华为防火墙端口镜像抓包

下面以USG6000 为例，介绍端口镜像抓包的配置方法。USG9500的相关介绍请参考产品手册《配置-监控与故障处理-系统诊断-镜像（USG9500）》《管理员指南>监控>系统诊断>镜像（Eudemon8000E-X）》。

如下图所示，为了定位网络问题监视从FW_A经由GigabitEthernet 1/0/2输入FW_B的报文，设置FW_B的GigabitEthernet 1/0/1为观测端口，然后在GigabitEthernet 1/0/2上配置端口镜像，将所有从GigabitEthernet 1/0/2收到的报文都复制一份到GigabitEthernet 1/0/1，由分析设备HostD进行分析。

图1 配置端口镜像组网图

1. 配置FW_B各接口IP地址，将接口加入安全区域，并配置域间安全策略，以保证网络基本通信正常。具体配置步骤略。
2. 配置GigabitEthernet 1/0/1为观测端口。

   <FW> system-view 
   [FW] sysname FW_B 
   [FW_B] observing-port GigabitEthernet 1/0/1 
   Info: Do not configure other services on the observing port, to avoid affecting  the port mirroring service

3. 在GigabitEthernet 1/0/2上开启上行端口镜像功能。

   [FW_B] port-mirroring GigabitEthernet 1/0/2 inbound GigabitEthernet 1/0/1 
   Warning: Port mirror may affect the system performance, continue? [Y/N]:y

   经过上述配置后，端口GigabitEthernet 1/0/2接收的所有报文将被镜像到端口GigabitEthernet 1/0/1上。

4. 检查配置结果。

   使用ping命令或其他产生流量的方法，例如：从FW_A发10个ping报文到FW_B的端口GigabitEthernet 1/0/2，在主机D上应该能接收到FW_A发出的全部报文。

   

   请在网络问题定位结束后，在系统视图下执行undo port-mirroring和undo observing-port命令，关闭端口镜像功能。