,进行观察，然后，只要将旁挂设备接到 观察口上，就可以 获取到 关于 所有 镜像口的 流量信息，然后进行分析。
 
配置信息如下：
 observe-port 1 interface GigabitEthernet1/0/4 //观察端口 接IDS、态势感知等
 
 
interface GigabitEthernet1/0/1
 port-mirroring to observe-port 1 inbound //镜像的接口
 port-mirroring to observe-port 1 outbound
 
 
interface GigabitEthernet1/0/2
 port-mirroring to observe-port 1 inbound
 port-mirroring to observe-port 1 outbound
 
 
interface GigabitEthernet1/0/4
 undo shutdown
 即可
 
上面这段代码，介绍的就是 GigabitEthernet1/0/4 作为 观察口，去观察 GigabitEthernet1/0/1 和 GigabitEthernet1/0/2 上通过的流量情况。

现在国家对信息安全越来越重视，各类网络安全产品应运而生。很多安全设备都是采集到网络流量后对数据进行分析，需要在交换机上做各种端口镜像。但是端口镜像会消耗掉大量交换机CPU资源，一般交换机最多只能支持做两到三个镜像，远远不能满足需求。目前市场上出现了一款专门用来解决这个问题的设备，叫流量复制器（TAP），可支持一到一、一到多、多到多等场景的数据复制，很好地解决了交换机镜像口不够的问题。如果有任何问题需要咨询请在这里留言，我将尽我所能帮助大家。
 

 

交换机同时设置多个观察口，解决镜像口不足问题

参考文章：
 
（1）交换机同时设置多个观察口，解决镜像口不足问题
 
（2）https://www.cnblogs.com/OpenCyberSec/p/11008194.html
 

备忘一下。

端口镜像
在交换以太网的环境下，一般两台工作站之间的通讯是不会被第三者侦听到的。在某些情况下，我们可能会需要进行这样的侦听，如：协议分析、流量分析、入侵检测。为此我们可以设置Cisco交换机的SPAN (Switched Port Analyzer交换端口分析器)特性, 或早期的“端口镜像”、“监控端口”功能。侦听的对象可以是一个或多个交换机端口，或者整个VLAN。如果要侦听的端口(“源端口”)或VLAN和连接监控工作站的端口(“目标端口”)在同一台交换机上，我们只需配置SPAN; 如果不在同一台交换机上，需要配置RSPAN (Remote SPAN)。把交换机一个（数个）端口（源端口）的流量完全拷贝一份，从另外一个端口（目的端口）发出去，以便网络管理人员从目的端口通过分析源端口的流量来找出网络存在问题的原因
 
思科交换机端口镜像配置
 
1、用端口镜像1来镜像3-23号端口
 
#monitor session 1 source interface Gi1/0/3 - 23
 
 
 
#monitor session 1 destination interface Gi1/0/1
 
2、删除镜像端口
 
  #no monitor session 1
 
 
H3C交换机端口镜像配置
 
1、进入配置模式：system-view；
 
 
 
2、创建本地镜像组：mirroring-group 1 local
 
 
 
3、为镜像组配置源端口：mirroring-group 1 mirroring-port 端口号  模式
 
 
 
4、为镜像组配置目的端口：mirroring-group 1 monitor-port  端口号  模式
 
华为交换机端口镜像配置
 
1.进入系统视图
 
#system-view
 
2.创建本地镜像组 1
 
#mirroring group 1 local
 
3.为本地镜像组配置源端口和目的端口。
 
#mirroring-group 1 mirroring-port GigabitEthernet 1/0/1 to GigabitEthernet 1/0/2 both
 
#mirroring-group 1 monitor-port GigabitEthernet 1/0/3
 
4.显示镜像组信息
 
#display mirroring-group 1