CN101068248A - 远程镜像方法、镜像源设备及镜像目的设备 - Google Patents

Abstract

本发明公开了一种远程镜像方法、镜像源设备及镜像目的设备，其中方法包括：对镜像源设备端口的被监控流量进行复制，并在复制的被监控流量以太网数据帧外封装新以太网帧头形成镜像数据帧，所述新以太网帧头包括镜像VLAN Tag、新源MAC地址与新目的MAC地址；根据所述新目的MAC地址转发由所述镜像数据帧构成的镜像流量至镜像目的设备；剥离所述新镜像流量中的所述新以太网帧头，还原所述被监控流量。采用本发明，可以实现对目的MAC地址所指出口为该流量入口的被监控流量的成功镜像，且无需关闭镜像设备的MAC学习功能，也无需在中间设备上配置重定向策略，实现简单，成本低，网络管理与维护工作量小，镜像可靠性高。

Description

远程镜像方法、镜像源设备及镜像目的设备

技术领域

本发明涉及镜像技术，尤其是一种远程镜像方法、镜像源设备及镜像目的设备。

背景技术

近几年来，随着城域网用户规模不断扩大，城域网的流量也不断增长，在可管可控、业务区分、服务质量、网络安全、新业务支持能力、可扩展性等方面，对城域网的要求越来越高。远程镜像技术可以对整网流量进行监控，与入侵检测系统(Intrusion Detection System，以下简称：IDS)技术结合，还可以进行用户流量进行过滤、对用户主机进行防攻击与防病毒，还可以对不同业务提供不同的服务质量(quality of service，以下简称：QOS)，并且，现有的交换机中的交换芯片大多支持端口镜像功能，为此，远程镜像技术已成为目前监控网络流程的常用手段。

镜像技术就是将被监控流量复制并将复制的流量，也即：镜像流量，转发到监控设备的技术，其中的监控设备为安装有流量监控软件，以对镜像流量进行监控的服务器或工作站。远程镜像技术使用虚拟局域网(Virtual LocalArea Network，以下简称：VLAN)技术，将被监控端口(Port，以下简称：P)，即：被监控流量流入或流出的端口所在的镜像源设备、与监控设备所连接的镜像目的设备以及两设备之间构成镜像流量通路的所有中间设备组成一个虚拟局域网，该虚拟局域网称为镜像VLAN，镜像源设备对原始被监控流报文基础上封装一个802.1Q协议规定的镜像VLAN标签(Tag)，封装后的镜像流量在镜像VLAN中被转发至镜像目的设备，镜像目的设备接收到携带有镜像VLAN Tag的镜像流量后，剥离其中携带的镜像VLAN Tag，将其还原为原始被监控流量发送给监控设备进行监控。

如图1所示，为现有远程镜像技术镜像VLAN的结构示意图，该镜像VLAN包括镜像源设备，第一中间设备与第二中间设备，镜像目的设备和监控设备，其中，第一主机与第二主机分别通过输入PA与PA’接入镜像源设备，该镜像VLAN分别通过监控镜像源设备输入PA与PA’的流量可以监控连接到镜像源设备输入端口的第一主机与第二主机上的流量。镜像源设备上设有输出PB与PB’，第一中间设备上设有输入PC与PC’、输出PD与PD’，第二中间设备上设有输入PE与输出PF，镜像目的设备上设有输入PG与PG’、输出PH，第一主机与第二主机的镜像路径可以是PA-PB-PC-PD-PG-PH，或者PA-PB-PC-PD’-PG’-PH，或者PA-PB’-PE-PF-PC-PD-PG-PH，或者PA-PB’-PE-PF-PC’-PD’-PG-PH，可以通过上述任意一条镜像路径将PA上的流量镜像到监控设备上。同样，可以通过PA’-PB-PC-PD-PG-PH，或者PA’-PB-PC-PD’-PG’-PH，或者PA’-PB’-PE-PF-PC-PD-PG-PH，或者PA’-PB’-PE-PF-PC’-PD’-PG-PH镜像路径将PA’上的流量镜像到监控设备上。

