一、 端口镜像概述：为何是网络排障的利器

1.1 什么是端口镜像

端口镜像，也称为SPAN（Switched Port Analyzer），是一种网络监控技术。它允许将交换机上一个或多个源端口（或VLAN）的流量复制一份，发送到指定的目的端口。连接在目的端口的分析工具（如Wireshark）可以捕获并分析这些复制的流量，而不会影响源端口的正常数据传输。这就像在数据流经的管道上开了一个“观察窗”，让我们在不中断业务的情况下洞察网络内部的数据交换情况。

1.2 端口镜像的核心价值

在网络故障排查中，端口镜像的价值体现在：

1. 非侵入式监控：无需在源设备或源主机上安装任何软件，对业务流量无影响。
2. 实时数据捕获：能够实时捕获流量，为分析瞬时性故障提供可能。
3. 全面分析：可以捕获到包括二层（MAC地址、VLAN）和三层（IP地址）在内的完整数据包，便于进行深度协议分析。
4. 精准定位：可以精确指定需要监控的端口或VLAN，避免无关流量的干扰。

二、 华为 S5735 端口镜像类型：选择合适的模式

S5735支持两种主要的端口镜像模式，以满足不同的组网和监控需求。

2.1 本地端口镜像

本地端口镜像是指源端口和目的端口位于同一台交换机上。这是最简单、最常见的镜像方式，适用于在单个交换机上监控特定端口的流量。

2.2 远程端口镜像

远程端口镜像允许将源端口（位于源交换机）的流量镜像到远程的目的端口（位于目的交换机）。这种方式适用于需要将流量集中到一台高性能分析设备，或者源交换机和目的交换机物理位置分离的场景。

2.3 镜像类型对比

特性	本地端口镜像	远程端口镜像
源端口与目的端口位置	同一设备	不同设备
适用场景	单台设备流量监控	跨设备流量集中分析
配置复杂度	简单	较复杂，需配置远程目的
网络带宽消耗	仅在本地设备内部	消耗源设备和目的设备之间的网络带宽

三、 S5735 端口镜像配置步骤：从理论到实践

在配置之前，请务必做好规划，明确以下信息：

1. 源端口或VLAN：需要监控哪些端口或VLAN的流量？
2. 目的端口：哪个端口将连接抓包设备？
3. 镜像类型：选择本地镜像还是远程镜像？

3.1 本地端口镜像配置示例

假设我们需要监控 S5735 交换机上 GigabitEthernet0/0/1 端口的流量，并将镜像流量发送到 GigabitEthernet0/0/10 端口。配置步骤如下：

该流程图清晰地展示了从创建镜像组到应用配置的完整步骤。

具体配置命令如下：

system-view
# 创建本地镜像组 1
mirroring-group 1 local
# 将 GE0/0/1 配置为源端口，入方向和出方向流量均镜像
mirroring-group 1 monitor-port GigabitEthernet0/0/1 both
# 将 GE0/0/10 配置为目的端口
mirroring-group 1 reflect-port GigabitEthernet0/0/10

3.2 远程端口镜像配置示例

假设源交换机为 S5735-A，目的交换机为 S5735-B。我们需要将 S5735-A 上 GigabitEthernet0/0/1 端口的流量镜像到 S5735-B 的 GigabitEthernet0/0/20 端口。

此图展示了远程镜像在源设备和目的设备上的配置逻辑关系。

具体配置命令如下：

在源交换机 (S5735-A) 上：

system-view
# 创建远程镜像会话 10
mirroring-group 10 remote
# 将 GE0/0/1 配置为源端口
mirroring-group 10 monitor-port GigabitEthernet0/0/1 both
# 配置远程目的交换机的IP和目的端口
mirroring-group 10 remote-ip 192.168.1.2 reflect-port GigabitEthernet0/0/20

在目的交换机 (S5735-B) 上：

system-view
# 配置远程目的端口，注意端口的 hybrid 或 access 模式
interface GigabitEthernet0/0/20
port link-type hybrid
port hybrid untagged vlan 1
# 将该端口加入远程镜像会话 10
mirroring-group 10 reflect-port GigabitEthernet0/0/20

四、 镜像会话管理：查看与删除

配置完成后，可以通过命令行查看镜像会话的状态，并在不再需要时删除。

4.1 查看镜像会话

使用 display mirror-session 命令可以查看所有已配置的镜像会话的详细信息，包括会话ID、类型、源端口、目的端口等。

此流程图展示了查看镜像会话命令的执行过程和返回的关键信息。

4.2 删除镜像会话

当镜像会话不再需要时，可以使用 undo mirror-session 命令删除，释放相关资源。

system-view
# 删除镜像会话 1
undo mirror-session 1

五、 常见问题与最佳实践：让镜像更高效

5.1 常见配置错误

1. 目的端口模式错误：目的端口必须配置为混杂模式（hybrid 或 trunk），否则无法接收镜像流量。
2. 远程镜像网络不通：远程镜像依赖于源设备和目的设备之间的可达性，需确保网络层连通。
3. 镜像会话冲突：一个端口不能同时作为多个镜像会话的目的端口。

该状态图描述了镜像会话从配置到成功或失败的状态转换过程。

5.2 性能影响与优化

镜像大量高带宽端口的流量可能会对交换机的CPU和目的端口的处理能力造成压力。建议：

• 仅镜像必要的流量。
• 使用高性能的分析设备作为目的端口。
• 监控目的端口的负载，避免因分析设备处理能力不足导致丢包。

5.3 最佳实践总结

遵循以下最佳实践可以确保端口镜像的有效性和稳定性。

此饼图直观地展示了各项最佳实践的重要性占比。

六、 案例分析：通过镜像定位 ARP 攻击

6.1 故障现象

某部门网络频繁出现 IP 冲突提示，导致部分主机无法正常上网。

6.2 使用镜像定位问题

网络管理员怀疑是 ARP 攻击，决定在接入交换机（S5735）上对故障 VLAN 的上行端口进行镜像，将流量引至一台 PC 上的 Wireshark 进行分析。

此时序图展示了流量从源主机到交换机，再到分析工具，最终由管理员发现问题的过程。

6.3 分析抓包数据

通过 Wireshark 分析镜像流量，发现网络中存在大量源 MAC 地址相同但目标 IP 地址不同的 ARP 请求，这是典型的 ARP 欺骗攻击特征。通过分析这些 ARP 报文，可以快速定位到发起攻击的主机，并采取隔离措施。

七、 总结

端口镜像是网络工程师的“透视眼”，尤其在华为 S5735 等企业级交换机上，其配置灵活、功能强大。掌握本地和远程镜像的配置方法，结合实际案例分析，能够显著提升网络故障的排查效率。在实际应用中，务必遵循最佳实践，合理规划镜像策略，才能让这项技术发挥最大价值，成为网络稳定运行的坚实保障。