旁路取流的两种方式
旁路检测设备需要拿到流量副本，取流方式主要有两种：交换机镜像口与专用 TAP。镜像利用交换机现有功能，成本低但受交换机性能与流量压力影响，流量大时可能丢包；TAP 是专用分光设备，稳定性更好，但需要额外硬件与链路改造，通常还要停机窗口。关键链路优先 TAP，一般链路用镜像即可。
基本信息
| 镜像 | 复用交换机功能，成本低，流量大时可能丢包 |
|---|---|
| TAP | 专用分光设备，稳定性好，需要硬件与停机窗口 |
| 选择原则 | 关键链路优先 TAP，一般链路可用镜像 |
| 注意 | 镜像方向与过滤条件要核对，避免漏采单向流量 |
典型使用场景
- 新建旁路检测：按链路重要性与带宽选择取流方式
- 高带宽链路：10G 以上优先考虑 TAP，避免镜像丢包
- 临时验证性检测：镜像足够，可以快速上线
- 交换机负载已较高：再叠加镜像会加重负担，倾向 TAP
- 不允许中断业务：评估无源 TAP 等不停机方案
选择清单
选择清单
# 链路带宽高（10G 以上） -> 倾向 TAP
# 交换机负载已较高 -> 倾向 TAP
# 临时验证性检测 -> 镜像足够
# 不允许中断业务 -> 评估无源 TAP
# 无论哪种方式，都要核对镜像方向与 VLAN 过滤配置
# 上线前用真实流量核对采集到的会话完整性方式对比
| 维度 | 镜像 | TAP |
|---|---|---|
| 成本 | 低，复用交换机现有功能 | 需要专用硬件与链路改造 |
| 稳定性 | 高负载时可能丢包 | 稳定性好 |
| 上线影响 | 通常无需停机 | 可能需要停机窗口 |
| 多链路汇聚 | 受交换机端口与性能限制 | 更适合多条链路汇聚 |
镜像方向与过滤条件要实际验证：只镜像了单方向或 VLAN 过滤配置不当，检测设备会漏采一半会话，分析结论随之失真。