流量镜像概述-九游平台

流量镜像

vpc流量镜像功能可以镜像指定镜像源实例（如弹性网卡）符合筛选条件的报文。您需要设置入方向和出方向的筛选条件，经过镜像源实例的流量符合筛选条件时，将被镜像到指定的镜像目的实例（如云服务器网卡或者弹性负载均衡elb），适用于网络流量检查、审计分析以及问题定位等场景。

流量镜像功能当前暂不收费。待后续启动收费时，将会提前通知您。

目前部分区域支持流量镜像功能，具体请打开，并选择“流量镜像”查看。

流量镜像概念

流量镜像工作原理

在表1中，以镜像源弹性网卡-b和弹性网卡-c为例，为您介绍网络流量的镜像原理。

流量镜像应用场景

• 网络流量检查：

  当您需要进行网络入侵检测时，通过流量镜像功能可以镜像您所需的网络流量。获取到流量后，您可以使用安全软件对流量进行全面分析检查，快速查找安全漏洞，确保网络安全。

• 网络流量审计：

  通过流量镜像功能，您可以将流量镜像到指定的平台进行审计分析，适用于金融等对安全性要求比较高的业务场景。

• 网络问题定位：

  通过流量镜像功能，运维工程师直接查看镜像的流量来排查问题，而不用通过业务服务器抓取报文，避免了运维期间可能对业务造成的影响。

流量镜像匹配规则

根据流量镜像的匹配规则，当同一个镜像源的同一个报文同时符合多个筛选条件规则时，该报文也仅会被匹配一次，匹配原则详细说明如下：

• 镜像会话的匹配规则如图2所示。当一个镜像源同时被多个镜像会话关联时，以入方向的报文为例，报文根据镜像会话的优先级，按照从高到低的顺序匹配。
  • 当报文匹配上某个镜像会话中的筛选条件入方向规则，则执行以下操作：
    • 如果该规则的策略是采集，则镜像该报文。
    • 如果该规则的策略是不采集，则不会镜像该报文。
  • 当遍历了所有镜像会话中的筛选条件入方向规则，报文均没有匹配上，则不会镜像该报文，结束。
  示例：某个镜像源同时被镜像会话a和镜像会话b关联，镜像会话a的优先级是1，镜像会话b的优先级是2。当镜像源入方向的某个报文同时符合镜像会话a和镜像会话b里的筛选条件规则，此时根据镜像会话优先级，该报文优先匹配镜像会话a中的筛选条件规则，并执行该规则的采集策略，结束后，该报文不会继续匹配镜像会话b。

  图2 镜像会话匹配规则
  
• 筛选条件的匹配规则如图3所示。当一个镜像源只被一个镜像会话关联时，以入方向的报文为例，报文根据入方向规则的优先级，按照从高到低的顺序匹配：
  • 当报文匹配上筛选条件的某个入方向规则，则执行以下操作：
    • 如果该规则的策略是采集，则镜像该报文。
    • 如果该规则的策略是不采集，则不会镜像该报文。
  • 当遍历了筛选条件中的所有入方向规则，报文均没有匹配上，则不会镜像该报文，结束。
  示例：当某个镜像源被镜像会话a关联，在镜像会话a的筛选条件中，入方向规则a和规则b的流量匹配条件相同，但优先级和流量采集策略不同。规则a的优先级为1，策略为不采集。规则b的优先级为2，策略为采集。当镜像源入方向的某个报文同时符合规则a和规则b的流量匹配条件时，此时根据规则优先级，该报文优先匹规则a，并执行不采集策略，即不镜像该报文，结束后，该报文不会继续匹配规则b。

  图3 筛选条件匹配规则
  

流量镜像的配额限制

流量镜像的使用限制

• 如图4所示，流量镜像的报文采用标准的vxlan报文格式封装，即原始报文经过vxlan封装后作为镜像报文在链路上传输。为避免镜像报文长度超过链路的最小mtu值（默认1500字节）而被截断，建议您设置镜像源mtu值（原始报文长度）比链路最小mtu值少50字节，即镜像源mtu值不超过1450字节。预留50字节的空间可以确保原始报文加上封装报文后，总长度也不会超过链路mtu值。
  图4 流量镜像报文格式
  
