端口镜像：把流量旁路抄送给监控设备
导语：想看清真实流量又不想串接设备？端口镜像让一份拷贝流向分析器。
一、为什么要关注（背景与痛点）
某企业园区怀疑内网泄漏，但无法停机串接探针；运维要排查广播风暴源头。端口镜像（SPAN/RSPAN）把指定端口/VLAN 的流量复制一份到观察端口，业务零中断，是排障与安全监测的常用手段。
二、核心原理 / 关键概念
- 本地镜像：同设备内，源端口流量复制到目的观察端口。
- RSPAN：跨设备，经专用 VLAN 中转镜像流量。
- ERSPAN：三层封装，跨 IP 网络镜像（多见于数据中心）。
- 与分光器区别：分光物理层无丢包但需硬件；镜像在交换芯片，高负载可能丢镜像包。
- 多厂商客观对比：
| 维度 | 华为 | 新华三(H3C) | 锐捷 | 思科 | 迈普 | 信创国产 |
|---|---|---|---|---|---|---|
| 本地 | port-mirroring | mirror | monitor | SPAN | 同 | 同 |
| 跨设备 | RSPAN | RSPAN | RSPAN | RSPAN/ERSPAN | 同 | 同 |
| 适用场景 | 全 | 全 | 全 | 全 | 多场景 | 信创环境 |
注：各厂商命令语法略有差异。
三、落地做法 / 操作步骤
- 定源（业务口/VLAN）与目的（接探针的口）。
- 示例（思路，华为风格）：
observe-port 1 interface GigabitEthernet0/0/24
interface GigabitEthernet0/0/1
port-mirroring to observe-port 1 both
各厂商命令语法略有差异。
四、网络如何为数据存储/备份提供安全底座
把连接信创云盘/群晖 NAS 的接入端口镜像到安全探针，可审计备份流量异常、识别勒索软件横向扫描，且不影响存储业务。镜像流量本身应隔离在带外，观察端口不接业务网。网络以"旁路可见"支撑存储安全监测。
五、常见误区 / 避坑提醒
- 镜像目的口接普通业务，造成环路/泄露。
- 高流量源全镜像，交换芯片丢包致分析失真。
- RSPAN VLAN 未隔离，镜像流量窜入业务。
- 忘关镜像，长期暴露流量。