尧图网站建设 
简介这是一份面向网络工程师和高校网络技术学习者的 eNSP 实验资源围绕路由器镜像端口的配置与验证展开帮助读者在模拟环境中掌握 SPAN 端口流量复制、监控与故障诊断方法。资源共 2 个文件包含 1 个 XML 配置文件和 1 个 topo 拓扑文件整体压缩包约 2KB体积小巧、便于快速导入 eNSP 直接开展实验。已有 83 人浏览/学习适合正在备考网络认证或需要补充交换网络实操经验的人群。通过该拓扑可直观观察镜像源端口与目标端口的对应关系梳理面向路由器及交换网络的流量监控配置思路并在验证环节检查端口工作状态、流量复制是否正常从而加深对网络可观测性和安全管理理念的理解。对希望反复练习路由器镜像口配置、提升排错能力的工程师而言这是一份简洁实用的模拟实验素材。 做了这么多年网络运维和实验教学我见过太多人在 eNSP 里折腾“路由器镜像端口”要么配置完抓不到包要么搞不清楚镜像方向和观察端口的关系。其实路由器镜像端口的配置与验证并没有那么玄乎核心就三件事选对观察端口、选对被镜像端口、会看抓包结果。这篇文章我就以 eNSP 为实验环境完整走一遍路由器镜像端口的配置与验证流程把命令原理、验证方法和踩过的坑一次讲清楚适合刚学网络抓包分析、准备 HCIA/HCIP 实验、或者工作中需要做流量审计和故障定位的朋友参考。1. 镜像端口到底解决什么问题先说场景再说原理1.1 为什么需要给路由器做镜像先说一个非常实际的场景。你在公司维护一套网络某台路由器下面的用户反馈“网页打不开”“视频卡顿”你想看看这台路由器转发的流量到底是什么情况但路由器本身又没有专门的流量分析接口。这时候最直接的办法就是把路由器某个接口上的流量复制一份出来接到一台运行着 Wireshark 的电脑上做分析这就是端口镜像最典型的用途。端口镜像的官方叫法是 Port Mirroring有时候也叫 SPANSwitched Port Analyzer。它的核心逻辑不复杂设备把一个或多个源端口的入方向、出方向或者双向报文复制一份发送到一个指定的观察端口。观察端口通常是接抓包主机、IDS/IPS 探针、流量分析系统的那个口。在路由器上做镜像和交换机上做镜像本质是同一个思想但路由器的应用场景更偏向于“分析经过三层转发的流量”而交换机镜像更多是“分析二层交换域内的流量”。比如你想看两个不同网段的主机通过路由器通信时的完整报文交互那在路由器接口上做镜像就是正确的选择。如果你只是想看同一个 VLAN 里两台服务器的通信那直接在交换机上做镜像更合适。1.2 路由器镜像与交换机镜像的差异我用一句比较直白的话来总结两者的区别交换机镜像看到的是“同一栋楼里各家各户的串门记录”路由器镜像看到的是“小区与小区之间的进出车辆记录”。在很多 eNSP 的入门教程里大家更习惯用交换机做镜像实验因为交换机的端口多、接入方便而且华为 S5700 系列交换机的配置命令非常经典。但路由器的镜像实验相对少一些原因是 eNSP 自带的 AR 路由器比如 AR2220在不同版本里对端口镜像的支持程度不一样。有的版本用observe-port命令就能配有的版本在路由器接口下根本找不到port-mirroring这条命令。这一点我放到后面“常见问题”里专门说这里先铺垫一下。另外还有一个容易混淆的概念路由器的流量是“路由转发”的报文从一个接口进来查路由表之后从另一个接口出去。如果你把镜像配置在入接口抓到的是原始报文配置在出接口抓到的是路由器处理完转发的报文。这两者的报文内容是相同的因为路由器默认不修改三层报文内容但 CPU 消耗和镜像效果还是会有差别。实操中如果只想确认“这个包到底有没有从某个接口发出去”就配出方向镜像。2. eNSP 实验环境与拓扑搭建设计2.1 实验拓扑与设备选型我用 eNSP 搭建了一个最简单的实验环境拓扑长这样一台 AR2220 路由器作为核心转发设备两台 PCPCA 和 PCB分别连接路由器的 GE0/0/0 和 GE0/0/1一台 PC 作为抓包分析主机PC 分析机连接路由器的 GE0/0/2 作为观察端口。这个拓扑对应一个很典型的三层互通场景PCA 和 PCB 处于不同网段它们通信时必须经过路由器转发。我们想做的验证目标很明确在 PCA ping PCB 的同时通过路由器 GE0/0/0 接口的镜像把 PCA 发出的报文复制到分析机上确认 ARP 请求、ARP 应答、ICMP Echo Request 和 ICMP Echo Reply 这些报文是否完整出现在抓包结果里。设备选型上我用的是 eNSP 自带的 AR2220。