• 表5和表6中为您提供了不同类型镜像源和镜像目的详细限制说明。

  表5 镜像源限制说明

  镜像源类型	约束与限制
  弹性网卡	当镜像源为弹性网卡时，弹性网卡需要绑定至ecs，当前流量镜像仅支持部分规格ecs的弹性网卡作为镜像源，包括c7t、ac7等。 查询其余ecs规格支持情况，推荐您使用，并通过network_interface:traffic_mirroring_supported参数的响应值来判断ecs规格是否支持流量镜像。 如果一个弹性网卡已被用作镜像源，则镜像目的不能使用该弹性网卡。 流量镜像会占用弹性网卡绑定实例的带宽，并且不做独立限速。

  表6 镜像目的限制说明

  镜像目的类型	约束与限制
  云服务器网卡	当一个镜像目的实例需要接收来自多个镜像源的流量镜像时，为了确保正常使用，请您根据业务实际需要合理规划弹性网卡所属云服务器的规格。 如果一个弹性网卡已被用作镜像源，则镜像目的不能使用该弹性网卡。
  弹性负载均衡	由于封装的镜像报文为ipv4 udp协议，因此当弹性负载均衡elb作为镜像目的接收镜像流量时，需要使用支持udp协议的ipv4独享型elb。

• 根据流量镜像的匹配规则，同一个镜像源的同一个报文同时符合多个筛选条件规则，也仅会被匹配一次，并且根据采集策略决定是否镜像到目的实例。
• 对于镜像源弹性网卡已被安全组或者网络acl拦截丢弃的报文，流量镜像不会镜像该部分报文。
• 当镜像源的报文符合筛选条件被镜像时，该报文不受镜像源安全组或者网络acl出方向规则约束，即您无需在镜像源的安全组或者网络acl做额外配置。但是如果需要将报文镜像到镜像目的实例时，则需要为镜像目的实例所在的安全组和网络acl配置以下规则：
  • 安全组规则：允许来自镜像源的udp协议报文访问镜像目的的4789端口。
    假如镜像源弹性网卡的私有ip地址为192.168.0.27，则安全组规则配置示例如表7所示，具体方法请参见添加安全组规则。

    表7 安全组规则配置示例（弹性网卡）

    规则类别	策略	类型	协议端口	源地址
    入方向规则	允许	ipv4	自定义udp: 4789	ip地址：192.168.0.27/32 此处仅为示例，请根据实际情况配置。

  • 网络acl规则：允许来自镜像源的udp协议报文访问镜像目的的4789端口。
    假如镜像源弹性网卡的私有ip地址为192.168.0.27，则网络acl规则配置示例如表8所示，具体方法请参见添加网络acl规则。

    表8 网络acl规则配置示例（弹性网卡）

    规则类别	类型	策略	协议	源地址	源端口范围	目的地址	目的端口范围
    入方向规则	ipv4	允许	udp	ip地址：192.168.0.27/32 此处仅为示例，请根据实际情况配置。	此处为空，表示全部端口。	镜像目的为云服务器网卡时，建议配置网卡的ipv4私有地址，例如192.168.1.24/32。 镜像目的为弹性负载均衡时，建议配置elb服务地址中的ipv4私有地址，例如192.168.1.25/32。 此处仅为示例，请根据实际情况配置，确保网段覆盖镜像目的ip地址即可。	4789 必须放通4789端口，其他端口请根据实际情况配置。

• 不同的虚拟私有云vpc之间网络不通，如果镜像源和镜像目的实例不在同一个vpc内，则您需要使用vpc对等连接或者企业路由器连通vpc之间的网络。
  • vpc对等连接的使用方法，请参见对等连接简介。
  • 企业路由器的使用方法，请参见。

流量镜像使用流程

使用流量镜像功能，您需要创建镜像会话，通过在镜像会话中关联筛选条件、镜像源和镜像目的，实现指定流量的镜像，使用流程如图5所示。