端口镜像是什么
端口镜像把指定接口或 VLAN 的流量复制一份送到观察口，供分析设备抓包，全程不影响原流量转发。它是排障的最后一环：当策略命中和会话表都看不出问题时，用镜像抓包确认设备收到的报文长什么样、输出是否被改写，能直接判定丢包发生在设备内还是外部。镜像会占用上行带宽，观察口与业务口混用时可能造成拥塞。
基本信息
| 用途 | 在不影响业务的前提下复制流量供分析 |
|---|---|
| 华为做法 | observe-port 定义观察口，业务接口下 port-mirroring 指定方向 |
| H3C 做法 | 用 mirroring-group 定义镜像组，指定镜像口与监控口 |
| 方向选择 | 可镜像入方向、出方向或双向，按排查目标选择 |
| 容量注意 | 镜像流量叠加到观察链路，注意不要与业务共享上行 |
典型使用场景
- 策略丢包排查：确认设备是否收到报文、丢弃发生在哪一侧
- NAT 验证：抓包对比转换前后的地址与端口是否符合预期
- 安全事件取证：把可疑流量导出供分析设备解析
- 联动验证：与 IPS、WAF 联动时确认流量是否真的经过设备
- 应用问题定位：判断是网络层丢包还是应用层响应异常
华为示例
华为示例
system-view
observe-port 1 interface GigabitEthernet1/0/24 # 观察口
interface GigabitEthernet1/0/1
port-mirroring to observe-port 1 both # 双向镜像业务口
quit
display observe-port # 核对观察口配置H3C 思路
H3C 思路
mirroring-group 1 local
mirroring-group 1 mirroring-port GigabitEthernet1/0/1 both
mirroring-group 1 monitor-port GigabitEthernet1/0/24
# 监控口接分析设备，不与业务链路共用上行使用注意
| 注意点 | 原因 | 做法 |
|---|---|---|
| 观察口要接线 | 未接分析设备时抓不到包 | 确认接线与抓包工具就绪 |
| 带宽占用 | 镜像流量叠加在原链路上 | 避免与业务共用一个上行 |
| 方向选择 | 只看一侧容易误判 | 同时镜像入向与出向对比 |
| 镜像不影响转发 | 业务侧无感知但容量受影响 | 排查完成及时拆除镜像 |
| 镜像范围 | 全量镜像噪声大 | 按接口或 VLAN 收窄范围 |
排查结束后及时拆除镜像：长期开启不仅占用带宽，还可能把业务流量复制到分析设备上，形成额外的数据暴露面。