端口镜像
导语：想分析某条链路真实跑的是什么，又不能中断业务？端口镜像（SPAN）把指定端口的入向/出向流量复制一份到观察端口，接分析仪或审计设备，业务零影响。
一、为什么要关注
- 排查异常流量、协议交互需要"真实报文"；
- 合规审计要求对特定流量旁路采集；
- 性能基线分析依赖样本报文。 镜像让你在不碰生产流的前提下"听"到流量。
二、核心原理（多厂商客观对比）
镜像把一个或多个源端口的报文复制到目的端口，源业务不受影响；部分厂商支持远程镜像（ERSPAN）跨设备。
| 厂商 | 配置概念 | 命令风格特点 | 适用场景 |
|---|---|---|---|
| 华为 | observe-port + 镜像 | 观察端口概念 | 园区/数据中心 |
| 新华三 H3C | mirroring-group | 镜像组概念 | 政企网 |
| 锐捷 | monitor session | 类 Cisco | 教育/企业 |
| 思科 | monitor session | SPAN/ERSPAN | 跨国部署 |
| 迈普 | 国产镜像命令 | 信创体系 | 政务内网 |
| 信创国产 | 各有实现 | 自主可控 | 内网审计 |
三、落地做法/步骤（各厂商命令语法略有差异，以下为通用思路）
- 确定观察端口（连接分析仪/审计盒）；
- 定义镜像源：端口或 VLAN，选择入向/出向/双向；
- 绑定源到观察端口；
- 验证：分析仪能看到复制流量即成功。 通用建议：观察端口带宽需大于等于源流量，避免丢镜；镜像仅旁路，不改变转发。
四、网络如何为数据存储/备份提供安全底座
五、常见误区
- 观察端口带宽不足，镜像丢包导致分析失真；
- 镜像口接错设备，敏感流量泄露；
- 双向镜像叠加， analyzer 收到重复包误判。
六、小结与行动建议
端口镜像是"无损探针"：先定源、再定观察口、关注带宽与权限。把它用于存储流量旁路审计，是低成本提升可见性的好手段。