以图1所示的镜像路径PB-PC-PD-PG为例，现有的远程镜像技术存在如下技术问题：如果需要同时监控第一主机与第二主机上发出与接收的流量，则第一主机与第二主机的媒介访问控制(Media Access Controller，以下简称：MAC)地址会学习到第一中间设备的PC与镜像目的设备的PG上，但是，由于在流量目的MAC地址所指出口为该流量入口时可能会引起流量的循环转发，第一中间设备与镜像目的设备中的交换芯片通常都会有源端口检查功能，即：丢弃端口收到的目的MAC地址学习在该端口的报文，这就会使得访问第一主机与第二主机的流量，包括两主机互访的流量，无法镜像成功。

目前，现有技术中采用了以下两种方法来避免现有的远程镜像技术中存在的上述问题：

第一种方法是关闭掉镜像VLAN中所有设备的MAC学习功能，包括镜像源设备、中间设备与镜像目的设备。但是，关闭MAC学习功能时需要在镜像相关的所有设备进行手工配置，这就提高了网络管理和维护的成本；需要镜像VLAN中所有的镜像设备都支持基于镜像VLAN关闭MAC学习功能的特性，而现有的作为中间设备的交换设备大部分不支持该特性。

第二种方法是采用重定向方法避开中间设备中的交换芯片转发逻辑，在第一中间设备上配置重定向策略，不再根据镜像流量的以太网数据帧的帧头中的目的MAC地址查询二层转发表，直接将以太网数据帧由输入PC“引”到输出PD。但是，该方法至少存在如下问题：只能在中间设备上静态配置转发策略，配置方式不灵活；必须在VLAN中的所有中间设备上分别配置转发策略，网络管理与维护工作量大；由于在中间设备上限定了输入端口与输出端口的一一对应关系，这就唯一确定了镜像路径，这样，在该镜像路径链路发生故障时，无法使用备份链路，降低了镜像功能的可靠性。

发明内容

本发明实施例所要解决的技术问题是：在不关闭镜像设备的MAC学习功能且不在中间设备上配置重定向策略的情况下，实现对被监控流量目的MAC地址所指出口为该流量入口的被监控流量的成功镜像。

根据本发明的一个方面，提供的一种远程镜像方法，包括以下步骤：

对镜像源设备端口的被监控流量进行复制，并在复制的被监控流量以太网数据帧外封装新以太网帧头形成镜像数据帧，所述新以太网帧头包括镜像VLAN Tag、新源MAC地址与新目的MAC地址；根据所述新目的MAC地址转发由所述镜像数据帧构成的镜像流量至镜像目的设备；剥离所述新镜像流量中的所述新以太网帧头，还原所述被监控流量。

根据本发明的另一个方面，提供的一种镜像源设备，包括：

第一输入端口，用于接收被监控流量；

镜像模块，与所述第一输入端口连接，用于对所述被监控流量进行复制；

封装模块，与所述镜像模块连接，用于在复制的所述被监控流量以太网数据帧外封装新以太网帧头形成镜像数据帧，所述新以太网帧头包括镜像VLAN Tag、新源MAC地址与新目的MAC地址；

第一转发模块，与所述封装模块连接，用于根据所述新目的MAC地址，将由所述镜像数据帧构成的镜像流量转发给相应的输出端口；

第一输出端口，与所述第一转发模块连接，用于发送所述镜像流量。

根据本发明的又一个方面，提供的一种镜像目的设备，包括：

第二输入端口，用于接收外层封装有新以太网帧头的镜像数据帧；

第二转发模块，与所述第二输入端口连接，用于根据新以太网帧头中的新目的MAC地址，将由所述镜像数据帧构成的镜像流量转发往相应的输出端口；

剥离模块，与所述第二转发模块连接，用于剥离所述镜像数据帧中的所述新以太网帧头，还原被监控流量；

第二输出端口，与所述剥离模块连接，用于发送所述被监控流量。

本发明的实施例在镜像源设备复制的被监控端口的原始被监控流量以太网数据帧外封装新以太网帧头，按照新以太网帧头中携带的新目的MAC地址来转发被监控流量，而屏蔽原始被监控流量以太网数据帧帧头中的MAC地址，在镜像目的设备中再剥离新以太网帧头还原被监控流量，从而实现对被监控流量目的MAC地址所指出口为该流量入口的被监控流量的成功镜像。与现有技术中采用的上述两种方法相比，本发明实施例无需基于镜像VLAN关闭镜像设备的MAC学习功能，无需对中间设备增加任何配置，也无需在中间设备配置重定向策略，实现简单，且可以节省改进中间设备所需的成本，减少网络管理与维护的工作量；并且可以在镜像VLAN中采用备份链路，有效提高了镜像功能的可靠性。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

