交换机镜像口配置通常需进入系统视图，指定镜像源端口、观察端口及流量方向，以华为为例：创建观察口（observe-port），绑定镜像源并设置inbound/outbound/both方向，最后启用镜像功能，不同品牌命令略有差异，需参考设备手册。
在网络管理中，交换机镜像口（Port Mirroring）是用于监控和故障排查的重要功能，通过将指定端口的流量复制到镜像端口，管理员可以实时分析数据包，确保网络安全和性能优化，以下是不同品牌交换机的镜像口配置方法,结合实际操作场景提供详细指导。
配置前的准备工作
- 确认设备型号与系统版本
不同厂商的交换机命令存在差异，需提前确认设备型号及操作系统版本（如华为的VRP、H3C的Comware、思科的IOS）。 - 规划镜像端口与监控端口
- 镜像源端口（被监控端口）：需要复制流量的端口（如接入服务器的端口）。
- 镜像目的端口（观察端口）：接收复制流量的端口（通常连接抓包工具如Wireshark）。
主流交换机镜像口配置命令
华为交换机
# 进入系统视图 system-view # 创建本地镜像组 observe-port 1 interface GigabitEthernet0/0/1 # 设置目的端口为G0/0/1 # 配置镜像源端口（以G0/0/2为例） interface GigabitEthernet0/0/2 port-mirroring to observe-port 1 inbound # 监控入方向流量 port-mirroring to observe-port 1 outbound # 监控出方向流量 quit
参数说明：
inbound：仅监控进入交换机的流量。outbound：仅监控离开交换机的流量。both：同时监控双向流量（部分型号支持）。
H3C交换机
# 进入系统视图 system-view # 创建镜像组 mirroring-group 1 local # 配置镜像目的端口 mirroring-group 1 monitor-port GigabitEthernet1/0/1 # 添加镜像源端口（以G1/0/2为例） mirroring-group 1 mirroring-port GigabitEthernet1/0/2 both # 监控双向流量
扩展功能：
- 基于VLAN的镜像：
mirroring-group 1 mirroring-vlan 10 - 基于ACL的镜像：通过ACL规则筛选特定流量。
思科交换机（Catalyst系列）
# 进入全局配置模式 configure terminal # 配置镜像源与目的端口 monitor session 1 source interface GigabitEthernet0/1 # 监控G0/1端口的流量 monitor session 1 destination interface GigabitEthernet0/2 # 将流量复制到G0/2 # 设置监控方向（默认双向） monitor session 1 source interface GigabitEthernet0/1 both
高级配置：
- 远程镜像（RSPAN）：跨交换机镜像流量，需配置VLAN承载镜像数据。
- 过滤镜像流量：通过ACL限制镜像内容。
验证配置是否生效
- 查看镜像组状态
- 华为：
display observe-port - H3C：
display mirroring-group all - 思科：
show monitor session 1
- 华为：
- 使用抓包工具测试
将抓包设备接入镜像目的端口，若捕获到源端口的流量,则配置成功。
常见问题与解决方法
- 目的端口无法接收数据
检查目的端口是否启用，建议关闭STP、端口安全等可能阻塞流量的功能。
- 镜像流量不全
- 确认监控方向（inbound/outbound）是否覆盖需求。
- 部分低端交换机可能因硬件限制无法镜像高速流量。
- 多端口镜像配置冲突
确保镜像组编号唯一,避免重复绑定端口。
典型应用场景
- 网络入侵检测（IDS）：将镜像流量发送至IDS设备分析异常行为。
- 流量性能监控：统计带宽利用率或协议分布。
- 故障定位：捕获异常数据包排查网络延迟、丢包问题。
注意事项
- 带宽匹配：镜像端口的带宽需大于或等于源端口的峰值流量，避免丢包。
- 安全性：镜像目的端口可能暴露敏感数据，需限制访问权限。
- 资源占用：长期开启镜像可能增加CPU负载,建议按需使用。
引用说明
本文参考了华为、H3C、思科官方文档及《网络工程师实战指南》，结合实际操作经验整理，具体命令可能因设备型号或系统版本存在差异,请以厂商手册为准。
原创文章，发布者：酷盾叔，转转请注明出处：https://www.kd.cn/ask/4799.html