如果你打开 eNSP 发现设备启动失败或者版本太老建议先检查 VirtualBox 的版本兼容性Windows 11 下尤其容易出现 AR 路由器启动失败的情况这个我后面也会提到。2.2 基础接口 IP 配置先把基础三层配置做起来。路由器三接口的 IP 规划如下设备/接口IP 地址用途PCA192.168.10.10/24被镜像源端主机PCB192.168.20.10/24通信对端主机R1 GE0/0/0192.168.10.1/24镜像源端口R1 GE0/0/1192.168.20.1/24转发端口R1 GE0/0/2192.168.100.1/24观察端口PC 分析机192.168.100.10/24抓包分析主机路由器上的配置命令如下system-view sysname R1 interface GigabitEthernet0/0/0 ip address 192.168.10.1 255.255.255.0 undo shutdown interface GigabitEthernet0/0/1 ip address 192.168.20.1 255.255.255.0 undo shutdown interface GigabitEthernet0/0/2 ip address 192.168.100.1 255.255.255.0 undo shutdownPCA 和 PCB 的 IP 地址需要在 eNSP 的“PC 机”图标上双击打开配置面板填写子网掩码写成 255.255.255.0网关分别填 192.168.10.1 和 192.168.20.1。分析机同样填写 192.168.100.10网关填 192.168.100.1。这里有一个特别容易忽略的细节观察端口本身需要配置一个 IP 地址吗答案是“建议配置”。虽然端口镜像的原理是把报文复制到观察端口观察端口理论上可以被看作一个纯被动监听口但在华为设备上如果你不给它配 IP接口默认处于 down 状态而处于 down 状态的接口是不会转发镜像报文的。所以务必给观察端口配上 IP 并执行undo shutdown或者至少保证接口物理状态是 up 的。实际抓包时分析机不需要和观察端口通信分析机只要能收到镜像报文就够了但接口 up 是前置条件。3. 路由器镜像端口配置实操3.1 观察端口与被镜像端口规划开始配置之前先明确一下我在这个实验里做的规划被镜像端口路由器的 GE0/0/0也就是 PCA 所接的接口镜像方向both也就是入方向和出方向都镜像。这样 PCA 发给 PCB 的报文入方向和 PCB 返回给 PCA 的报文出方向都能被复制观察端口路由器的 GE0/0/2连接 PC 分析机。做这个规划时有两点考量。第一为什么不镜像 GE0/0/1 而只镜像 GE0/0/0因为在这个场景里PCA 和 PCB 之间的通信是双向的从 GE0/0/0 的视角看入方向能看到 PCA 发出的报文出方向能看到从 PCB 返回的报文。一个端口做两个方向的镜像就足够覆盖完整通信过程了没必要再在多端口上重复镜像减少对设备性能的影响。第二为什么不直接拿 GE0/0/0 同时接 PCA 和分析机物理上一个接口只能接一条线分析机要接入网络必须在路由器上单独占用一个接口这就是观察端口的意义。3.2 端口镜像配置命令执行过程华为路由器端口镜像的配置思路分两步走先定义观察端口再把被镜像端口“指向”观察端口。我用的是华为 AR 路由器上常见的observe-port配置方式命令序列如下system-view observe-port 1 interface GigabitEthernet0/0/2 interface GigabitEthernet0/0/0 port-mirroring to observe-port 1 both第一条命令observe-port 1 interface GigabitEthernet0/0/2的意思是创建一个编号为 1 的观察端口实际出接口是 GE0/0/2。观察端口的编号是本地概念只在设备内部有效编号范围从 1 开始不同型号支持的数量不一样但 AR2220 上创建一两个完全够用。第二条命令进入 GE0/0/0 接口视图执行port-mirroring to observe-port 1 both。这条命令的意思是把当前接口的报文镜像到编号为 1 的观察端口。both代表双向镜像也可以写成inbound只镜像入方向或者outbound只镜像出方向。执行完这两条命令配置就完成了。这里我补充一个实操中的细节判断在真实华为 AR 路由器上部分软件版本需要先进入接口视图再执行port-mirroring而部分版本支持在系统视图直接指定源端口。