图1为现有远程镜像技术镜像VLAN的结构示意图。

图2为本发明镜像源设备实施例的结构示意图。

图3为本发明镜像目的设备实施例的结构示意图。

图4为由本发明的镜像源设备与镜像目的设备构成的远程镜像系统实施例的结构示意图。

图5为由本发明的镜像源设备与镜像目的设备构成的远程镜像系统另一实施例的结构示意图。

图6为本发明远程镜像方法实施例的流程图。

具体实施方式

本发明的实施例通过镜像源设备在复制的被监控流量以太网数据帧外封装新以太网帧头形成镜像数据帧，按照新以太网帧头中的新目的MAC地址来转发镜像数据帧，而屏蔽原始被监控流量以太网数据帧帧头中的MAC地址，在镜像目的设备中再剥离新以太网帧头还原被监控流量，从而实现更简单、更有效、更经济和更可靠的远程镜像功能。

如图2所示，为本发明镜像源设备实施例的结构示意图，该实施例的镜像源设备包括依次连接的第一输入端口11、镜像模块12、封装模块13、第一转发模块14与第一输出端口15。其中，第一输入端口11可以有多个，分别用于接收该第一输入端口11所连接的、待监控流量的主机上流入或流出的流量；镜像模块12用于对第一输入端口11上流过的被监控流量进行复制；封装模块13用于在复制的被监控流量以太网数据帧外封装新以太网帧头形成新镜像流量，该新以太网帧头包括镜像VLAN Tag、新镜像源MAC地址与新镜像目的MAC地址，根据以太网数据帧封装的协议规定，新镜像源MAC地址与新镜像目的MAC地址不同；另外，还可以进一步要求新镜像源MAC地址与新镜像目的MAC地址均不同于被监控流量以太网数据帧帧头中的源MAC地址与目的MAC地址。其中，新镜像源MAC地址可以为桥MAC地址，即：该镜像源设备的MAC地址，新镜像目的MAC地址可以为广播MAC地址FFFF-FFFF-FFFF，也可以是对镜像流量进行监控的监控设备的MAC地址；第一转发模块14用于根据新目的MAC地址，查询用于存储标识MAC地址与输出端口之间对应关系的转发表中与新目的MAC地址对应的输出端口，将由镜像数据帧构成的镜像流量转发给相应的输出端口，这里的输出端口为第一转输出口15；第一输出端口15用于发送接收到的镜像流量，将该镜像流量发送给连接的中间设备或镜像目的设备的输入端口，该第一转输出口15也可以有多个。图2所示的实施例中示出了仅有一个第一输入端口11及第一输出端口15的情况，若有多个第一输入端口11及第一输出端口15，各第一输入端口11与镜像模块12的连接关系相同，各第一输出端口15与第一转发模块14的连接关系也相同。

上述图2所示的镜像源设备中，还可以包括分别与封装模块13连接的第一存储模块16、第二存储模块17与第三存储模块18。其中，第一存储模块16用于存储镜像VLAN Tag；第二存储模块17用于存储新源MAC地址，该新源MAC地址可以是桥MAC地址，即：镜像源设备1的MAC地址；第三存储模块18用于存储新目的MAC地址，该新目的MAC地址可以是广播MAC地址FFFF-FFFF-FFFF，还可以是监控设备的MAC地址。封装模块13分别从第一存储模块16、第二存储模块17与第三存储模块18中选择镜像VLANTag、新源MAC地址与新目的MAC地址，由此生成新以太网帧头并封装在复制的原始被监控流量外。

另外，图2所示的镜像源设备中，还可以进一步包括第四存储模块19，与第一转发模块14连接，用于存储标识MAC地址与输出端口之间对应关系的转发表。新镜像目的MAC地址为监控设备的MAC地址时，第一转发模块14查询转发表中与新目的MAC地址对应的输出端口，并将镜像流量转发给相应的第一输出端口15。

