GGSN通过端口镜像的抓包方法

爱卫生

1 功能描述
GGSN的端口镜像功能可以把一个端口的报文镜像到另一个端口（即监控端口）上去。GGSN的LPU板的端口可以配置成监控端口，以监视其他端口的上下行数据流。一般在GGSN的16 FE的LPU板上有空闲端口，可以将其配置成监控端口来抓包。被监控的端口的上下行报文均可以镜像到这个监控端口上。
GGSN系统只能配置一个监控端口。被监控的端口必须是LPU板的物理端口，可以有多个，但是每块单板上最多只能有一个。

2 配置实例
例如：把空闲端口Ethernet1/0/2设置成监控端口，把端口Ethernet1/0/1的入报文和出报文，Ethernet2/0/1的入报文和出报文，GigabitEthernet3/0/0的入报文和出报文都镜像到监控端口上，用一根交叉网线把便携机和Ethernet1/0/2直接对接，在便携机上启动抓包软件（Sniffer、Ethereal等），就可以同时抓这三个口的报文了。
相关配置如下：
observing-port Ethernet1/0/2
#
port-mirroring Ethernet1/0/1 both Ethernet1/0/2 Ethernet1/0/2
port-mirroring Ethernet2/0/1 both Ethernet1/0/2 Ethernet1/0/2
port-mirroring GigabitEthernet3/0/0 both Ethernet1/0/2 Ethernet1/0/2
#
interface Ethernet1/0/2
negotiation auto
undo shutdown  
#
本配置说明了GGSN的3个功能点：
1、可以镜像多个单板上的接口。
2、可以镜像不同类型的物理接口。
3、可以同时镜像接口上下行流量。（当然，也可以上行、下行分别镜像。）

3 镜像的使用
在组网时需要注意将不同的接口（Gi，Gn，Ga）配置到不同的LPU单板上。如果是从不同LPU板的不同端口出，就可以同时抓Gn和Gi口的报文了。

liloveming1987

求教一下，不在现场的话，远程怎么抓包

xiner

现在好多GGSN是可以在设备上跟踪号码的，抓包方便多了

hycl5410

回复 liloveming1987 的帖子

当然要看用途了。一般情况下，登陆到LMT上，使用trace功能就可以完成所需的抓包。
很特殊的情况下才会进行LPU端口镜像的抓包（这时候GGSN完全就可以看成一个switch）。而一旦用镜像方式，那必须是本地操作。因为指定的observe port肯定是空闲出来的端口，拿这个口接PC机抓包。

liloveming1987

回复 hycl5410 的帖子

非常感谢，还想问一下，data trace 抓包用wireshark打不开，还是我保存的文件格式不对，应该用什么软件打开

CC会成功

回复 liloveming1987 的帖子

你把抓的包的后缀名改为.pcap试试

hycl5410

如果是用LMT的trace功能抓的包，后缀好像是tmf吧，我不确认名字了，保存的时候用默认的。LMT自带的trace management软件可以打开--注意不是你用来登陆管理网元的LMT软件，但是是跟它一起装在你的PC机上了。其他软件是打不开的，文件格式是不一样的。有工具可以把数据面转换成wireshark可以解的包，不过那是内部工具。抱歉，我现在也没有那个工具。
如果你会编程，可以自己写个工具。用ultraedit打开文件，16进制格式看，每个IP包前加了几个字节的标示而已，具体的自己看自己琢磨吧。IP包一般是以45 00开头的，比较好找，附加字段应该是定长的。

liloveming1987

回复 hycl5410 的帖子

非常感谢，非常感谢

wucizhong

感谢爱总,感谢资源分享