eNSP 里模拟的是企业版特性用上面这套命令是通行的做法。如果你在接口下敲port-mirroring发现命令不可用大概率是这台路由器的系统版本不支持可以检查 VRP 版本或者更换设备型号。3.3 配置结果检查命令配置提交之后别急着抓包先用查看命令确认一下镜像配置是否生效。display port-mirroring这条命令会列出所有观察端口、对应的被镜像端口和镜像方向。如果输出里能看到类似这样的信息Observe-port 1 : GigabitEthernet0/0/2 GigabitEthernet0/0/0 inbound and outbound说明配置已经生效。如果输出为空说明镜像没有配置成功需要回到接口视图重新检查port-mirroring命令是否被正确执行。还可以用display observe-port查看观察端口的信息。华为 AR 路由器上这两条命令都能用区别在于display port-mirroring更侧重于镜像映射关系而display observe-port更侧重于观察端口本身的配置情况。实验时随便用哪条都行。4. 镜像效果验证抓包与现象分析4.1 使用 eNSP 抓包功能验证eNSP 自带的抓包功能是我最喜欢的一点它不需要外接 Wireshark直接在接口上就能抓包。先把分析机打开然后在路由器的 GE0/0/2 接口上右键选择“开始抓包”。注意这里抓的是观察端口的报文也就是镜像报文不是源端口 GE0/0/0 的报文。这里有一个非常容易踩的坑有人习惯直接在源端口 GE0/0/0 上右键“开始抓包”然后说“我没配置镜像也抓到包了呀是不是镜像没必要”这是因为 eNSP 软件本身会在任意接口上做抓包模拟你直接抓源端口当然能抓到原始报文但这并不是端口镜像的效果。真正的端口镜像验证必须在观察端口上抓包抓到的是从源端口复制过来的报文而不是源端口本身的报文。实验时一定要区分清楚。我建议的做法是同时在源端口和观察端口开启抓包对比两者收到的报文是否一致。源端口上的报文就是原始流量观察端口上的报文是镜像流量。如果观察端口能抓到和源端口相同的报文说明镜像确实把流量复制了一份过去验证目的达成。4.2 验证典型协议报文ARP 与 ICMP在 PCA 上打开命令行执行ping 192.168.20.10 -t-t参数是持续 ping这样可以保证有持续的流量产生方便抓包。然后等 3 到 5 秒回到 eNSP 的抓包窗口停止抓包开始分析报文。正常情况下你在观察端口 GE0/0/2 的抓包里应该能看到以下四类报文。第一类是 ARP 请求报文。PCA 第一次访问 192.168.20.10 时它的 ARP 缓存里没有 PCB 的 MAC 地址所以会先发送 ARP 广播请求“谁是 192.168.20.10”。这个广播报文会到达路由器的 GE0/0/0然后被镜像到观察端口。第二类是 ARP 应答报文。路由器收到 ARP 请求后因为目标 IP 192.168.20.10 不在本网段它不会代答而是把广播报文转发到 GE0/0/1 所在的网段由 PCB 回应 ARP 应答。这个应答报文回到路由器 GE0/0/0 的出方向时也会被镜像。第三类是 ICMP Echo Request。ARP 过程完成后PCA 开始向 192.168.20.10 发送 ICMP 回显请求这是一个标准的 IPv4 报文源 IP 是 192.168.10.10目的 IP 是 192.168.20.10。第四类是 ICMP Echo Reply。PCB 收到请求后回复 ICMP 回显应答报文源 IP 变成 192.168.20.10目的 IP 变成 192.168.10.10。抓包里能看到这四类报文并且顺序符合上面的描述就能证明镜像端口工作正常也间接验证了路由器的三层转发功能没有问题。通过抓包分析你不仅能确认“镜像配好了”还能完整观察一次 ARP 解析和 ICMP 通信的整个细节这对理解网络协议非常有帮助。4.3 实验结果与抓包结论我实际做这个实验时观察端口抓到了几十条报文。简单过滤一下能看到 ARP 报文先出现接着是 ICMP 报文说明通信过程完全符合预期。有一点要注意因为 ping 命令是持续的ARP 可能只在最开始出现几条后面都是 ICMP。如果你想专门观察 ARP可以在 PC 上先执行arp -d清空缓存然后再 ping这样会强制重新触发 ARP 过程。再强调一次验证的核心思维抓包不是为了“看到数据”而是为了“对得上号”。很多初学者抓完包发现有很多报文但不知道哪些是镜像来的、哪些是正常通信的。