如图3所示，为本发明镜像目的设备实施例的结构示意图，该实施例的镜像目的设备包括依次连接的第二输入端口21、第二转发模块22、剥离模块23与第二输出端口24。其中，第二输入端口21可以为多个，与镜像源设备或中间设备的输出端口连接，用于接收由封装有新以太网帧头的镜像数据帧构成的镜像流量；第二转发端口22用于根据新以太网帧头中的新目的MAC地址与输出端口之间的对应关系，将镜像流量转发往相应的输出端口，这里的输出端口为第二输出端口24；剥离模块23用于在镜像流量发送给第二输出端口24的途中，剥离镜像数据帧中的新以太网帧头，还原复制的被监控流量，由于复制的被监控流量与原被监控流量相同，此处，复制的被监控流量也可称为被监控流量；第二输出端口24用于将被监控流量发送给监控设备。图2所示的实施例中示出了仅有一个第二输入端口21及第二输入端口21的情况，若有多个第二输入端口21及第二输入端口21，各第二输入端口21与第二转发模块22的连接关系相同，各第二输入端口21与剥离模块23的连接关系也相同。

再参见图3，本发明实施例的镜像目的设备也可以进一步包括第四存储模块19，与第二转发模块22连接，用于存储标识MAC地址与输出端口之间对应关系的转发表。第二转发模块22查询转发表中与新目的MAC地址对应的输出端口，并将镜像流量转发往相应的第二输出端口24，由剥离模块23剥离其中的新以太网帧头后再发送给第二输出端口24，最终由第二输出端口24将该镜像数据发送给监控设备。

如图4所示，为本发明远程镜像系统实施例的结构示意图，该实施例的远程镜像系统包括镜像源设备1与镜像目的设备2。其中，镜像源设备1可以为图2所示任一实施例的镜像源设备，镜像目的设备2可以为图3所示任一实施例的镜像目的设备，镜像源设备1的第一输入端口11与待监控流量的主机连接，接收该主机上流入或流出的流量，镜像源设备1的第一输出端口15与镜像目的设备2上的第二输入端口21连接。镜像源设备1对第一输入端口11上流过的被监控流量进行复制，并在复制的被监控流量外封装新以太网帧头后镜像数据帧，根据新以太网帧头中的新目的MAC地址将该镜像数据帧经由镜像目的设备2上的第二输入端口21发送给该镜像目的设备2，镜像目的设备2根据新目的MAC地址查询转发表中相应的第二输出端口24，并剥离镜像数据帧外封装的新以太网帧头，获得被监控流量，然后将该被监控流量发送给与新目的MAC地址对应的第二输出端口24，由第二输出端口24将该被监控流量发送给监控设备。

由于根据被监控流量外封装的新以太网帧头中的新目的MAC地址来转发镜像数据帧，而屏蔽原始被监控流量以太网数据帧中的MAC地址，从而在同一镜像VLAN中，可以对被监控流量目的地址所指出口为该流量入口的被监控流量的成功镜像，并且无需关闭镜像设备的MAC学习功能，实现简单，可以减少网络管理与维护的工作量，并且可以在镜像VLAN中采用备份链路，从而有效提高镜像功能的可靠性。

图4所示实施例的远程镜像系统还可以包括对镜像源设备1的第一输入端口11上的被监控流量进行监控的监控设备4，镜像流量通过镜像路径11-15-21-24被镜像到监控设备4上，由监控设备4对被监控流量进行监控。

本发明的远程镜像系统中，可以根据实际需求在镜像源设备1与镜像目的设备2之间设置多个中间设备，以对新镜像流量进行二层交换转发。如图5所示，为在镜像源设备1与镜像目的设备2之间设置一个中间设备3的实施例，该中间设备3上具有第三输入端口31与第三输出端口32，第三输入端口31可以为多个，其中的一个与第一输出端口15中的一个连接，第三输出端口32也可以为多个，其中的一个与一个第二输入端口21连接。该实施例中，镜像流量的镜像路径为11-15-31-32-21-24。

