抓包位置决定结论
同一个故障，在不同的位置抓包会得到完全不同的结论。接入口镜像能看到终端实际发出的帧，上联口镜像看到的是汇聚后的流量，网关侧看到的是跨网段交互与网关行为。选错位置，要么抓不到故障帧，要么被大量无关流量淹没。抓包前先想清楚要回答的问题是什么，再决定在哪里抓、抓哪个方向。
基本信息
| 选择依据 | 要回答的问题：终端侧、网段侧还是网关侧 |
|---|---|
| 方向选择 | 入方向看终端发来的帧，出方向看设备发出的帧 |
| 容量约束 | 大流量镜像会超载，需要精准过滤 |
| 标签处理 | 镜像口可能去除 VLAN 标签，分析前先确认 |
选择原则
- 单终端问题在接入口抓，只需入方向即可看到终端发出的全部帧
- 网段级问题在上联或汇聚口抓，必须加过滤条件控制流量
- 跨网段与地址解析问题在网关侧抓，能同时看到两端行为
- 怀疑某条成员链路时按成员口抓，不要用聚合口代替
- 抓包点与结论要一起记录，脱离位置的数据无法解读
抓包点
| 位置 | 适用 | 注意 |
|---|---|---|
| 终端接入口 | 单终端问题 | 镜像入方向即可 |
| 上联或汇聚口 | 网段级问题 | 流量大需过滤 |
| 网关侧 | 跨网段与地址解析 | 看虚拟 MAC 与网关行为 |
| 聚合口 | 成员链路问题 | 需指定成员口镜像 |
| 堆叠成员口 | 跨成员转发问题 | 确认流量实际经过哪个成员 |
常见镜像配置
常见镜像配置
observe-port 1 interface GigabitEthernet0/0/24 # 华为：定义观察口
interface GigabitEthernet0/0/1
port-mirroring to observe-port 1 inbound # 华为：只镜像入方向
monitor session 1 source interface GigabitEthernet1/0/1 rx # 思科：只镜像接收方向
monitor session 1 destination interface GigabitEthernet1/0/24 # 思科：目的口镜像口默认可能去标签，分析 VLAN 问题时确认标签处理方式：抓到不带标签的帧不代表链路上真的没有标签，可能只是镜像过程中被剥掉了。
大流量镜像口超载会丢包，抓到的数据不完整。用精准过滤条件缩小范围，比事后从海量数据里找线索更可靠。