端口镜像的用途
端口镜像把指定端口的流量复制一份到监控端口，抓包工具接在监控端口上就能看到经过该端口的报文。在工业现场，它是不停机排查协议问题的主要手段：能看清是设备没发包、包发错了，还是网络把它丢了。但镜像会占用带宽与设备资源，配置不当还会影响正常转发。
基本信息
| 基本形态 | 源端口被镜像到一个或多个监控端口 |
|---|---|
| 镜像方向 | 入方向、出方向或双向，按排查目标选择 |
| 带宽约束 | 监控端口速率必须能承载被镜像流量的峰值 |
| 常见用途 | 协议交互分析、丢包定位、时序排查、异常流量取证 |
| 资源影响 | 镜像消耗转发资源与端口带宽，高负载时可能丢镜像包 |
| 常见限制 | 抓包时间戳来自工具主机，精度有限，不能直接用于毫秒级时序判断 |
典型使用场景
- 控制器与远程站通信异常，需确认报文是否真的发出与到达
- 排查偶发丢包，需要同时观察两端端口
- 协议对接调试，需要核对字段与交互时序
- 设备故障取证，需要保留异常报文作为证据
- 排查组播或广播异常，需要确认实际转发范围
- 改造前后对比流量特征，评估改造效果
抓包排查顺序
抓包排查顺序
先确定要看的两个端点 # 发送侧与接收侧各抓一次
选择镜像方向与端口 # 单向还是双向按需求定
注意监控端口带宽是否够用 # 峰值超过端口速率会丢镜像包
配置抓包过滤器 # 只看目标协议，减少无关流量
两端时间对齐后对比 # 确认是没发出还是没收到
抓完关闭镜像并留存证据 # 长期开启会持续消耗资源两端对比的结论对照
| 发送侧 | 接收侧 | 结论倾向 |
|---|---|---|
| 有该报文 | 有该报文 | 网络正常，问题在应用或处理逻辑 |
| 有该报文 | 无该报文 | 报文在途中被丢弃或过滤 |
| 无该报文 | 无该报文 | 发送侧未发出，检查设备或组态 |
| 有该报文 | 有但内容不同 | 中间设备改写了报文，多为地址转换或代理 |
镜像端口上的时间戳来自抓包工具主机，而不是交换机内部时间，因此不能用它直接判断毫秒级时序。诊断时延与同步问题应结合设备侧日志、带硬件时间戳的采集手段或专用测试仪。
抓包只能看到镜像点的局部视角。若一次抓不到关键报文，应先确认镜像方向与端口是否覆盖了实际路径，而不是立刻怀疑过滤器写错了。
在生产网络长期开启镜像会持续消耗端口带宽与设备资源，高负载时可能反过来影响业务。排查结束后应及时关闭镜像，并妥善保管抓包文件，避免其中的地址与数据外泄。