# 将源弹性网卡的出/入方向TCP流量镜像到目的ELB #### 方案架构 当您需要将镜像源（弹性网卡）和指定实例通信产生的出/入方向TCP流量，镜像到弹性负载均衡ELB时，您可以参考本文的配置示例。如[图1]所示，在VPC-A中，通过镜像会话将ECS-source和ECS-test之间互访的TCP流量镜像到ELB-A中，则您创建1个镜像会话可以实现需求。本示例中，在镜像会话mirror-session-01进行如下配置： - 镜像源是ECS-source的弹性网卡-s，表示需要镜像弹性网卡-s出方向和入方向的TCP流量。 - 镜像目的是ELB-A，表示将弹性网卡-s的TCP流量镜像到ELB-A中，ELB-A将根据流量分发策略，将镜像流量分发至两台后端服务器ECS-target-01和ECS-target-02。 - 镜像会话的筛选条件mirror-filter-01中，出方向和入方向需要分别添加以下规则： - 出方向规则：采集ECS-source去往ECS-test的TCP流量。 - 入方向规则：采集ECS-test进入ECS-source的TCP流量。 图1镜像出/入方向TCP流量到目的ELB ![](https://support.huaweicloud.com/usermanual-vpc/zh-cn_image_0000002106298237.png) #### 约束与限制 关于流量镜像的使用限制，具体请查看[流量镜像的使用限制](https://support.huaweicloud.com/usermanual-vpc/vpc_mirror_02.html#vpc_mirror_02__section1412134042913)。 #### 资源规划说明 本示例中，虚拟私有云VPC和子网、弹性公网IP、弹性负载均衡ELB以及弹性云服务器ECS等资源只要位于同一个区域内即可，可用区可以任意选择，无需保持一致。 ![](https://support.huaweicloud.com/usermanual-vpc/public_sys-resources/note_3.0-zh-cn.png) 以下资源规划详情仅为示例，您可以根据需要自行修改。 表1镜像出/入方向TCP流量到目的ELB资源规划总体说明 | 资源类型 | 资源数量 | 说明 | |:---|:---|:---| | 虚拟私有云VPC和子网 | VPC：1 子网：1 | - VPC名称：请根据实际情况设置，本示例为VPC-A。 - IPv4网段：请根据实际情况设置，本示例为192.168.0.0/16。 - 子网名称：请根据实际情况设置，本示例为Subnet-A01。 - 子网IPv4网段：请根据实际情况设置，本示例为192.168.0.0/24。 | | 弹性云服务器ECS | 4 | 本示例中，共需要4个ECS，配置说明如下： - 名称：根据实际情况设置，本示例分别为ECS-source、ECS-target-01、ECS-target-02和ECS-test。 - **实例规格类型：本示例中镜像源ECS-source使用通用计算增强型c7t，当前仅支持部分规格ECS的弹性网卡作为镜像源，具体请参见[流量镜像的使用限制](https://support.huaweicloud.com/usermanual-vpc/vpc_mirror_02.html#vpc_mirror_02__section1412134042913)。其他ECS的规格类型不做限制。** - 镜像：请根据实际情况设置，本示例为公共镜像（Huawei Cloud EulerOS 2.0 标准版 64位）。 - 系统盘：通用型SSD盘，40GB。 - 数据盘：本示例未选购数据盘，请您根据实际业务需求选购数据盘。 - 网络： - 虚拟私有云：选择您的虚拟私有云，本示例ECS均选择VPC-A。 - 子网：选择子网，本示例ECS均选择Subnet-A01。 - 安全组：本示例中，4个ECS属于同一个安全组Sg-X，需要确保[表2]中的规则均已正确添加即可。 如果ECS属于不同的安全组，则除了分别在不同安全组配置[表2]中的规则外，还需要添加以下规则： - 如果访问镜像源的测试ECS和镜像源ECS属于不同安全组，比如ECS-test属于Sg-X，ECS-source属于Sg-A，则需要在Sg-A和Sg-X中额外添加[表3]中的规则，允许ECS-test和ECS-source流量互访。 - 如果镜像源ECS和镜像目的ECS属于不同安全组，比如ECS-source属于Sg-A，ECS-target-01属于Sg-B，则需要在Sg-B中额外添加[表4]中的规则，允许来自镜像源封装的UDP协议报文访问镜像目的的4789端口。ECS-target-02同理。 - 弹性公网IP：选择"暂不购买"。 - 私有IP地址：ECS-source为192.168.0.230，ECS-target-01为192.168.0.6，ECS-target-02为192.168.0.12，ECS-test为192.168.0.161 | | 弹性公网IP | 1 | - 计费模式：请根据情况选择计费模式，本示例为按需计费。 - EIP名称：请根据实际情况设置，本示例为EIP-A。 - EIP地址：EIP地址系统随机分配，本示例为124.X.X.187。 | | 弹性负载均衡 | 1 | - 实例类型：当前仅独享型ELB支持作为镜像目的，请选择独享型。 - 名称：请根据实际情况设置，本示例为ELB-A。 - 实例规格：由于封装的镜像报文为IPv4 UDP协议，此处ELB必须支持UDP协议，因此本示例选择网络型（TCP/UDP/TLS）。不同区域的实例规格存在差异，如果您所在区域没有网络型（TCP/UDP/TLS），选择网络型（TCP/UDP）即可。 - 网络类型：由于封装的镜像报文为IPv4 UDP协议，此处ELB必须支持IPv4，因此本示例选择IPv4私网。 - 所属VPC：请根据实际情况设置，本示例为VPC-A。 - 前端子网：请根据实际情况设置，本示例为Subnet-A01。 - IPv4地址：请根据实际情况设置，本示例为自动分配IP地址。 - 后端子网：请根据实际情况设置，本示例为与前端子网保持一致。 - IP类型后端（跨VPC后端）：本示例中后端服务器位于同一VPC中，因此未开启，请您根据实际情况设置。 - 弹性公网IP：请根据实际情况设置，本示例为暂不购买。 | | 监听器 | 1 | - 配置监听器： - 名称：请根据实际情况设置，本示例为listener-A。 - 前端协议：由于封装的镜像报文为UDP协议，此处请选择UDP。 - 前端端口：镜像目的接受流量的固定端口为4789，此处请填写4789。 - 访问控制：本示例选择允许所有IP访问，请您根据实际情况设置，如果选择白名单，需要确保镜像源IP地址在白名单中。 - 配置后端分配策略： - 转发模式：请根据实际情况设置，本示例为负载均衡。 - 服务器组类型：请根据实际情况设置，本示例为混合类型。 - 名称：请根据实际情况设置，本示例为serve_group-A。 - 后端协议：由于封装的镜像报文为UDP协议，此处请选择UDP。 - 全端口转发：请根据实际情况设置，本示例不开启。 - 分配策略类型：请根据实际情况设置，本示例为加权轮询算法。 - 会话保持：请根据实际情况设置，本示例不开启。 - 添加后端服务器 - 在"云服务器"页签下，选择后端服务器，本示例选择ECS-target-01和ECS-target-02。 业务端口固定为4789，权重请根据实际情况设置，本示例为1。 - 健康检查：本示例为不开启，由于后端服务器并未启动监听4789端口的进程，而健康检查需要保证后端服务器的4789端口处于监听状态。此时如果开启健康检查，会导致后端服务器的健康状态异常，ELB将无法将流量转发至后端服务器。 | | 筛选条件 | 1 | - 名称：请根据实际情况设置，本示例为mirror-filter-01。 - 入方向规则：添加1条入方向规则，采集ECS-test进入ECS-source的TCP流量。 - 出方向规则：添加1条出方向规则，采集ECS-source去往ECS-test的TCP流量。 规则详情请参见[表5]。 | | 镜像会话 | 1 | - 镜像会话基本信息： - 名称：请根据实际情况设置，本示例为mirror-session-01。 - 优先级：请根据实际情况设置，本示例为1。 - VXLAN网络标识：请根据实际情况设置，本示例为1。 - 镜像报文长度：请根据实际情况设置，本示例为96。 - 是否开启：开启，镜像会话开启后，才会监控镜像源的网络流量。 - 关联筛选条件：请根据实际情况设置，本示例为mirror-filter-01。 - 关联镜像源：请根据实际情况设置，本示例为ECS-source的弹性网卡，私有IP地址为192.168.0.230。 - 关联镜像目的： - 类型：弹性负载均衡 - 网卡：请根据实际情况设置，本示例为ELB-A，私有IP地址为192.168.0.147。 | 表2安全组Sg-X规则说明 | 方向 | 策略 | 类型 | 协议端口 | 源地址/目的地址 | 描述 | |:---|:---|:---|:---|:---|:---| | 入方向 | 允许 | IPv4 | TCP: 22 | 源地址：0.0.0.0/0 | 放通安全组内ECS的SSH(22)端口，用于远程登录Linux ECS。 | | 入方向 | 允许 | IPv4 | TCP: 3389 | 源地址：0.0.0.0/0 | 放通安全组内ECS的RDP(3389)端口，用于远程登录Windows ECS。 | | 入方向 | 允许 | IPv4 | 全部 | 源地址：当前安全组Sg-X | 针对IPv4，用于安全组内ECS之间网络互通。 | | 入方向 | 允许 | IPv6 | 全部 | 源地址：当前安全组Sg-X | 针对IPv6，用于安全组内ECS之间网络互通。 | | 出方向 | 允许 | IPv4 | 全部 | 目的地址：0.0.0.0/0 | 针对IPv4，用于安全组内ECS访问外部，允许流量从安全组内ECS流出。 | | 出方向 | 允许 | IPv6 | 全部 | 目的地址：::/0 | 针对IPv6，用于安全组内ECS访问外部，允许流量从安全组内ECS流出。 | ![](https://support.huaweicloud.com/usermanual-vpc/public_sys-resources/caution_3.0-zh-cn.png) 本示例中，入方向源地址设置为0.0.0.0/0表示允许所有外部IP远程登录云服务器，如果将22或3389端口暴露到公网，可能存在网络安全风险，建议您将源IP设置为已知的IP地址，比如设置为您的本地PC地址。 