三厂流量镜像总对照
抓包分析的前置配置就是流量镜像：把一个或多个端口的流量复制到分析口，再把抓包设备接上去。三厂的配置模型不同——华为是「先定义观察口、再在源口引用」两步，思科用 monitor session 的 source/destination 两步，H3C 需要先建实现组再挂端口。
基本信息
| 适用设备 | 三厂通用（华为 VRP / H3C Comware / 思科 IOS） |
|---|---|
| 华为 | observe-port + 源口下 port-mirroring to observe-port |
| 思科 | monitor session N source / destination |
| H3C | mirroring-group N local + mirroring-port + monitor-port |
| 方向参数 | both（进出双向）、inbound、outbound |
| 验证 | display observe-port、show monitor session、display mirroring-group all |
典型使用场景
- 抓包定位疑难故障（协议交互异常、丢包定位）
- 给 IDS / 流量分析设备提供镜像流量
- 新业务上线前验证流量特征与带宽占用
- 配合流量可视化平台做采样与分析
- 验证策略是否生效（对比镜像前后的实际报文）
华为 VRP
华为 VRP
observe-port 1 interface GigabitEthernet0/0/2 # 定义观察口（接抓包机）
interface GigabitEthernet0/0/1
port-mirroring to observe-port 1 both # 源口流量复制到观察口
display observe-port
display port-mirroring interface GigabitEthernet0/0/1思科 IOS
思科 IOS
monitor session 1 source interface GigabitEthernet0/1 both
monitor session 1 destination interface GigabitEthernet0/2
show monitor session 1
show monitor session all
! 删除：no monitor session 1H3C Comware
H3C Comware
mirroring-group 1 local
mirroring-group 1 mirroring-port GigabitEthernet1/0/1 both
mirroring-group 1 monitor-port GigabitEthernet1/0/2
display mirroring-group all
display mirroring-group 1三厂配置步骤对照
| 步骤 | 华为 VRP | H3C Comware | 思科 IOS |
|---|---|---|---|
| 建逻辑对象 | observe-port 1 interface ... | mirroring-group 1 local | monitor session 1（无需单独建组） |
| 指定目的口 | 在上一步的 observe-port 中指定 | mirroring-group 1 monitor-port ... | monitor session 1 destination interface ... |
| 引用源口 | 接口下 port-mirroring to observe-port 1 both | mirroring-group 1 mirroring-port ... both | monitor session 1 source interface ... both |
| 验证 | display observe-port | display mirroring-group all | show monitor session |
| 删除 | 接口下 undo port-mirroring | undo mirroring-group 1 | no monitor session 1 |
方向参数直接决定抓包量：both 会把进出两个方向的流量都复制，压力翻倍；只抓单向问题时用 inbound 或 outbound 可以减半抓包机与分析口的负担。
镜像目的口的带宽要提前评估：源口流量超过目的口能力时，超出的镜像包会被丢弃，抓到的报文不完整，凭不完整数据很容易得出错误结论。
配了镜像却抓不到包时的排查顺序：确认目的口已接好且抓包网卡处于 Up，再用 display/show 核查镜像会话是否真的生效。部分平台限制一个目的口只能承载一个镜像会话，会话冲突时要另选端口。