SPAN 会话的组成
思科把本地端口镜像称为 SPAN，用 monitor session 定义会话：source 指定被镜像的接口或 VLAN 以及方向，destination 指定接分析设备的端口。一个会话可以配置多个 source，destination 通常只有一个。它是思科平台排障与流量分析的默认工具，跨设备镜像则由 RSPAN 或 VSPAN 承担。
基本信息
| 关键命令 | monitor session |
|---|---|
| 方向参数 | rx、tx、both |
| 查看命令 | show monitor session 1 |
| destination 特性 | 不再转发普通业务流量 |
| 跨设备方案 | RSPAN 需专用 VLAN，ERSPAN 需三层封装支持 |
典型使用场景
- 协议交互异常时抓包确认报文内容与到达情况
- 怀疑丢包时对上下行做双向镜像，对比两端收发差异
- 旁路接入检测设备，做流量分析与威胁发现
- 变更或割接前采样流量基线，留存现场证据
- 与安全设备联动，按需短时镜像特定源端口
- 镜像流量与目的口速率不匹配时，评估改为抽样镜像或只在需要时开启会话
- 安全设备专项排查时，先确认会话未被上一条临时配置占用，会话号冲突会让新配置静默失败
配置参考
配置参考
monitor session 1 source interface GigabitEthernet1/0/1 both # 源口双向镜像
monitor session 1 source interface GigabitEthernet1/0/2 rx # 可追加多个源
monitor session 1 destination interface GigabitEthernet1/0/24 # 目的口接分析设备
show monitor session 1 # 查看会话是否生效
show monitor session all # 查看全部会话
no monitor session 1 # 排障结束删除会话会话类型
| 类型 | 范围 | 额外要求 |
|---|---|---|
| SPAN | 同一台设备内的端口或 VLAN | 无 |
| VSPAN | 以 VLAN 为源 | 需确认平台对源类型的支持 |
| RSPAN | 跨多台设备的二层镜像 | 需规划专用 VLAN 并在沿途放行 |
| ERSPAN | 跨三层网络的封装镜像 | 需平台支持与目的地址可达 |
资源评估：镜像会话占用交换芯片资源，高带宽双向镜像前先评估容量，必要时收窄为单向，或改用基于 VLAN 的源以减少源口数量。目的口建议写清端口描述注明用途与联系人，避免他人误当空闲口接业务设备。
destination 口配置后不再转发普通业务流量，若原先接着业务设备，会立即导致该设备断网。配之前确认该端口是空闲口。