H3C交换机端口镜像配置的核心思路是：创建一个本地镜像组，把需要监控的端口加入为源端口，再把连接抓包设备的端口设为目的端口，命令不超过五条就能完成。
很多网络工程师第一次接触H3C交换机端口镜像时，容易在镜像方向和观察口配置上卡壳，这篇文章把本地端口镜像、远程端口镜像、常见排错一次讲透,直接给可复制的命令。
h3c交换机端口镜像配置命令的完整步骤
端口镜像的本质是把交换机上某个端口的流量复制一份，交给另一个端口输出，这样接在目的端口上的PC或服务器就能用Wireshark等工具抓包分析，H3C的Comware平台默认支持这种功能,不需要额外授权。
第一步：登录设备并进入系统视图
用Console线或SSH登录交换机，输入 system-view 进入系统视图，这一步对所有H3C型号（S5130、S5500、S6520等）通用。
第二步：创建本地镜像组
mirroring-group 1 local
这条命令创建编号为1的本地镜像组，镜像组编号范围通常是1-4，不同型号有差异，用 display mirroring-group all 可查看设备支持的编号范围和已有配置。
第三步：配置源端口（被监控端口）
源端口就是要被复制的流量所在端口,支持两种配置方式：
# 方式一：在系统视图下直接指定 mirroring-group 1 mirroring-port GigabitEthernet1/0/1 both # 方式二：进入端口视图后绑定镜像组 interface GigabitEthernet1/0/1 port mirroring-group 1 both quit
both 表示双向流量都镜像，即入方向和出方向各复制一份，如果只需要看某个方向，改成 inbound（入方向）或 outbound（出方向）即可。
第四步：配置目的端口（观察口）
目的端口是连接抓包设备的端口，这个端口在镜像功能开启后不再转发正常业务数据,只输出镜像流量。
mirroring-group 1 monitor-port GigabitEthernet1/0/2
第五步：验证配置
display mirroring-group 1
能看到源端口、目的端口、镜像方向都正确后，在目的端口所连接的PC上启动Wireshark，选择对应网卡,就能实时看到被监控端口的完整数据流。
h3c交换机端口镜像配置实例：抓包定位ARP攻击
举个实际场景，办公楼某台PC频繁导致整个VLAN网络卡顿，怀疑是ARP欺骗，把核心交换机上连接该PC的端口设为源端口，镜像到管理电脑所在端口,用Wireshark抓包30秒就能确认是否有大量异常ARP广播。
具体命令如下：
system-view mirroring-group 1 local mirroring-group 1 mirroring-port GigabitEthernet1/0/10 both mirroring-group 1 monitor-port GigabitEthernet1/0/24 display mirroring-group 1
抓包完成后，记得及时删除镜像配置，因为镜像流量会占用交换机CPU和端口带宽,长期开启对设备转发性能有实际影响。
undo mirroring-group 1
如果想临时暂停但保留配置,可以用：
mirroring-group 1 mirroring-port GigabitEthernet1/0/10 none
之后恢复时，把 none 改回 both 即可。
远程端口镜像RSPAN配置：跨交换机抓包
本地镜像只能在同一台交换机上完成，如果被监控端口在接入层交换机，而抓包设备接在核心交换机上，就需要用到远程端口镜像（RSPAN）,H3C将其称为远程镜像VLAN方式。
配置思路
远程端口镜像通过一个专用VLAN承载镜像流量，源交换机把流量复制进这个VLAN，目的交换机把这个VLAN的流量从指定端口输出,中间经过的所有交换机都需要放通这个VLAN。
源交换机配置（接入层）
system-view vlan 100 quit mirroring-group 1 remote-source mirroring-group 1 mirroring-port GigabitEthernet1/0/1 both mirroring-group 1 remote-probe vlan 100 interface GigabitEthernet1/0/24 port trunk permit vlan 100 quit
上述配置中，remote-source 表示这是远程镜像的源端，remote-probe vlan 100 指定用VLAN 100承载镜像流量，GigabitEthernet1/0/24是上联到核心交换机的Trunk口。
目的交换机配置（核心层）
