用镜像组把流量复制出来
抓包的前提是把被怀疑的端口流量复制一份到接分析仪的端口上，这个动作在 Comware 里叫本地镜像，由 mirroring-group 完成。一个镜像组包含两类端口：被镜像口（源）和观察口（目的），方向可选入方向、出方向或双向。配置本身只有三条命令，失败原因大多不在命令上，而是观察口选错、方向漏配、或者镜像组根本没进入生效状态。
基本信息
| 适用平台 | H3C Comware 5/7 交换机 |
|---|---|
| 命令族 | mirroring-group N local |
| 方向参数 | inbound / outbound / both |
| 验证命令 | display mirroring-group all |
| 前提 | 观察口不能被其他业务使用，多数平台建议用空闲口 |
典型使用场景
- 业务不通但接口计数正常：镜像出来抓包，判断报文到底有没有到达设备
- 定位丢包位置：在上下游两台设备分别镜像同一流量，比对进出报文数量差
- 配合安全审计：把需要留证的业务流量复制到分析设备上做识别与记录
- 排查协议交互异常：OSPF/VRRP 邻居建立不了时抓一次交互过程，比逐条看日志快
- 验证 ACL 与流分类：镜像出方向流量，确认被丢弃的报文是否符合预期
H3C Comware 配置
H3C Comware 配置
mirroring-group 1 local ! 建本地镜像组，编号自定义
mirroring-group 1 mirroring-port GigabitEthernet1/0/1 both ! 源口与方向
mirroring-group 1 monitor-port GigabitEthernet1/0/2 ! 目的口（接分析仪）
display mirroring-group all ! 确认生效后再抓包
undo mirroring-group 1 ! 排查结束后及时删除思科 IOS 与华为 VRP
思科 IOS 与华为 VRP
! 思科 IOS：monitor session 两句搞定
monitor session 1 source interface GigabitEthernet0/1 both
monitor session 1 destination interface GigabitEthernet0/2
! 华为 VRP：先定义观察口，再在业务口上引用
observe-port 1 interface GigabitEthernet0/0/2
interface GigabitEthernet0/0/1
port-mirroring to observe-port 1 bothdisplay mirroring-group all 读什么
| 字段 | 含义 | 异常表现 |
|---|---|---|
| Mirroring group | 镜像组编号与类型 | 类型不是 local 说明建错了组 |
| Mirroring port | 被镜像的源端口 | 端口为空说明源口未配置成功 |
| Direction | 镜像方向 inbound/outbound/both | 方向与故障方向不符会抓不到报文 |
| Monitor port | 观察口 | 与分析仪所接端口不一致则抓不到流量 |
| Status | 镜像组状态 | 未显示 active 视为未生效 |
抓不到流量时先看镜像是否生效，再看分析仪是否接入正确的观察口与网卡。确认镜像没问题后，才轮到怀疑设备根本没转发这些报文——这个顺序能省掉大量无效操作。
观察口接到分析仪后通常收不到普通业务流量，这是预期行为。排队列时注意观察口带宽不要小于源口峰值，否则镜像流量本身会被丢弃，抓包结果会误导判断。