机房流量镜像，镜像客户流量用于安全审计风险检测

机房流量镜像，简单说就是让交换机把某一端口、VLAN 或全部流量复制一份，发送给安全审计设备。
这样既不影响正常业务，又能对客户流量做实时风险检测。
本文适合刚接触镜像功能的网络新手，照着步骤完成配置并验证，全程不需要额外改动现有业务网段。

流量镜像能解决什么问题？

流量镜像主要解决“如何在业务不中断的情况下获取网络数据”的问题。
常见场景包括：

• 等保合规要求下的安全审计
• 入侵检测系统（IDS）和威胁分析平台的数据源
• 网络故障定位与攻击溯源
• 核心客户流量的行为分析与风险预警

通过镜像，安全设备能“旁路”收包，不需要串接在链路中间，避免单点故障和性能瓶颈。

配置前需要准备什么？

在动手配置前，先确认四件事：

• 交换机支持端口镜像功能，并有管理权限（一般通过 console 或 SSH 登录）。
• 有可用的安全审计设备或抓包服务器，且 IP 地址能连通。
• 明确要镜像的流量：是某个服务器端口，还是某个客户 VLAN，还是整个上行口。
• 选定一个空闲物理端口作为“镜像目的端口”，并用网线连接到审计设备。

注意：镜像目的端口最好单独使用，不要接其他业务，否则会干扰数据接收。

交换机端口镜像配置步骤

下面以常见的华为和 H3C 交换机为例，展示如何把端口 GigabitEthernet0/0/1 的出入向流量镜像到端口 GigabitEthernet0/0/24。

1. 进入系统视图：

system-view

1. 创建观察端口（即目的端口）：

observe-port 1 interface GigabitEthernet0/0/24

1. 进入源端口，把流量镜像到观察口：

interface GigabitEthernet0/0/1
port-mirroring to observe-port 1 both

其中 both 表示双向镜像，也可以改成 inbound 或 outbound 只看单向。
如果你的业务是核心客户流量，建议 both，保证上下行都能被审计。

如果需要镜像整个 VLAN 的流量，可以把端口镜像换成 VLAN 镜像，命令类似：

observe-port 1 interface GigabitEthernet0/0/24
vlan 10
mirroring to observe-port 1 both

远程镜像（RSPAN）适用于多台交换机汇聚流量，配置相对复杂，这里先不展开。

验证镜像流量是否正常

配置完成后，在安全审计设备上抓包，确认能收到来自源端口的数据。

以 Linux 抓包为例：

tcpdump -i eth0 -nn -c 100

如果能看到源端口设备的 IP 和协议包，就说明镜像生效。
如果是图形化审计平台，直接查看实时流量或事件列表即可。

避坑指南与常见问题

• 镜像端口不能当普通口用：一旦配置为观察口，该端口通常不再转发业务报文，请避免把业务线插上去。
• 注意带宽上限：镜像口如果接的是千兆口，但源端口是万兆，会丢包。需要确认审计设备接口速率不低于源端口。
• 看不到流量时，优先检查方向：很多配置不生效是因为只镜像了 inbound 或 outbound，而实际流量是另一个方向。
• 启用镜像后 CPU 可能升高：监控大量端口或 VLAN 时，交换机 CPU 会受到影响，建议按需镜像，不要全量镜像所有端口。
• VLAN 镜像注意客户隔离：如果两个客户 VLAN 存在访问控制，镜像流量到同一审计口后，审计设备需要做好逻辑隔离，避免数据混淆。

如果按照上述步骤操作后依然没有镜像流量，建议先检查交换机的 display observe-port 命令输出，确认观察端口状态正常，再在审计设备上抓包对比。

如果你正在处理机房流量镜像用于安全审计风险检测，建议先按本文步骤完成基础配置，再根据实际网络拓扑调整镜像方向和范围。
遇到异常时，优先回看避坑部分，多数问题出在端口速配、方向选择和观察口复用上。