我的习惯是先看观察端口是否出现源端口本身不应该出现的报文。比如 GE0/0/2 上本来没有任何业务流量如果它能抓到 PCA ping PCB 的报文那这个报文只可能是镜像过来的。这就直接证明了镜像配置生效。5. 常见问题与排查技巧实录5.1 AR 路由器不支持镜像命令怎么办这个问题我在不同版本的 eNSP 里反复遇到过。有些 eNSP 版本自带的 AR2220 支持observe-port命令有些版本却不行输入命令时提示“Unrecognized command”。遇到这种情况最直接的解决办法是更换实验设备把路由器换成华为 S5700 交换机同样可以完成端口镜像实验。S5700 交换机的配置原理和路由器几乎一样也是先定义观察端口再指定被镜像端口。命令如下system-view observe-port 1 interface GigabitEthernet0/0/2 interface GigabitEthernet0/0/1 port-mirroring to observe-port 1 both区别只在于设备型号和接口编号。如果你非要验证“路由器”上的镜像可以尝试更换 eNSP 版本或者检查 VRP 版本是否过老。我的建议是实验核心是理解镜像的原理和验证方法设备是路由器还是交换机不影响这个目标先用能跑通的设备把实验做完整再回头琢磨不同设备命令的差异。5.2 为什么镜像端口抓不到报文配置命令都敲了display port-mirroring也显示正常但观察端口就是抓不到包。这种情况我在学员实验里见了太多次头号原因是观察端口物理状态不是 up。在 eNSP 里如果你没有给观察端口配 IP也没有执行undo shutdown接口默认是 down 的镜像报文根本不会送出去。解决办法就是给观察端口配一个 IP 或者执行undo shutdown让接口状态变成 up。第二个原因是镜像方向选错。如果只配置了inbound那么从源端口出去的报文不会镜像如果只配置了outbound进入源端口的报文不会镜像。很多人在 PC 上 ping 了半天但镜像方向刚好反了自然什么都抓不到。记住一点inbound是抓“进来的包”outbound是抓“出去的包”不确定就配both。第三个原因比较隐蔽就是抓包的右键菜单选错了接口。这个我在前面已经强调过观察端口和源端口一定要分清楚观察端口是 GE0/0/2不是 GE0/0/0。5.3 镜像方向与观察端口选型注意事项镜像方向的选择看起来很简单实际使用中需要结合你的分析目标来定。如果只是验证“PCA 是否发出了某个报文”用inbound就够如果要确认“路由器到底有没有把某个报文转发出去”那要看的是出方向用outbound做全流程分析就选both。不过both也不是没有代价。双向镜像意味着观察端口要同时承载源端口入方向和出方向两份流量的副本如果源端口本身流量很大观察端口可能成为瓶颈。在真实设备上如果镜像流量过大观察端口会丢包导致抓包结果不完整。所以在规划观察端口时尽量选择和源端口速率匹配甚至更高规格的接口分析主机的网卡也不要太弱。eNSP 模拟器一般不会出现速率瓶颈但理解这一点很重要因为到了真实网络环境这是必须考虑的问题。5.4 镜像流量过大导致丢包的处理思路真实网络环境中镜像流量占满观察端口的情况很常见。比如一个千兆源端口跑满了 800Mbps 的流量而观察端口也是个千兆口抛开协议开销观察端口只剩 200Mbps 的余量但你要镜像的可能是双向流量也就是理论上 1.6Gbps远远超出了观察端口的承载能力丢包是必然的。解决思路主要有三种。第一种是做流量过滤华为设备上可以通过配置 ACL 配合镜像命令只镜像特定 IP 或特定协议的流量减小镜像流量总量。第二种是修改镜像方向只镜像入方向或者只镜像出方向而不是双向都镜像。第三种是换用更高带宽的观察端口比如源端口是千兆口观察端口用万兆口留出足够的带宽余量。这个问题的本质是“观察端口永远是被动接收所有镜像流量的端口”它没有流控能力无法丢弃不感兴趣的报文。所以在设计镜像方案时必须提前估算流量大小再做减法而不是等到观察端口疯狂丢包时才去排查。最后分享一个我做实验的小习惯每次配置完镜像我都会先在源端口发一个 ping 包然后在观察端口抓包看有没有这个 ping 流量的镜像副本。这个操作只需要十秒钟但能快速确认配置是否生效避免后面做复杂分析时才发现基础没打牢。镜像端口配置本身不难难的是理解“流量复制”这个思想以及养成良好的验证习惯。这些经验在你以后用真实设备做网络排障和分析时一定会派上用场。本文还有配套的精品资源点击获取 eNSP路由器镜像端口配置与抓包验证实战详解
