利用交换机的端口环回（或端口反射）功能接入多套镜像设备及故障处理

◆丁军 卢启明 余宙 袁锡文

（海南省地震局 海南 570203）

1 引言

随着网络安全形势的日益复杂，局域网内接收镜像数据的安全设备越来越多，如全流量监控设备、安全审计设备、入侵检测设备、网络协议分析设备等。为了全面了解网络状态，这些安全设备往往都要接在核心交换机上，可是核心交换机的镜像组数量有限，不一定都能满足接入的所有安全设备的镜像需求。例如海南地震局核心交换机组型号是华为CloudEngine 6850，该设备支持4 路镜像，但是科来全流量监控系统的内、外网和进、出方向流量监控已经把核心交换机组的4 路镜像资源全部用完，新的电子公文项目的安全审计设备和入侵检测设备无法接入核心交换机组获取镜像数据。采用镜像流量分流器可以解决镜像端口不足的问题，但是高端分流器价格不菲，需要走采购流程，项目完成时间紧迫不被允许，而低端分流器性能无法满足性能要求。采用增加交换机做远程端口镜像也可以解决这个问题，但是也要增加新的硬件设备。其实华为交换机有个端口内环回的功能，在不增加硬件设备的情况下，可以解决本地镜像端口不足的问题，本文将介绍华为交换机的端口内环回功能接入多套镜像设备的应用情况，H3C 交换机的端口也有类似功能，不过名称叫端口反射，原理和功能是一样的，也可以通过端口反射配置实现接入多套镜像设备。

2 原理

在华为交换机中，开启端口loopback internal 配置，利用以太……