表3安全组Sg-A和Sg-X规则说明（允许ECS流量互访） | 安全组 | 方向 | 策略 | 类型 | 协议端口 | 源地址 | 描述 | |:---|:---|:---|:---|:---|:---|:---| | Sg-A | 入方向 | 允许 | IPv4 | TCP: 1234 | 本示例放通ECS-test所在安全组的流量 安全组：Sg-X | 针对IPv4，允许来自ECS-test的TCP协议报文访问镜像源ECS-source的1234端口。 | | Sg-X | 入方向 | 允许 | IPv4 | TCP: 全部 | 本示例放通ECS-source所在安全组的流量 安全组：Sg-A | 针对IPv4，允许来自镜像源ECS-source的TCP协议报文访问ECS-test的全部端口。 | 表4安全组Sg-B规则说明 | 方向 | 策略 | 类型 | 协议端口 | 源地址 | 描述 | |:---|:---|:---|:---|:---|:---| | 入方向 | 允许 | IPv4 | UDP: 4789 | 镜像源的地址，本示例为ECS-source的私有IP地址： 192.168.0.230/32 | 针对IPv4，允许来自镜像源ECS-source封装的UDP协议报文访问镜像目的ECS-target-01的4789端口。 | 表5筛选条件的入方向和出方向规则 | 方向 | 优先级 | 协议 | 策略 | 类型 | 源地址 | 源端口范围 | 目的地址 | 目的端口范围 | |:---|:---|:---|:---|:---|:---|:---|:---|:---| | 入方向 | 1 | TCP | 采集 | IPv4 | 报文的来源地址，本示例为ECS-test的私有IP地址： 192.168.0.161/32 | 全部 | 报文的目的地址，本示例为ECS-source的私有IP地址： 192.168.0.230/32 | 本示例为ECS-source的1234端口： 1234-1234 | | 出方向 | 1 | TCP | 采集 | IPv4 | 报文的来源地址，本示例为ECS-source的私有IP地址： 192.168.0.230/32 | 本示例为ECS-source的1234端口： 1234-1234 | 报文的目的地址，本示例为ECS-test的私有IP地址： 192.168.0.161/32 | 全部 | #### 操作流程 将源弹性网卡和指定实例通信产生的出/入方向TCP流量，镜像到ELB，流程如[图2]所示。 图2镜像出/入方向TCP流量到目的ELB ![](https://support.huaweicloud.com/usermanual-vpc/zh-cn_image_0000002070353122.png) #### 步骤一：创建云服务资源 1. 创建1个VPC和1个子网。 具体方法请参见[创建虚拟私有云和子网](https://support.huaweicloud.com/usermanual-vpc/zh-cn_topic_0013935842.html)。 2. 创建4个ECS。 具体方法请参见[自定义购买ECS](https://support.huaweicloud.com/usermanual-ecs/ecs_03_7002.html)。 3. 申请弹性公网IP。 具体方法请参见[购买弹性公网IP](https://support.huaweicloud.com/usermanual-eip/eip_0008.html)。 #### 步骤二：创建并配置ELB 1. 创建独享型ELB。 具体方法请参见[购买独享型负载均衡器](https://support.huaweicloud.com/usermanual-elb/elb_lb_000006.html)。 2. 为ELB添加UDP监听器，并配置后端服务器。 具体方法请参见[添加UDP监听器](https://support.huaweicloud.com/usermanual-elb/elb_ug_jt_0007.html)。 #### 步骤三：创建筛选条件和镜像会话 1. 创建1个筛选条件。 具体方法请参见[创建筛选条件](https://support.huaweicloud.com/usermanual-vpc/vpc_mirror_04.html)。 2. 创建1个镜像会话，关联筛选条件、镜像源以及镜像目的。 具体方法请参见[创建镜像会话](https://support.huaweicloud.com/usermanual-vpc/vpc_mirror_12.html)。 #### 步骤四：安装NC工具模拟数据流量 本文使用NC工具模拟数据流量，NC工具是一个通过TCP/UDP协议在网络中读写数据的工具，常用于网络端口测试等，需要在ECS-source和ECS-test中安装NC工具。 1. 在ECS-source中安装NC工具。 1. 下载NC工具需要连接公网，将EIP绑定至ECS-source。 具体方法请参见[绑定弹性公网IP](https://support.huaweicloud.com/usermanual-ecs/zh-cn_topic_0174917535.html)。 2. 远程登录ECS-source。 