简介这是一份面向网络工程师和高校网络技术学习者的 eNSP 实验资源围绕路由器镜像端口的配置与验证展开帮助读者在模拟环境中掌握 SPAN 端口流量复制、监控与故障诊断方法。资源共 2 个文件包含 1 个 XML 配置文件和 1 个 topo 拓扑文件整体压缩包约 2KB体积小巧、便于快速导入 eNSP 直接开展实验。已有 83 人浏览/学习适合正在备考网络认证或需要补充交换网络实操经验的人群。通过该拓扑可直观观察镜像源端口与目标端口的对应关系梳理面向路由器及交换网络的流量监控配置思路并在验证环节检查端口工作状态、流量复制是否正常从而加深对网络可观测性和安全管理理念的理解。对希望反复练习路由器镜像口配置、提升排错能力的工程师而言这是一份简洁实用的模拟实验素材。 做了这么多年网络运维和实验教学我见过太多人在 eNSP 里折腾“路由器镜像端口”要么配置完抓不到包要么搞不清楚镜像方向和观察端口的关系。其实路由器镜像端口的配置与验证并没有那么玄乎核心就三件事选对观察端口、选对被镜像端口、会看抓包结果。这篇文章我就以 eNSP 为实验环境完整走一遍路由器镜像端口的配置与验证流程把命令原理、验证方法和踩过的坑一次讲清楚适合刚学网络抓包分析、准备 HCIA/HCIP 实验、或者工作中需要做流量审计和故障定位的朋友参考。1. 镜像端口到底解决什么问题先说场景再说原理1.1 为什么需要给路由器做镜像先说一个非常实际的场景。你在公司维护一套网络某台路由器下面的用户反馈“网页打不开”“视频卡顿”你想看看这台路由器转发的流量到底是什么情况但路由器本身又没有专门的流量分析接口。这时候最直接的办法就是把路由器某个接口上的流量复制一份出来接到一台运行着 Wireshark 的电脑上做分析这就是端口镜像最典型的用途。端口镜像的官方叫法是 Port Mirroring有时候也叫 SPANSwitched Port Analyzer。它的核心逻辑不复杂设备把一个或多个源端口的入方向、出方向或者双向报文复制一份发送到一个指定的观察端口。观察端口通常是接抓包主机、IDS/IPS 探针、流量分析系统的那个口。在路由器上做镜像和交换机上做镜像本质是同一个思想但路由器的应用场景更偏向于“分析经过三层转发的流量”而交换机镜像更多是“分析二层交换域内的流量”。比如你想看两个不同网段的主机通过路由器通信时的完整报文交互那在路由器接口上做镜像就是正确的选择。如果你只是想看同一个 VLAN 里两台服务器的通信那直接在交换机上做镜像更合适。1.2 路由器镜像与交换机镜像的差异我用一句比较直白的话来总结两者的区别交换机镜像看到的是“同一栋楼里各家各户的串门记录”路由器镜像看到的是“小区与小区之间的进出车辆记录”。在很多 eNSP 的入门教程里大家更习惯用交换机做镜像实验因为交换机的端口多、接入方便而且华为 S5700 系列交换机的配置命令非常经典。但路由器的镜像实验相对少一些原因是 eNSP 自带的 AR 路由器比如 AR2220在不同版本里对端口镜像的支持程度不一样。有的版本用observe-port命令就能配有的版本在路由器接口下根本找不到port-mirroring这条命令。这一点我放到后面“常见问题”里专门说这里先铺垫一下。另外还有一个容易混淆的概念路由器的流量是“路由转发”的报文从一个接口进来查路由表之后从另一个接口出去。如果你把镜像配置在入接口抓到的是原始报文配置在出接口抓到的是路由器处理完转发的报文。这两者的报文内容是相同的因为路由器默认不修改三层报文内容但 CPU 消耗和镜像效果还是会有差别。实操中如果只想确认“这个包到底有没有从某个接口发出去”就配出方向镜像。2. eNSP 实验环境与拓扑搭建设计2.1 实验拓扑与设备选型我用 eNSP 搭建了一个最简单的实验环境拓扑长这样一台 AR2220 路由器作为核心转发设备两台 PCPCA 和 PCB分别连接路由器的 GE0/0/0 和 GE0/0/1一台 PC 作为抓包分析主机PC 分析机连接路由器的 GE0/0/2 作为观察端口。这个拓扑对应一个很典型的三层互通场景PCA 和 PCB 处于不同网段它们通信时必须经过路由器转发。我们想做的验证目标很明确在 PCA ping PCB 的同时通过路由器 GE0/0/0 接口的镜像把 PCA 发出的报文复制到分析机上确认 ARP 请求、ARP 应答、ICMP Echo Request 和 ICMP Echo Reply 这些报文是否完整出现在抓包结果里。设备选型上我用的是 eNSP 自带的 AR2220。