端口镜像为什么抓不到包
端口镜像把指定端口的流量复制到观察口，是排障最常用的取证手段。但配好命令不等于抓得到包：源端口与方向写错、观察口 down、源是聚合口却配在成员口上、抓包主机没开混杂模式，都会让结果空无一物。三厂各有一条验证命令，抓包之前先跑一遍，能省下大量在抓包软件里反复试错的时间。
基本信息
| 适用平台 | 全部交换机（华为 VRP、思科 IOS、H3C Comware） |
|---|---|
| 华为命令 | display observe-port / display mirror |
| 思科命令 | show monitor session N |
| H3C 命令 | display mirroring-group all（或按组号查看） |
| 核对项 | 源端口与方向（入/出/双向）、观察口的连接与状态、组编号是否冲突 |
| 常见坑 | 聚合口要在聚合口上配镜像，方向选错只抓到单向 |
典型使用场景
- 排障抓包前验证：先确认镜像关系，避免在抓包软件里白等
- 镜像不生效排查：观察口换了位置或线缆松动后镜像静默失效
- 割接验证：割接前后抓包对比，确认流量行为没有异常
- 安全分析：把可疑端口流量镜像到分析设备，验证是否为异常流量
- 临时调整方向：确认当前配置抓的是入向还是双向，避免遗漏关键报文
华为 VRP
华为 VRP
<Huawei> display observe-port # 查看观察口编号与状态
<Huawei> display mirror # 查看镜像组与源端口、方向
<Huawei> display interface GigabitEthernet 0/0/24 # 观察口链路必须 up
<Huawei> display interface GigabitEthernet 0/0/1 # 源口是否有流量经过
! 观察口 down 时镜像不工作，且不会产生明显告警思科 IOS
思科 IOS
SW-CORE-01# show monitor session 1 # 确认源与目的
Type: Local Session
Source Ports: Both: Gi1/0/1
Destination Ports: Gi1/0/24
SW-CORE-01# show interfaces GigabitEthernet1/0/24 # 观察口是否 up
! 目的口通常显示 up/up 但不参与正常转发，属正常现象H3C Comware
H3C Comware
<H3C> display mirroring-group all
Mirroring group 1:
Type: Local
Mirroring port: GigabitEthernet1/0/1 Both
Monitor port: GigabitEthernet1/0/24
<H3C> display interface GigabitEthernet 1/0/24 # 确认观察口状态
! 组编号冲突或多组互相覆盖时，以最近配置生效为准抓不到包的排查顺序
| 检查项 | 常见问题 | 处理 |
|---|---|---|
| 观察口状态 | 观察口 down 或线缆松动 | 恢复链路或更换观察口 |
| 镜像方向 | 只配了单向，漏掉关键报文 | 改为双向或按需求指定方向 |
| 源端口类型 | 源是聚合口却配在成员口 | 改为在聚合口上配置镜像 |
| 抓包主机 | 网卡未开启混杂模式 | 开启混杂模式后重新抓 |
| 组编号 | 多组镜像互相覆盖 | 统一镜像组规划，避免重复 |
观察口是不参与正常转发的端口，接了抓包主机后往往显示 up/up，但交换机内部把它标记为监控用途。看到该口不在正常生成树转发路径上属于正常现象，不必调整生成树配置。