本地端口镜像配置
端口镜像把被测端口的流量复制一份到观察口，接上笔记本用抓包工具分析，是协议分析与故障取证最直接的手段。三厂结构类似：指定一个或多个源端口、一个观察口、以及镜像方向。观察口会停止转发业务流量，不能复用正在承载业务的上联口。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware 交换机 |
|---|---|
| 华为写法 | 先定义 observe-port，再在被镜像端口下 mirror to observe-port |
| 思科写法 | monitor session N source ... 与 destination ... 两条 |
| H3C 写法 | mirroring-group N local，指定镜像端口与监视端口 |
| 方向取值 | inbound、outbound、both，按需选择以减少无关流量 |
镜像三要素
| 要素 | 含义 | 注意事项 |
|---|---|---|
| 源端口 | 被复制流量的端口 | 可指定多个，越多镜像流量越大 |
| 观察口 | 接抓包机的端口 | 不再转发业务，禁止复用上联口 |
| 方向 | inbound 收、outbound 发、both 双向 | 只抓需要的方向，降低观察口压力 |
| 会话与组 | 镜像的配置单元 | 用完即撤，避免长期占用资源 |
| 抓包端网卡 | 接收镜像流量的接口 | 需能处理带 VLAN 标签的报文 |
典型使用场景
- 协议交互异常，需要看到真实报文确认协商过程
- 定位丢包点：上游与下游分别镜像后比对报文是否到达
- 验证 ACL 与策略是否按预期放行或拒绝特定流量
- 排查组播或语音类问题，需要看控制报文的时序
- 安全事件取证：记录异常流量的完整会话
华为 VRP
华为 VRP
observe-port 1 interface GigabitEthernet0/0/24 # 定义观察口
interface GigabitEthernet0/0/1
port-mirroring to observe-port 1 inbound # 只镜像入方向
# 双向：port-mirroring to observe-port 1 both
display observe-port 1
undo port-mirroring to observe-port 1 # 抓完撤销思科 IOS 与 H3C Comware
思科 IOS 与 H3C Comware
monitor session 1 source interface GigabitEthernet0/1 both # 思科
monitor session 1 destination interface GigabitEthernet0/24
show monitor session 1
mirroring-group 1 local # H3C
mirroring-group 1 mirroring-port GigabitEthernet1/0/1 both
mirroring-group 1 monitor-port GigabitEthernet1/0/24
display mirroring-group all三厂思路一致、语法完全不同：思科用 monitor session，华为先定义观察口再在源端口下引用，H3C 用镜像组。方向关键字在思科是 source 后的 both，在华为是 mirror to observe-port 后的 both。
观察口接了交换机或普通终端会形成环路风险；源端口是 Trunk 时镜像流量会包含所有 VLAN 的带标签报文，抓包端要能正确处理标签，否则会把正常报文误判为异常。