如果你打开 eNSP 发现设备启动失败或者版本太老建议先检查 VirtualBox 的版本兼容性Windows 11 下尤其容易出现 AR 路由器启动失败的情况这个我后面也会提到。2.2 基础接口 IP 配置先把基础三层配置做起来。路由器三接口的 IP 规划如下设备/接口IP 地址用途PCA192.168.10.10/24被镜像源端主机PCB192.168.20.10/24通信对端主机R1 GE0/0/0192.168.10.1/24镜像源端口R1 GE0/0/1192.168.20.1/24转发端口R1 GE0/0/2192.168.100.1/24观察端口PC 分析机192.168.100.10/24抓包分析主机路由器上的配置命令如下system-view sysname R1 interface GigabitEthernet0/0/0 ip address 192.168.10.1 255.255.255.0 undo shutdown interface GigabitEthernet0/0/1 ip address 192.168.20.1 255.255.255.0 undo shutdown interface GigabitEthernet0/0/2 ip address 192.168.100.1 255.255.255.0 undo shutdownPCA 和 PCB 的 IP 地址需要在 eNSP 的“PC 机”图标上双击打开配置面板填写子网掩码写成 255.255.255.0网关分别填 192.168.10.1 和 192.168.20.1。分析机同样填写 192.168.100.10网关填 192.168.100.1。这里有一个特别容易忽略的细节观察端口本身需要配置一个 IP 地址吗答案是“建议配置”。虽然端口镜像的原理是把报文复制到观察端口观察端口理论上可以被看作一个纯被动监听口但在华为设备上如果你不给它配 IP接口默认处于 down 状态而处于 down 状态的接口是不会转发镜像报文的。所以务必给观察端口配上 IP 并执行undo shutdown或者至少保证接口物理状态是 up 的。实际抓包时分析机不需要和观察端口通信分析机只要能收到镜像报文就够了但接口 up 是前置条件。3. 路由器镜像端口配置实操3.1 观察端口与被镜像端口规划开始配置之前先明确一下我在这个实验里做的规划被镜像端口路由器的 GE0/0/0也就是 PCA 所接的接口镜像方向both也就是入方向和出方向都镜像。这样 PCA 发给 PCB 的报文入方向和 PCB 返回给 PCA 的报文出方向都能被复制观察端口路由器的 GE0/0/2连接 PC 分析机。做这个规划时有两点考量。第一为什么不镜像 GE0/0/1 而只镜像 GE0/0/0因为在这个场景里PCA 和 PCB 之间的通信是双向的从 GE0/0/0 的视角看入方向能看到 PCA 发出的报文出方向能看到从 PCB 返回的报文。一个端口做两个方向的镜像就足够覆盖完整通信过程了没必要再在多端口上重复镜像减少对设备性能的影响。第二为什么不直接拿 GE0/0/0 同时接 PCA 和分析机物理上一个接口只能接一条线分析机要接入网络必须在路由器上单独占用一个接口这就是观察端口的意义。3.2 端口镜像配置命令执行过程华为路由器端口镜像的配置思路分两步走先定义观察端口再把被镜像端口“指向”观察端口。我用的是华为 AR 路由器上常见的observe-port配置方式命令序列如下system-view observe-port 1 interface GigabitEthernet0/0/2 interface GigabitEthernet0/0/0 port-mirroring to observe-port 1 both第一条命令observe-port 1 interface GigabitEthernet0/0/2的意思是创建一个编号为 1 的观察端口实际出接口是 GE0/0/2。观察端口的编号是本地概念只在设备内部有效编号范围从 1 开始不同型号支持的数量不一样但 AR2220 上创建一两个完全够用。第二条命令进入 GE0/0/0 接口视图执行port-mirroring to observe-port 1 both。这条命令的意思是把当前接口的报文镜像到编号为 1 的观察端口。both代表双向镜像也可以写成inbound只镜像入方向或者outbound只镜像出方向。执行完这两条命令配置就完成了。这里我补充一个实操中的细节判断在真实华为 AR 路由器上部分软件版本需要先进入接口视图再执行port-mirroring而部分版本支持在系统视图直接指定源端口。