在设备上直接抓包
现场排障经常遇到「主机侧抓不到」的困境：问题发生在设备本身或设备之间的链路上，报文根本没到达主机。设备侧抓包解决这个问题，它在设备的转发面或控制面上设置捕获点，把符合条件的报文留存成文件。使用要点有四个：捕获点选对（入方向、出方向或双向）、过滤条件写对（避免全量捕获）、文件大小与数量可控（防止写满存储）、用完及时停止并清理。与主机抓包相比，设备抓包对性能更敏感，尤其在高速接口上，必须提前评估对转发与控制面的影响并选择低峰时段操作。
基本信息
| Cisco EPC | monitor capture 定义捕获点、过滤与文件 |
|---|---|
| 华为 capture-packet | 指定接口、过滤条件与输出文件 |
| 捕获方向 | 入方向、出方向或双向 |
| 过滤条件 | 按 IP、协议、端口等组合限制范围 |
| 文件管理 | 限制单文件大小，抓完及时导出与清理 |
| 收尾 | 停止捕获并删除临时文件，避免影响存储 |
典型使用场景
- BGP 邻居异常：确认报文是否真正发出与被接收
- IPsec 协商失败：对比两端 IKE 报文的时序与内容
- 业务丢包定位：在设备上确认丢弃发生在入方向还是出方向
- 链路质量取证：抓包分析时延与报文间隔
- 向厂商提供证据：导出 pcap 作为故障分析材料
命令示例
命令示例
# Cisco IOS-XE：定义捕获点与过滤条件
monitor capture CAP interface GigabitEthernet0/0 both
monitor capture CAP match ipv4 protocol icmp any any
monitor capture CAP start
monitor capture CAP stop
monitor capture CAP export flash:cap.pcap
# 华为：按接口与 ACL 抓包
# capture-packet interface GigabitEthernet0/0/0 destination-file cap.pcap acl 30
# 清理临时文件与捕获点
monitor capture CAP clear关键设置对照
| 设置项 | 作用 | 不当设置的风险 |
|---|---|---|
| 捕获方向 | 决定抓到的是入还是出方向 | 选错只看到单向报文 |
| 过滤条件 | 限制报文范围 | 不加过滤会迅速写满存储 |
| 文件限制 | 控制输出大小 | 文件过大影响设备存储与性能 |
| 捕获时长 | 控制抓包时间 | 长时间开启影响转发 |
| 导出与清理 | 留证与释放空间 | 残留文件占用存储 |
设备侧抓包会消耗 CPU 与存储资源，高速接口上尤其明显；生产环境应在低峰执行，并设置过滤条件与文件限制。
两端同时抓包的价值最大：可以直接判断报文是否发出、是否被中途丢弃，比只在一端分析效率高很多。