点击上方网络技术干货圈，选择设为星标

优质文章，及时送达

在网络工程师的日常工作中，网络流量的监控和分析是非常重要的一项工作。无论是为了确保网络的正常运行，还是为了及时发现和排除网络故障，镜像（port mirroring）功能都是一种常见而有效的技术手段。镜像功能为网络流量的监控和分析提供了必要的工具，帮助网络管理员在不影响网络正常运行的情况下进行数据的捕获和分析。

什么是镜像？

镜像，也被称为端口镜像或端口监控，是一种网络功能，通过它可以将指定端口的网络流量复制到其他端口，从而允许管理员实时分析该端口的报文数据。网络中的每个交换机或路由器通常都有多个端口用于数据转发，而镜像功能则可以帮助网络管理员针对特定的端口流量进行监控和分析。

镜像功能的核心在于流量的复制。具体来说，某个端口上的进出流量并不会直接改变其正常的转发功能，设备会将这些流量复制一份，并通过另一个端口将这份数据传输到监控设备上。这种机制使得管理员能够实时查看并分析某个端口的网络活动，而不会干扰设备的正常运作。

镜像示意图

镜像的主要用途

镜像功能通常用于以下几个主要场景：

网络流量监控：镜像功能为管理员提供了对特定设备或端口上网络流量的实时监控能力。这对于分析网络性能、优化配置以及检测流量异常非常重要。
故障排查：当网络中出现故障时，镜像功能能够帮助管理员精确定位问题所在。例如，通过分析镜像的报文数据，可以判断某个应用是否正常运行、某段通信是否丢包、或是否存在潜在的网络攻击。
网络安全：镜像可以用于安全审计和入侵检测。通过镜像流量，管理员能够识别网络中的恶意行为，如 DoS 攻击、数据泄露等。

镜像的分类

根据应用场景的不同，镜像可以分为不同类型。最常见的分类方式是按照镜像的流量方向来进行区分：

入方向镜像：只监控进入镜像端口的流量，即从外部网络传入设备的报文数据。
出方向镜像：只监控从镜像端口发出的流量，即设备向外部网络发送的报文数据。
双向镜像：同时监控进入和发出镜像端口的流量。这种方式通常用于需要全面分析网络流量的场景。

此外，还可以根据镜像的实现方式进行分类，如本地镜像和远程镜像：

本地镜像：在同一台设备（如交换机或路由器）上进行的镜像操作。被镜像的端口和观察端口位于同一台设备上。
远程镜像：将某台设备上的流量复制到远程设备上的指定端口。远程镜像常用于跨设备的网络监控场景。

镜像端口和观察端口

在镜像功能中，镜像端口和观察端口是两个关键概念。它们共同构成了镜像功能的核心，通过这两个端口的协同作用，实现网络流量的复制和分析。

镜像端口

镜像端口是网络中被监控的端口，它负责承载设备的正常业务流量。在镜像功能中，镜像端口上的流量会被设备复制，并发送到观察端口。镜像端口的主要作用是让管理员可以实时监控该端口上的进出流量，而不会影响设备的正常运作。

镜像端口的配置可以根据具体需求设定为入方向、出方向或双向流量镜像。这些配置决定了管理员可以监控的流量方向。例如，在一些网络安全审计场景中，管理员可能只需要监控进入网络的流量，而不关心发送出去的流量，因此可以只配置入方向镜像。

观察端口

观察端口是用于接收从镜像端口复制过来的流量的端口。观察端口通常连接着网络监控设备，如网络流量分析仪或入侵检测系统（IDS）。镜像端口上复制过来的流量将通过观察端口传输给监控设备，从而实现对特定端口流量的分析。

观察端口的设计原则是尽可能避免与其他业务流量混合。由于观察端口主要用于接收镜像流量，因此不建议在其上配置其他业务，以免不同的流量类型混杂在一起，影响监控设备的分析准确性。此外，观察端口的带宽必须匹配镜像端口的带宽，以避免流量丢包的情况发生。

镜像端口和观察端口的区别

从功能上来说，镜像端口和观察端口有着显著的区别：

功能角色不同：镜像端口是负责传输设备正常业务流量的端口，它的主要任务是通过镜像功能复制流量；观察端口则专门用于接收复制过来的流量，并将其传输给监控设备进行分析。
流量方向不同：镜像端口上的流量可以是双向的，即既有进入的流量，也有发出的流量；而观察端口的流量通常是单向的，只接收从镜像端口复制过来的数据。
配置注意事项不同：镜像端口的配置通常不会改变其正常的业务运作，而观察端口则应尽量避免承载其他业务流量，以免影响镜像数据的分析准确性。

在实际配置中，镜像端口和观察端口的带宽匹配问题是网络工程师需要特别注意的一点。如果镜像端口的带宽大于观察端口的带宽，可能会导致观察端口因带宽不足而丢包。例如，镜像端口的带宽为 1000Mbit/s，而观察端口的带宽仅为 100Mbit/s，这种情况下观察端口无法及时处理和传输所有镜像数据，导致部分报文丢失，从而影响网络分析的准确性。

为避免这种情况，管理员需要确保镜像端口和观察端口的带宽匹配，或者在多个观察端口之间分配镜像流量，以减少带宽压力。