使用场景

VPC与云下IDC互连，进行东西向流量的入侵检测。
核心价值 ：实现双向流量（IDC↔ECS）实时镜像，支持威胁检测平台进行深度流量分析

方案涉及产品

• VPC ：逻辑隔离网络环境
• 流量镜像 ：流量捕获与转发核心组件
• 云专线 ：混合云互联通道
• 云主机 ：承载业务应用（ECS1/ECS2）
• 弹性裸金属 ：部署威胁检测平台（Pm1）

方案架构

实现方式

1. 基础资源配置

（1）云上网络规划

（2）线下IDC配置

• 客户侧子网网段：172.168.1.0/24

2. 流量镜像配置

（1）筛选条件（Mirror1）

入方向规则：

• IP范围：源IP 172.168.1.0/24
• 协议：ALL
• 动作：采集

出方向规则：

• IP范围：目的IP 172.168.1.0/24
• 协议：ALL
• 动作：采集

（2）镜像会话（Session1）

• 镜像源：ENI1（ECS1）、ENI2（ECS2）
• 镜像目的：ENI3（Pm1）
• 筛选条件：Mirror1
• VNI：10001

3. 安全组配置（Pm1）

入方向规则（UDP 4789）：

• 协议：UDP
• 端口：4789
• 策略：允许

操作步骤

步骤一：创建云上VPC环境

规划好云上VPC的网段规划，创建VPC具体操作步骤参见创建VPC

步骤二：开通云专线

打通云上云下的网络，开通云专线具体操作步骤参见开通云专线。

步骤 三 ：创建筛选规则

1. 登录天翼云控制台，在控制中心页面左上角选择区域，本文我们选择华东-华东1。
2. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。
3. 在左侧导航栏，选择“流量镜像-筛选条件”选项。
4. 在筛选条件页面，点击右上角的“创建筛选条件”按钮。
5. 在创建筛选条件弹窗中，填写筛选条件的名称和描述，点击“确认”。
6. 进入对应筛选条件的详情页，添加入方向规则。
7. 进入对应筛选条件的详情页，添加出方向规则。

步骤 四 ：创建镜像会话

1. 登录天翼云控制台，在控制中心页面左上角选择区域，本文我们选择华东-华东1。
2. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。
3. 在左侧导航栏，选择“流量镜像-镜像会话”选项。
4. 在镜像会话页面，点击右上角的“创建镜像会话”按钮。
5. 在创建镜像会话界面中，填写镜像会话的名称、VNI和描述，点击”下一步”。
6. 选择筛选条件，这里我们选择已创建的mirror1，点击”下一步”。
7. 选择镜像源，这里我们选择ENI1和ENI2，点击”下一步”。
8. 选择镜像目的，这里我们选择ENI3，点击”下一步”。
9. 勾选“我已阅读并同意相关协议”，单击“创建”，完成镜像会话的创建。

步骤五：配置镜像目的安全组

1. 登录天翼云控制台，在控制中心页面左上角选择区域，本文我们选择华东-华东1。
2. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。
3. 在左侧导航栏，选择“访问控制-安全组”选项。
4. 在安全组列表页面，找到您需要添加规则的安全组名称，点击安全组名称，进入安全组详情页。
5. 点击“添加规则”，根据界面提示配置安全组规则，确定授权策略、优先级、协议类型、端口范围、源/目的地址等信息。

具体参数配置信息如下表：

6. 点击“确认”按钮。

步骤六： 启动镜像会话

1. 登录天翼云控制台，在控制中心页面左上角选择区域，本文我们选择华东-华东1。
2. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。
3. 在左侧导航栏，选择“流量镜像-镜像会话”选项。
4. 在镜像会话页面，找到需要启动的镜像会话，然后单击该会话操作列的“启动”按钮。

验证与排障

1. 流量捕获验证

登录弹性裸金属（pm1），验证镜像目的端能否捕获到镜像源与线下IDC互通的数据包；如果获取成功，则表示镜像会话配置生效。

比如：

# 在Pm1执行抓包（需root权限） tcpdump -i eth0 -eennvv port 4789

成功标志：持续捕获到内层源或目的IP为172.168.1.x，外层是VXLAN封装的UDP报文。

2. 常见问题排查