eNSP 里模拟的是企业版特性用上面这套命令是通行的做法。如果你在接口下敲port-mirroring发现命令不可用大概率是这台路由器的系统版本不支持可以检查 VRP 版本或者更换设备型号。3.3 配置结果检查命令配置提交之后别急着抓包先用查看命令确认一下镜像配置是否生效。display port-mirroring这条命令会列出所有观察端口、对应的被镜像端口和镜像方向。如果输出里能看到类似这样的信息Observe-port 1 : GigabitEthernet0/0/2 GigabitEthernet0/0/0 inbound and outbound说明配置已经生效。如果输出为空说明镜像没有配置成功需要回到接口视图重新检查port-mirroring命令是否被正确执行。还可以用display observe-port查看观察端口的信息。华为 AR 路由器上这两条命令都能用区别在于display port-mirroring更侧重于镜像映射关系而display observe-port更侧重于观察端口本身的配置情况。实验时随便用哪条都行。4. 镜像效果验证抓包与现象分析4.1 使用 eNSP 抓包功能验证eNSP 自带的抓包功能是我最喜欢的一点它不需要外接 Wireshark直接在接口上就能抓包。先把分析机打开然后在路由器的 GE0/0/2 接口上右键选择“开始抓包”。注意这里抓的是观察端口的报文也就是镜像报文不是源端口 GE0/0/0 的报文。这里有一个非常容易踩的坑有人习惯直接在源端口 GE0/0/0 上右键“开始抓包”然后说“我没配置镜像也抓到包了呀是不是镜像没必要”这是因为 eNSP 软件本身会在任意接口上做抓包模拟你直接抓源端口当然能抓到原始报文但这并不是端口镜像的效果。真正的端口镜像验证必须在观察端口上抓包抓到的是从源端口复制过来的报文而不是源端口本身的报文。实验时一定要区分清楚。我建议的做法是同时在源端口和观察端口开启抓包对比两者收到的报文是否一致。源端口上的报文就是原始流量观察端口上的报文是镜像流量。如果观察端口能抓到和源端口相同的报文说明镜像确实把流量复制了一份过去验证目的达成。4.2 验证典型协议报文ARP 与 ICMP在 PCA 上打开命令行执行ping 192.168.20.10 -t-t参数是持续 ping这样可以保证有持续的流量产生方便抓包。然后等 3 到 5 秒回到 eNSP 的抓包窗口停止抓包开始分析报文。正常情况下你在观察端口 GE0/0/2 的抓包里应该能看到以下四类报文。第一类是 ARP 请求报文。PCA 第一次访问 192.168.20.10 时它的 ARP 缓存里没有 PCB 的 MAC 地址所以会先发送 ARP 广播请求“谁是 192.168.20.10”。这个广播报文会到达路由器的 GE0/0/0然后被镜像到观察端口。第二类是 ARP 应答报文。路由器收到 ARP 请求后因为目标 IP 192.168.20.10 不在本网段它不会代答而是把广播报文转发到 GE0/0/1 所在的网段由 PCB 回应 ARP 应答。这个应答报文回到路由器 GE0/0/0 的出方向时也会被镜像。第三类是 ICMP Echo Request。ARP 过程完成后PCA 开始向 192.168.20.10 发送 ICMP 回显请求这是一个标准的 IPv4 报文源 IP 是 192.168.10.10目的 IP 是 192.168.20.10。第四类是 ICMP Echo Reply。PCB 收到请求后回复 ICMP 回显应答报文源 IP 变成 192.168.20.10目的 IP 变成 192.168.10.10。抓包里能看到这四类报文并且顺序符合上面的描述就能证明镜像端口工作正常也间接验证了路由器的三层转发功能没有问题。通过抓包分析你不仅能确认“镜像配好了”还能完整观察一次 ARP 解析和 ICMP 通信的整个细节这对理解网络协议非常有帮助。4.3 实验结果与抓包结论我实际做这个实验时观察端口抓到了几十条报文。简单过滤一下能看到 ARP 报文先出现接着是 ICMP 报文说明通信过程完全符合预期。有一点要注意因为 ping 命令是持续的ARP 可能只在最开始出现几条后面都是 ICMP。如果你想专门观察 ARP可以在 PC 上先执行arp -d清空缓存然后再 ping这样会强制重新触发 ARP 过程。再强调一次验证的核心思维抓包不是为了“看到数据”而是为了“对得上号”。