由于根据被监控流量外封装的新以太网帧头中的新目的MAC地址来转发镜像数据帧，而屏蔽原始被监控流量以太网数据帧中的MAC地址，从而在同一镜像VLAN中，可以对被监控流量目的地址所指出口为该流量入口的被监控流量的成功镜像，并且无需在中间设备上配置重定向策略，实现简单，且可以节省改进中间设备所需的成本，还可以在镜像VLAN中采用备份链路，从而有效提高镜像功能的可靠性。如图5所示，为本发明远程镜像系统另一实施例的结构示意图，该实施例通过在镜像系统中增加第二中间设备5提供了备份镜像链路11-15-41-42-31-32-21-24，其中51与52分别为第二中间设备5的输入端口与输出端口，这样在15与31之间的连理出现故障时，可以采用15与51之间的备份链路来传输镜像流量。另外，也可以在中间设备与镜像目的设备之间设置备份链路。

如图6所示，为本发明远程镜像方法实施例的流程图，其可基于图5所示实施例的远程镜像系统实现，具体包括以下步骤：

步骤601，镜像模块12对第一主机流入其中一个第一输入端口11的被监控流量进行复制，并将复制的被监控流量发送给封装模块13。

步骤602，封装模块13分别从第一存储模块16、第二存储模块17与第三存储模块18中获取预先存储的镜像VLAN Tag、新源MAC地址与新目的MAC地址，由该镜像VLAN Tag、新源MAC地址、新目的MAC地址生成新以太网帧头，并在接收到的被监控流量以太网数据帧外层封装该新以太网帧头，形成镜像数据帧并发送给第一转发模块14。根据以太网数据帧封装的协议规定，新镜像源MAC地址与新镜像目的MAC地址不同；另外，还可以进一步要求新镜像源MAC地址与新镜像目的MAC地址均不同于被监控流量以太网数据帧帧头中的源MAC地址与目的MAC地址。其中，新镜像源MAC地址可以为桥MAC地址，即：该镜像源设备的MAC地址，新镜像目的MAC地址可以为广播MAC地址FFFF-FFFF-FFFF，也可以是对镜像流量进行监控的监控设备的MAC地址

步骤603，第一转发模块14根据新目的MAC地址将由镜像数据帧构成的镜像流量转发给相应的第一输出端口15。

具体地，若新目的MAC地址为广播MAC地址FFFF-FFFF-FFFF，则第一转发模块14将镜像流量广播给所有的第一输出端口15；若该新目的MAC地址为监控设备4的MAC地址，则第一转发模块14查询第四存储模块19存储的标识MAC地址与输出端口之间对应关系的转发表，获取与新目的MAC地址对应的第一输出端口15的具体端口号，并将镜像流量转发给相应的第一输出端口15。

步骤604，第一输出端口15将镜像流量发送给中间设备3上的第三输入端口31。

步骤605，中间设备3按照标识MAC地址与输出端口号之间的对应关系的转发表，根据新目的MAC地址将镜像流量转发到相应的第三输出端口32，再进一步由第三输出端口32发送给第二输入端口21。

具体地，可以采用与第一转发模块14相同的转发策略，按照新目的MAC地址为广播MAC地址FFFF-FFFF-FFFF或监控设备4的MAC地址的情况，将镜像流量转发给相应的第三输出端口32。

步骤606，第二输入端口21将接收到的镜像流量发送给第二转发模块22。

步骤607，第二转发模块22查询第四存储模块19中存储的转发表，根据新目的MAC地址获取相应的第二输出端口24，将该镜像流量及相应的第二输出端口24信息转发给剥离模块22。

具体地，可以采用与第一转发模块14相同的转发策略，按照新目的MAC地址为广播MAC地址FFFF-FFFF-FFFF或监控设备4的MAC地址的情况，来选择发送镜数流量的第二输出端口24。

步骤608，剥离模块22剥离镜像流量中的新以太网帧头，将镜像流量还原为被监控流量，然后根据接收到的第二输出端口24信息将该被监控流量发送给相应的第二输出端口24，由第二输出端口24转发给监控设备4。