ECS有多种登录方法，具体请参见[登录弹性云服务器](https://support.huaweicloud.com/ecs_faq/ecs_faq_0632.html)。 3. 依次执行以下命令，安装NC工具。 **sudo yum update** 回显类似如下信息： ``` [root@ecs-source ~]# sudo yum update HCE 2.0 base 55 MB/s | 6.1 MB 00:00 HCE 2.0 updates 98 MB/s | 14 MB 00:00 Last metadata expiration check: 0:00:01 ago on Tue 10 Sep 2024 05:54:28 PM CST. Dependencies resolved. Nothing to do. Complete! ``` **sudo yum install nc** 回显类似如下信息，请根据回显提示输入**y** ，并按回车。 ``` [root@ecs-source ~]# sudo yum install nc Last metadata expiration check: 0:00:12 ago on Tue 10 Sep 2024 05:54:28 PM CST. Dependencies resolved. ... Install 2 Packages Total download size: 6.1 M Installed size: 25 M Is this ok [y/N]: y Downloading Packages: ... Importing GPG key 0xA8DEF926: Userid : "XXX" Fingerprint: C1BA 9CD4 9D03 A206 E241 F176 28DA 5B77 A8DE F926 From : http://.../XX/2.0/updates/RPM-GPG-KEY-HCE-2 Is this ok [y/N]: y ... Installed: libssh2-1.10.0-2.r10.hce2.x86_64 nmap-2:7.92-2.r4.hce2.x86_64 Complete! ``` 4. ECS-source的NC工具安装完成后，解绑EIP。 具体方法请参见[解绑弹性公网IP](https://support.huaweicloud.com/usermanual-ecs/ecs_03_0182.html)。 2. 参考[1.a]\~[1.d]，在ECS-test中安装NC工具，并解绑EIP。 3. EIP解绑后，删除EIP。 本示例中不再需要使用EIP，因此删除EIP，具体方法请参见[解绑弹性公网IP](https://support.huaweicloud.com/usermanual-ecs/ecs_03_0182.html)。如果不删除EIP，则EIP会持续计费。 #### 步骤五：验证镜像会话是否生效 1. 执行以下操作，建立ECS-source和ECS-test之间的TCP连接。 本示例在ECS-source向ECS-test发送TCP报文，查看ECS-test是否可以收到该报文。 1. 在ECS-source中，执行以下命令，开启1234端口的监听。 **nc -l** *镜像源ECS-source的监听端口* 命令示例： **nc -l 1234** 此处回显为空，表示监听已正常开启。 2. 在ECS-test中，执行以下命令，建立ECS-source和ECS-test之间的TCP连接。 **nc** *镜像源ECS-source的私有IP地址 镜像源ECS-source的监听端口* 命令示例： **nc 192.168.0.230 1234** 此处回显为空，表示TCP连接已建立。 3. 在ECS-source中，输入任意信息（比如**hello** ），并按回车，测试TCP连接是否建立成功。 ``` [root@ecs-source ~]# nc -l 1234 hello ``` 4. 在ECS-test中，查看是否收到来自ECS-source的信息。 回显类似如下信息，可正常收到信息，表示TCP连接建立成功。 ``` [root@ecs-test ~]# nc 192.168.0.230 1234 hello ``` 2. 执行以下操作，测试ECS-source去往ECS-test的出方向TCP报文，是否可以镜像到ELB-A的后端服务器ECS-target-01和ECS-target-02。 当镜像源ECS-source实时向ECS-test发送TCP报文时，通过TCPDUMP工具，查看镜像目的ECS-target-01和ECS-target-02是否可以获取到该报文的数据包，如果可以获取到，则表示出方向的采集规则配置生效。 1. 远程登录ECS-target-01。 ECS有多种登录方法，具体请参见[登录弹性云服务器](https://support.huaweicloud.com/ecs_faq/ecs_faq_0632.html)。 2. 在ECS-target-01中，执行以下命令，查看镜像目的对应的网卡名称。 **ifconfig** 回显类似如下信息，本示例中镜像目的ECS-target-01对应的网卡名称为eth0。 ``` [root@ecs-target-01 ~]# ifconfig eth0: flags=4163 mtu 1500 inet 192.168.0.6 netmask 255.255.255.0 broadcast 192.168.0.255 inet6 fe80::f816:3eff:fe7e:d6dc prefixlen 64 scopeid 0x20 ether fa:16:3e:7e:d6:dc txqueuelen 1000 (Ethernet) RX packets 87498 bytes 114570302 (109.2 MiB) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 18337 bytes 6613541 (6.3 MiB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 ... ``` 3. 在ECS-target-01中，执行以下命令，通过TCPDUMP工具观察数据包获取情况。 **tcpdump -i** *镜像目的对应的网卡名称* **udp port 4789 -nne** 命令示例： **tcpdump -i eth0 udp port 4789 -nne** 回显类似如下信息： ``` [root@ecs-target-01 ~]# tcpdump -i eth0 udp port 4789 -nne dropped privs to tcpdump tcpdump: verbose output suppressed, use -v[v]... for full protocol decode listening on eth0, link-type EN10MB (Ethernet), snapshot length 262144 bytes ``` 4. 远程登录ECS-target-02。 ECS有多种登录方法，具体请参见[登录弹性云服务器](https://support.huaweicloud.com/ecs_faq/ecs_faq_0632.html)。 5. 在ECS-target-02中，执行以下命令，查看镜像目的对应的网卡名称。 **ifconfig** 回显类似如下信息，本示例中镜像目的ECS-target-02对应的网卡名称为eth0。 ``` [root@ecs-target-02 ~]# ifconfig eth0: flags=4163 mtu 1500 inet 192.168.0.12 netmask 255.255.255.0 broadcast 192.168.0.255 inet6 fe80::f816:3eff:fe7e:d6e2 prefixlen 64 scopeid 0x20 ether fa:16:3e:7e:d6:e2 txqueuelen 1000 (Ethernet) RX packets 87009 bytes 114283412 (108.9 MiB) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 17015 bytes 6492086 (6.1 MiB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 ... ``` 6. 在ECS-target-02中，执行以下命令，通过TCPDUMP工具观察数据包获取情况。 **tcpdump -i** *镜像目的对应的网卡名称* **udp port 4789 -nne** 命令示例： **tcpdump -i eth0 udp port 4789 -nne** 回显类似如下信息： ``` [root@ecs-target-02 ~]# tcpdump -i eth0 udp port 4789 -nne dropped privs to tcpdump tcpdump: verbose output suppressed, use -v[v]... for full protocol decode listening on eth0, link-type EN10MB (Ethernet), snapshot length 262144 bytes ``` 7. 在ECS-source中，输入任意信息（比如**source to test** ），并按回车，向ECS-test发送TCP报文。 回显类似如下信息： ``` [root@source ~]# nc -l 1234 hello source to test ``` 8. 在ECS-test中，查看是否收到来自ECS-source的信息。 回显类似如下信息，可正常收到信息。 ``` [root@ecs-test ~]# nc 192.168.0.230 1234 hello source to test ``` 9. 分别在ECS-target-01和ECS-target-02中，查看是否可以获取到报文的数据包。 - ECS-target-01： 回显类似如下信息，可以看到TCPDUMP工具启动后，获取到ECS-source发送至ECS-test的信息**source to test** 对应的数据包，时间为**19:09:21.273376** ，表示出方向的采集规则设置成功。