华为交换机端口镜像配置：观察端口、1:N 与 N:1 场景

抓包分析、流量审计和故障定位几乎都绕不开端口镜像。华为 VRP 的镜像模型只有两个角色：观察端口（observe-port）负责把复制出来的报文送出去，镜像端口（port-mirroring）负责指定被复制的流量。理解这两者的绑定关系，1:N、N:1、出入方向和流镜像的配置就都是一句话的事。本文用真实命令走完常见场景，并给出验证与排错顺序。

第一步：定义观察端口

<HUAWEI> system-view
[HUAWEI] observe-port 1 interface GigabitEthernet0/0/24

观察端口就是接分析仪或抓包服务器的那个口，建议单独划一个管理 VLAN，不要和业务口混用。display observe-port 可以查看已定义的观察端口编号、接口和是否剥离 VLAN 标签：

[HUAWEI] display observe-port

第二步：N:1 镜像（多个源口 → 一个观察口）

[HUAWEI] interface GigabitEthernet0/0/1
[HUAWEI-GigabitEthernet0/0/1] port-mirroring to observe-port 1 inbound
[HUAWEI-GigabitEthernet0/0/1] quit

[HUAWEI] interface GigabitEthernet0/0/2
[HUAWEI-GigabitEthernet0/0/2] port-mirroring to observe-port 1 inbound

多个镜像端口可以绑定到同一个观察端口，流量是叠加的：源口总带宽超过观察口速率时会丢包。做多条千兆口镜像时，观察口至少要万兆；这一点比配置本身更容易被忽略。

第三步：1:N 镜像（一个源口 → 多个观察口）

[HUAWEI] observe-port 2 interface GigabitEthernet0/0/25
[HUAWEI] interface GigabitEthernet0/0/1
[HUAWEI-GigabitEthernet0/0/1] port-mirroring to observe-port 1 both
[HUAWEI-GigabitEthernet0/0/1] port-mirroring to observe-port 2 both

同一源口下可以绑定多个观察端口，实现"一份流量、多个分析点"（例如一份送 IDS、一份送抓包机）。方向参数 inbound、outbound、both 按需选择：只做安全审计通常选 inbound，做双向会话还原必须 both。

第四步：流镜像（MQC，只复制关心的流量）

端口镜像会复制整个口的流量，做精细分析时可以用 MQC 只镜像匹配 ACL 的报文：

[HUAWEI] acl number 3000
[HUAWEI-acl-adv-3000] rule 5 permit tcp destination-port eq 3306
[HUAWEI] traffic classifier MIRROR-CLASS
[HUAWEI-classifier-MIRROR-CLASS] if-match acl 3000
[HUAWEI] traffic behavior MIRROR-BEHAVIOR
[HUAWEI-behavior-MIRROR-BEHAVIOR] mirroring to observe-port 1
[HUAWEI] traffic policy MIRROR-POLICY
[HUAWEI-trafficpolicy-MIRROR-POLICY] classifier MIRROR-CLASS behavior MIRROR-BEHAVIOR
[HUAWEI] interface GigabitEthernet0/0/3
[HUAWEI-GigabitEthernet0/0/3] traffic-policy MIRROR-POLICY inbound

流镜像还支持 VLAN 镜像（mirroring to observe-port 在 VLAN 视图下）和 MAC 镜像（mac-mirroring），后者在无线场景里定位单个终端非常好用。

验证与常见坑

[HUAWEI] display port-mirroring
[HUAWEI] display observe-port
[HUAWEI] display traffic policy user-defined

• 观察端口的接口名和镜像端口不能是同一个物理口，配置会被拒绝。
• 观察端口出现环路或误接再回到网络，会引入额外广播；建议单独插分析设备。
• 二层口和三层口都可以做镜像端口，但做 Eth-Trunk 镜像时要先创建聚合口，见华为交换机 Eth-Trunk 链路聚合配置。
• 镜像端口所在 VLAN 的配置方法可参考华为交换机 VLAN access/trunk/hybrid 配置；如果需要在多厂商设备上做同样的 SPAN，对照多厂商端口镜像 SPAN 对比一起看会更省时间。

原文链接：https://support.huawei.com/enterprise/zh/doc/EDOC1000052631/4069efaf