另外，步骤608之后，还可以包括：步骤609，监控设备4对被监控流量进行监控。

若采用图4所示实施例的远程镜像来对被监控流量的镜像，则第一输出端口15可直接将镜像流量发送给镜像目的设备2上的第二输入端口21。

本发明实施例提供的实现对被监控流量目的MAC地址所指出口为该流量入口的被监控流量的镜像方法中，通过镜像源设备在被监控流量以太网数据帧外封装新以太网帧头形成镜像数据帧，之后按照新以太网帧头中携带的新目的MAC地址来转发镜像数据帧，而屏蔽原始被监控流量以太网数据帧帧头中的MAC地址，在镜像目的设备中再剥离新以太网帧头还原被监控流量，无需基于镜像VLAN关闭镜像设备的MAC学习功能，无需对中间设备增加任何配置，也无需在中间设备配置重定向策略，实现简单，且可以节省改进中间设备所需的成本，减少网络管理与维护的工作量；并且可以在镜像VLAN中采用备份链路，有效提高了镜像功能的可靠性。

最后所应说明的是：以上实施例仅用以说明本发明的技术方案，而非对本发明作限制性理解。尽管参照上述较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解：其依然可以对本发明的技术方案进行修改或者等同替换，而这种修改或者等同替换并不脱离本发明技术方案的精神和范围。

Claims (10)

1、一种远程镜像方法，其特征在于，包括以下步骤：

对镜像源设备端口的被监控流量进行复制，并在复制的被监控流量以太网数据帧外封装新以太网帧头形成镜像数据帧，所述新以太网帧头包括镜像VLAN Tag、新源MAC地址与新目的MAC地址；根据所述新目的MAC地址转发由所述镜像数据帧构成的镜像流量至镜像目的设备；剥离所述新镜像流量中的所述新以太网帧头，还原所述被监控流量。

2、根据权利要求1所述的远程镜像方法，其特征在于，所述新目的MAC地址为广播MAC地址或对所述被监控流量进行监控的监控设备的MAC地址。

3、根据权利要求2所述的远程镜像方法，其特征在于，所述新目的MAC地址为监控设备的MAC地址时，根据所述新目的MAC地址转发由所述镜像数据帧构成的镜像流量具体为：查询原先存储的标识MAC地址与输出端口之间对应关系的转发表，获取所述新目的MAC地址对应的转发端口，并将所述镜像流量由所述输出端口进行转发。

4、根据权利要求2所述的远程镜像方法，其特征在于，所述新目的MAC地址为广播MAC地址时，根据所述新目的MAC地址转发由所述镜像数据帧构成的镜像流量具体为：以广播方式在各个输出端口转发所述镜像流量。

5.根据权利要求1所述的远程镜像方法，其特征在于，所述新源MAC地址为桥MAC地址。

6、一种镜像源设备，其特征在于，包括：

第一输入端口，用于接收被监控流量；

镜像模块，与所述第一输入端口连接，用于对所述被监控流量进行复制；

封装模块，与所述镜像模块连接，用于在复制的所述被监控流量以太网数据帧外封装新以太网帧头形成镜像数据帧，所述新以太网帧头包括镜像VLAN Tag、新源MAC地址与新目的MAC地址；

第一转发模块，与所述封装模块连接，用于根据所述新目的MAC地址，将由所述镜像数据帧构成的镜像流量转发给相应的输出端口；

第一输出端口，与所述第一转发模块连接，用于发送所述镜像流量。

7、根据权利要求6所述的镜像源设备，其特征在于，还包括：

第一存储模块，与所述封装模块连接，用于存储镜像VLAN Tag；

第二存储模块，与所述封装模块连接，用于存储新源MAC地址；

第三存储模块，与所述封装模块连接，用于存储新目的MAC地址。

8、根据权利要求6或7所述的镜像源设备，其特征在于，还包括：

第四存储模块，与所述第一转发模块连接，用于存储标识MAC地址与输出端口之间对应关系的转发表。

9、一种镜像目的设备，其特征在于，包括：

第二输入端口，用于接收外层封装有新以太网帧头的镜像数据帧；

第二转发模块，与所述第二输入端口连接，用于根据新以太网帧头中的新目的MAC地址，将由所述镜像数据帧构成的镜像流量转发往相应的输出端口；

剥离模块，与所述第二转发模块连接，用于剥离所述镜像数据帧中的所述新以太网帧头，还原被监控流量；

第二输出端口，与所述剥离模块连接，用于发送所述被监控流量。

10、根据权利要求9所述的镜像目的设备，其特征在于，还包括：

第四存储模块，与所述第二转发模块连接，用于存储标识MAC地址与输出端口之间对应关系的转发表。

Images