很多初学者抓完包发现有很多报文但不知道哪些是镜像来的、哪些是正常通信的。我的习惯是先看观察端口是否出现源端口本身不应该出现的报文。比如 GE0/0/2 上本来没有任何业务流量如果它能抓到 PCA ping PCB 的报文那这个报文只可能是镜像过来的。这就直接证明了镜像配置生效。5. 常见问题与排查技巧实录5.1 AR 路由器不支持镜像命令怎么办这个问题我在不同版本的 eNSP 里反复遇到过。有些 eNSP 版本自带的 AR2220 支持observe-port命令有些版本却不行输入命令时提示“Unrecognized command”。遇到这种情况最直接的解决办法是更换实验设备把路由器换成华为 S5700 交换机同样可以完成端口镜像实验。S5700 交换机的配置原理和路由器几乎一样也是先定义观察端口再指定被镜像端口。命令如下system-view observe-port 1 interface GigabitEthernet0/0/2 interface GigabitEthernet0/0/1 port-mirroring to observe-port 1 both区别只在于设备型号和接口编号。如果你非要验证“路由器”上的镜像可以尝试更换 eNSP 版本或者检查 VRP 版本是否过老。我的建议是实验核心是理解镜像的原理和验证方法设备是路由器还是交换机不影响这个目标先用能跑通的设备把实验做完整再回头琢磨不同设备命令的差异。5.2 为什么镜像端口抓不到报文配置命令都敲了display port-mirroring也显示正常但观察端口就是抓不到包。这种情况我在学员实验里见了太多次头号原因是观察端口物理状态不是 up。在 eNSP 里如果你没有给观察端口配 IP也没有执行undo shutdown接口默认是 down 的镜像报文根本不会送出去。解决办法就是给观察端口配一个 IP 或者执行undo shutdown让接口状态变成 up。第二个原因是镜像方向选错。如果只配置了inbound那么从源端口出去的报文不会镜像如果只配置了outbound进入源端口的报文不会镜像。很多人在 PC 上 ping 了半天但镜像方向刚好反了自然什么都抓不到。记住一点inbound是抓“进来的包”outbound是抓“出去的包”不确定就配both。第三个原因比较隐蔽就是抓包的右键菜单选错了接口。这个我在前面已经强调过观察端口和源端口一定要分清楚观察端口是 GE0/0/2不是 GE0/0/0。5.3 镜像方向与观察端口选型注意事项镜像方向的选择看起来很简单实际使用中需要结合你的分析目标来定。如果只是验证“PCA 是否发出了某个报文”用inbound就够如果要确认“路由器到底有没有把某个报文转发出去”那要看的是出方向用outbound做全流程分析就选both。不过both也不是没有代价。双向镜像意味着观察端口要同时承载源端口入方向和出方向两份流量的副本如果源端口本身流量很大观察端口可能成为瓶颈。在真实设备上如果镜像流量过大观察端口会丢包导致抓包结果不完整。所以在规划观察端口时尽量选择和源端口速率匹配甚至更高规格的接口分析主机的网卡也不要太弱。eNSP 模拟器一般不会出现速率瓶颈但理解这一点很重要因为到了真实网络环境这是必须考虑的问题。5.4 镜像流量过大导致丢包的处理思路真实网络环境中镜像流量占满观察端口的情况很常见。比如一个千兆源端口跑满了 800Mbps 的流量而观察端口也是个千兆口抛开协议开销观察端口只剩 200Mbps 的余量但你要镜像的可能是双向流量也就是理论上 1.6Gbps远远超出了观察端口的承载能力丢包是必然的。解决思路主要有三种。第一种是做流量过滤华为设备上可以通过配置 ACL 配合镜像命令只镜像特定 IP 或特定协议的流量减小镜像流量总量。第二种是修改镜像方向只镜像入方向或者只镜像出方向而不是双向都镜像。第三种是换用更高带宽的观察端口比如源端口是千兆口观察端口用万兆口留出足够的带宽余量。这个问题的本质是“观察端口永远是被动接收所有镜像流量的端口”它没有流控能力无法丢弃不感兴趣的报文。所以在设计镜像方案时必须提前估算流量大小再做减法而不是等到观察端口疯狂丢包时才去排查。最后分享一个我做实验的小习惯每次配置完镜像我都会先在源端口发一个 ping 包然后在观察端口抓包看有没有这个 ping 流量的镜像副本。这个操作只需要十秒钟但能快速确认配置是否生效避免后面做复杂分析时才发现基础没打牢。镜像端口配置本身不难难的是理解“流量复制”这个思想以及养成良好的验证习惯。这些经验在你以后用真实设备做网络排障和分析时一定会派上用场。本文还有配套的精品资源点击获取