交换机端口镜像：网络变慢时抓包定位的正确姿势
导语：内网变慢，ping 正常、应用卡顿，重启大法失灵——该看看真实报文了。
一、场景痛点：查不出来的"网慢"
财务说系统卡、设计部传图慢，你 ping 服务器一切正常，重启交换机好半天又复发。偶发丢包、瞬时拥塞、异常广播，这类问题靠 ping 和日志根本看不见——它们藏在报文里。之前我们讲过用端口镜像做流量审计（本系列此前内容从流量审计与旁路监控角度讲过端口镜像，今天换个角度：把它当排障工具，教你把"网慢"抓个现行。
二、原理：一句话说清
端口镜像就是把某个端口（源）的流量复制一份发到另一个端口（观察口），你的抓包电脑接在观察口上，就能看到源端口的真实报文，对业务零影响。源端口好比嫌疑人，观察口好比单面镜后面的监控室。
三、实操步骤
第 1 步：选源端口。 网慢指向哪台设备/哪条上联，就把那个口设为源；方向选 both（双向）。
第 2 步：配镜像。 三厂商最小配置示例（不同型号与软件版本命令有差异，以各厂商官方文档为准）：
华为：
observe-port 1 interface GigabitEthernet0/0/24
interface GigabitEthernet0/0/1
port-mirroring to observe-port 1 both
新华三 H3C：
mirroring-group 1 local
mirroring-group 1 mirroring-port GigabitEthernet1/0/1 both
mirroring-group 1 monitor-port GigabitEthernet1/0/24
锐捷：
monitor session 1 source interface GigabitEthernet0/1 both
monitor session 1 destination interface GigabitEthernet0/24
第 3 步：抓包分析。 观察口接电脑，Wireshark 抓包后不要硬看原始流量，用过滤器缩小范围：
ip.addr == 192.168.1.10：只看怀疑的那台主机；tcp.analysis.flags：直接列出重传、乱序、重复确认——网慢的常见元凶；- 底部"专家信息（Expert Information）“面板，按severity 汇总问题。
重传集中在某台主机→查它的网卡/网线；集中在上联口→带宽拥塞；大量 ARP/广播→查环路或异常终端。
第 4 步：定位后撤掉镜像配置，别让监控口一直开着。
四、避坑清单
- 镜像口（观察口）绝不能接业务设备：否则轻则流量互串，重则成环，把小问题变成大故障。
- 观察口带宽要大于等于源流量：千兆源别镜像到百兆口，丢的镜像包会让分析结论失真。
- 双向镜像会有重复帧：同一往返出现在收发两个方向，统计时注意去重，别把流量翻倍误判。
- 高负载时镜像本身可能丢包：芯片来不及复制的帧会被丢弃，抓包结论要保守，“没抓到"不等于"没发生”。
- 注意合规边界：只抓排障所需的过滤范围，报文里可能有敏感数据，用完即删。
端口镜像配得对，“网慢"就从玄学变成看得见的重传和拥塞。三厂商混合组网的镜像配置、抓包分析与故障定位，可以找我们，帮你把问题抓个现行。