思科抓包两条路
思科设备本地抓包有两条路：传统 SPAN 把被镜像端口的流量复制到观察口，接上抓包机用 Wireshark 分析；EPC（Embedded Packet Capture）在设备内部缓冲报文，停录后导出 pcap 文件，适合无法到现场或需要按条件触发采集的场景。前者依赖额外笔记本，后者依赖设备的缓冲与存储。
基本信息
| 适用平台 | Cisco IOS 与 IOS-XE，具体支持情况按平台型号确认 |
|---|---|
| 命令族 | monitor session（SPAN）、monitor capture（EPC） |
| SPAN 前提 | 抓包机接在观察口，观察口不再转发业务流量 |
| EPC 前提 | 设备有可用缓冲与导出存储，部分低端平台不支持 |
| 判读工具 | 导出的 pcap 用 Wireshark 分析，注意镜像口可能因过载丢包 |
镜像与录包对比
| 维度 | SPAN 镜像 | EPC 设备内录包 |
|---|---|---|
| 抓包位置 | 外部抓包机接在观察口 | 设备内部缓冲后导出文件 |
| 额外设备 | 需要笔记本或分析仪 | 不需要 |
| 大流量风险 | 观察口可能过载丢包 | 缓冲有限，旧报文会被覆盖 |
| 适用场景 | 现场跟随分析、与终端联调 | 远程排障、无人值守、按条件触发 |
| 对业务影响 | 几乎无，但会占用观察口 | 占用少量设备 CPU 与存储 |
典型使用场景
- 协议交互异常，需要看到真实报文内容确认协商过程
- 定位丢包点：在上游与下游分别镜像，对比报文是否到达
- 验证 ACL 或策略是否按预期放行特定流量
- 无线或语音类故障，需要抓取控制报文分析时间线
- 远程站点无法派人现场抓包，用设备内录包导出分析
思科 SPAN
思科 SPAN
monitor session 1 source interface GigabitEthernet0/1 both # 被镜像口
monitor session 1 destination interface GigabitEthernet0/2 # 抓包机所在口
show monitor session all # 核对源与目的
# 抓包结束后撤掉镜像，避免观察口长期占用
no monitor session 1思科 EPC（IOS-XE）
思科 EPC（IOS-XE）
monitor capture CAP interface GigabitEthernet0/1 both match ipv4 any any
monitor capture CAP start # 开始录制
show monitor capture CAP # 查看状态与缓冲使用
monitor capture CAP stop # 停止录制
monitor capture CAP export flash:cap.pcap # 导出到本地存储
dir flash: | include cap.pcap # 确认文件已生成EPC 的命令形式随 IOS-XE 版本演进，老版本使用「定义捕获点 + 缓冲 + 关联」的多步写法，新版本简化为一条 monitor capture。设备上写不进去时用问号补全确认本版本支持的语法，再决定用 SPAN 兜底。
方向别接反：source 是被观察的端口，destination 是抓包机所在端口。镜像流量会包含该端口上的全部 VLAN 标签，抓包机网卡要能处理带标签的报文，否则会把带 tag 的帧误判为异常。