远程端口镜像是什么
端口镜像把某个端口的报文复制一份送给观察口，方便接抓包设备分析。当被测设备与抓包点不在同一台设备上（跨机柜、跨机房）时就要用远程镜像：源设备把复制出来的报文打上专用 VLAN 标签，穿过中间网络送到目的设备，目的设备再解封装输出到物理观察口。三厂叫法不同：华为用 observe-port 的跨设备形态，思科是 RSPAN，H3C 是远程镜像组，但要素一致——专用镜像 VLAN、源设备打标、目的设备解封装。
基本信息
| 适用平台 | 支持远程镜像的三厂交换机 |
|---|---|
| 典型场景 | 核心交换机集中抓包、跨机房取证 |
| 关键命令 | observe-port / monitor session remote vlan / mirroring-group remote-source |
| 前置条件 | 专用镜像 VLAN 已在全路径放通，且不复用业务 VLAN |
| 占用资源 | 承载 VLAN 上多一份被镜像流量 |
典型使用场景
- 抓取远端接入交换机的流量，但笔记本只能接在核心机房
- 跨机房故障复现与取证，源设备现场无人值守
- 把多台设备的关注端口汇聚到同一观察点做横向对比
- 割接前采集流量基线，观察点固定在机房便于长期采样
- 安全事件需要留存指定端口的原始报文
华为 VRP
华为 VRP
# 源设备：定义跨设备的远程观察口，用 VLAN 承载
[Huawei] observe-port 1 interface GigabitEthernet 0/0/24 vlan 999
[Huawei-GigabitEthernet0/0/1] mirror to observe-port 1 both # 双向镜像
# 中间设备：所有 Trunk 放通 VLAN 999
# 目的设备：在 VLAN 999 的端口上接抓包设备思科 IOS
思科 IOS
# 源设备
SW-A(config)# vlan 999
SW-A(config-vlan)# remote-span # 声明为 RSPAN VLAN，漏了这步必然不通
SW-A(config)# monitor session 1 source interface Gi1/0/1 both
SW-A(config)# monitor session 1 destination remote vlan 999
# 目的设备
SW-B(config)# monitor session 1 source remote vlan 999
SW-B(config)# monitor session 1 destination interface Gi1/0/24H3C Comware
H3C Comware
# 源设备：远程镜像组
[H3C] mirroring-group 1 remote-source
[H3C] mirroring-group 1 mirroring-port GigabitEthernet 1/0/1 both
[H3C] mirroring-group 1 remote-probe vlan 999
# 目的设备
[H3C] mirroring-group 1 remote-destination
[H3C] mirroring-group 1 monitor-port GigabitEthernet 1/0/24三厂机制对照
| 环节 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 源设备镜像 | mirror to observe-port | monitor session destination remote vlan | mirroring-group remote-source |
| 承载 VLAN 声明 | observe-port 直接指定 vlan | vlan 下先配 remote-span | remote-probe vlan |
| 目的设备输出 | 承载 VLAN 内的观察口 | monitor session source remote vlan | remote-destination + monitor-port |
| 中间设备 | Trunk 全路径放通该 VLAN | Trunk 全路径放通且已声明 remote-span | Trunk 全路径放通该 VLAN |
排查顺序固定：先确认中间整条路径都放通了镜像 VLAN，再确认源设备打标生效，最后看目的设备是否输出。思科最容易漏的是承载 VLAN 必须先用 remote-span 声明，否则会话看起来已建立但目的设备一直收不到报文。部分版本的 H3C 远程镜像命令形态有差异，部署前用 ? 在当前设备上确认关键字。
镜像会按被镜像端口的实际流量做复制，跨设备传输时占用承载 VLAN 的带宽。抓全量双向流量前先评估峰值，必要时错峰采集或选择只镜像单方向，避免抓包本身把生产链路打满。