其中，**vni 1** 为镜像会话mirror-session-01的标识，表示通过mirror-session-01，ECS-target-01可成功获取到数据包，数据包内容分为两部分，一部分是流量镜像封装的VXLAN报文，一部分是原始报文，详细说明请参见[表6](https://support.huaweicloud.com/usermanual-vpc/vpc_mirror_22.html#vpc_mirror_22__table223316435223)。 ``` [root@ecs-target-01 ~]# tcpdump -i eth0 udp port 4789 -nne dropped privs to tcpdump tcpdump: verbose output suppressed, use -v[v]... for full protocol decode listening on eth0, link-type EN10MB (Ethernet), snapshot length 262144 bytes 19:09:21.273376 fa:16:3e:d1:6b:5d > fa:16:3e:7e:d6:dc, ethertype IPv4 (0x0800), length 131: 192.168.0.230.32816 > 192.168.0.6.4789: VXLAN, flags [I] (0x08), vni 1 fa:16:3e:7e:d6:bc > fa:16:3e:7e:d6:77, ethertype IPv4 (0x0800), length 81: 192.168.0.230.1234 > 192.168.0.161.57032: Flags [P.], seq 4181467553:4181467568, ack 3509843935, win 510, options [nop,nop,TS val 476501697 ecr 998055381], length 15 ``` - ECS-target-02： 回显类似如下信息，可以看到TCPDUMP工具启动后，获取到ECS-test响应ECS-source请求发送的数据包，时间为**19:09:21.273429** 。 ``` [root@ecs-target-02 ~]# tcpdump -i eth0 udp port 4789 -nne dropped privs to tcpdump tcpdump: verbose output suppressed, use -v[v]... for full protocol decode listening on eth0, link-type EN10MB (Ethernet), snapshot length 262144 bytes 19:09:21.273429 fa:16:3e:d1:6b:5d > fa:16:3e:7e:d6:e2, ethertype IPv4 (0x0800), length 116: 192.168.0.230.32805 > 192.168.0.12.4789: VXLAN, flags [I] (0x08), vni 1 fa:16:3e:7e:d6:77 > fa:16:3e:7e:d6:bc, ethertype IPv4 (0x0800), length 66: 192.168.0.161.57032 > 192.168.0.230.1234: Flags [.], ack 4181467568, win 502, options [nop,nop,TS val 998154498 ecr 476501697], length 0 ``` 3. 执行以下操作，测试ECS-test进入ECS-source的入方向TCP报文，是否可以镜像到ELB-A的后端服务器ECS-target-01和ECS-target-02。 当ECS-test实时向镜像源ECS-source发送TCP报文时，通过TCPDUMP工具，查看镜像目的ECS-target-01和ECS-target-02是否可以获取到该报文的数据包，如果可以获取到，则表示入方向的采集规则配置生效。 1. 在ECS-test中，输入任意信息（比如**test to source** ），并按回车，向ECS-source发送TCP报文。 回显类似如下信息： ``` [root@ecs-test ~]# nc 192.168.0.230 1234 hello source to test test to source ``` 2. 在ECS-source中，查看是否收到来自ECS-test的信息。 回显类似如下信息，可正常收到信息。 ``` [root@ecs-source ~]# nc -l 1234 hello source to test test to source ``` 3. 分别在ECS-target-01和ECS-target-02中，查看是否可以获取到报文的数据包。 - ECS-target-01： 回显类似如下信息，可以看到TCPDUMP工具启动后，获取到ECS-test发送至ECS-source的信息**test to source** 对应的数据包，时间为**19:10:04.772581** ，表示入方向的采集规则设置成功。其中，**vni 1** 为镜像会话mirror-session-01的标识，表示通过mirror-session-01，ECS-target-01可成功获取到数据包，数据包内容分为两部分，一部分是流量镜像封装的VXLAN报文，一部分是原始报文，详细说明请参见[表6](https://support.huaweicloud.com/usermanual-vpc/vpc_mirror_22.html#vpc_mirror_22__table223316435223)。 ``` [root@ecs-target-01 ~]# tcpdump -i eth0 udp port 4789 -nne dropped privs to tcpdump tcpdump: verbose output suppressed, use -v[v]... for full protocol decode listening on eth0, link-type EN10MB (Ethernet), snapshot length 262144 bytes 19:09:21.273376 fa:16:3e:d1:6b:5d > fa:16:3e:7e:d6:dc, ethertype IPv4 (0x0800), length 131: 192.168.0.230.32816 > 192.168.0.6.4789: VXLAN, flags [I] (0x08), vni 1 fa:16:3e:7e:d6:bc > fa:16:3e:7e:d6:77, ethertype IPv4 (0x0800), length 81: 192.168.0.230.1234 > 192.168.0.161.57032: Flags [P.], seq 4181467553:4181467568, ack 3509843935, win 510, options [nop,nop,TS val 476501697 ecr 998055381], length 15 19:10:04.772581 fa:16:3e:d1:6b:5d > fa:16:3e:7e:d6:dc, ethertype IPv4 (0x0800), length 131: 192.168.0.230.32805 > 192.168.0.6.4789: VXLAN, flags [I] (0x08), vni 1 fa:16:3e:7e:d6:77 > fa:16:3e:7e:d6:bc, ethertype IPv4 (0x0800), length 81: 192.168.0.161.57032 > 192.168.0.230.1234: Flags [P.], seq 1:16, ack 15, win 502, options [nop,nop,TS val 998197997 ecr 476501697], length 15 ``` - ECS-target-02： 回显类似如下信息，可以看到TCPDUMP工具启动后，获取到ECS-source响应ECS-test请求发送的数据包，时间为**19:10:04.772601** 。 ``` [root@ecs-target-02 ~]# tcpdump -i eth0 udp port 4789 -nne dropped privs to tcpdump tcpdump: verbose output suppressed, use -v[v]... for full protocol decode listening on eth0, link-type EN10MB (Ethernet), snapshot length 262144 bytes 19:09:21.273429 fa:16:3e:d1:6b:5d > fa:16:3e:7e:d6:e2, ethertype IPv4 (0x0800), length 116: 192.168.0.230.32805 > 192.168.0.12.4789: VXLAN, flags [I] (0x08), vni 1 fa:16:3e:7e:d6:77 > fa:16:3e:7e:d6:bc, ethertype IPv4 (0x0800), length 66: 192.168.0.161.57032 > 192.168.0.230.1234: Flags [.], ack 4181467568, win 502, options [nop,nop,TS val 998154498 ecr 476501697], length 0 19:10:04.772601 fa:16:3e:d1:6b:5d > fa:16:3e:7e:d6:e2, ethertype IPv4 (0x0800), length 116: 192.168.0.230.32816 > 192.168.0.12.4789: VXLAN, flags [I] (0x08), vni 1 fa:16:3e:7e:d6:bc > fa:16:3e:7e:d6:77, ethertype IPv4 (0x0800), length 66: 192.168.0.230.1234 > 192.168.0.161.57032: Flags [.], ack 15, win 510, options [nop,nop,TS val 476545196 ecr 998197997], length 0 ```