system-view vlan 100 quit mirroring-group 1 remote-destination mirroring-group 1 remote-probe vlan 100 mirroring-group 1 monitor-port GigabitEthernet1/0/2 interface GigabitEthernet1/0/1 port trunk permit vlan 100 quit
中间经过的交换机（如果有）只需要放通VLAN 100,不需要做任何镜像配置。
远程镜像的局限在于：中间链路必须全程二层可达，且VLAN 100不能承载任何业务流量，否则会污染抓包数据，对于跨三层网络的抓包需求,只能依靠交换机本地的硬件级流量采样或外接TAP设备。
华为s5700交换机端口镜像配置与H3C的核心差异
在日常运维交流中，不少工程师会拿华为s5700交换机端口镜像配置和H3C做对比，两家设备的底层思路相似都是本地镜像组 + 观察端口,但命令风格有明显区别。
| 配置项 | H3C（Comware） | 华为（VRP） |
|---|---|---|
| 创建镜像组 | mirroring-group 1 local |
observe-port 1 interface GigabitEthernet0/0/1 |
| 配置源端口（视图下） | mirroring-group 1 mirroring-port g1/0/1 both |
port-mirroring to observe-port 1 both |
| 配置源端口（接口下） | port mirroring-group 1 both |
port-mirroring to observe-port 1 both |
| 查看配置 | display mirroring-group 1 |
display port-mirroring |
华为的设备不强制先创建镜像组，可以直接用 observe-port 定义观察口，然后在接口下用 port-mirroring to observe-port 绑定，H3C则更强调”组”的概念,源端口和目的端口都通过组来关联。
两家设备还有一个细节差异：华为的观察端口同样不转发业务流量，但H3C的Comware版本默认会关闭观察口的MAC地址学习功能，如果遇到观察口下接的设备无法通信,优先排查方向就在这条。
端口镜像配置失败的常见原因排查
配置命令敲完后抓不到包，多数情况下不是设备故障,而是以下几个细节没注意：
- 目的端口被占用：观察口不能同时在汇聚组、Router口或另一个镜像组中，H3C设备上查看端口状态,确认端口模式是Access且没有绑定其他业务。
- 镜像方向理解反：
inbound是复制进入该端口的流量（即PC发送的数据），outbound是复制从该端口出去的流量（即PC接收的数据），只看PC发出去的包，用inbound。 - Trunk口与Hybrid口干扰：某些场景下源端口是Trunk口，默认镜像会带上VLAN标签，抓包软件中看到的是带Tag的帧，不是错误,是正常现象。
- 镜像组编号冲突：交换机上可能已有别人配置的历史镜像组，用
display mirroring-group all检查一遍,避免覆盖。
一个常被忽略的运维要点：镜像流量优先级高于普通业务流，当观察口速率小于源端口速率时（比如千兆口镜像万兆口），观察口会持续满负荷工作，交换机CPU占用率会明显上升，这种情况建议降低镜像流量强度,或者在交换机上做流量过滤后再镜像。
端口镜像与流量分析的配合实践
端口镜像的价值不只是抓包查故障，很多中小型企业在没有专业网络流量分析设备的情况下，会利用交换机的镜像口接一台Linux服务器,跑ntopng或ELK来实现基础的可视化流量监控。
具体做法是：把核心交换机的上联口、服务器区互访口都加入同一个镜像组，目的端口接服务器双网卡中的一张独立网卡，采集端配置好IP后，ntopng会自动识别协议、统计IP间通信量、检测异常流量高峰，这套方案的成本基本为零,但能覆盖绝大多数园区网的流量分析需求。
配置方面和普通端口镜像没有任何区别，唯一需要注意的是多对一镜像时的带宽叠加，三个千兆源端口镜像到一个千兆观察口，如果三个源端口都在跑满速流量，观察口会随机丢包，行业共识认为，镜像汇聚比保持在2：1以内,数据基本完整可信。
常见问题速查
H3C交换机配置完端口镜像后为什么Wireshark抓不到包？
先检查源端口和目的端口是否配置在同一个镜像组中，再用 display mirroring-group 1 确认状态正常，其次检查抓包电脑的网卡是否开启了IP校验和卸载，这类硬件加速会导致Wireshark无法正确解析数据包，最后确认目的端口没有加入其他业务VLAN,观察口处于独立工作状态。
端口镜像会影响交换机性能吗？
镜像功能本身由交换机芯片的硬件转发引擎完成，正常情况下不会影响业务端口的转发性能，但观察口是软件层面的复制输出，在大量小包场景下会占用CPU和内存，持续高速抓包时建议用终端命令 display cpu-usage 观察设备负载，超过70%就停止抓包,改用ACL过滤后的定向镜像。
一个镜像组最多能配置多少个源端口？
不同型号差异较大，盒式交换机通常支持4-8个，框式交换机可达到几十个，具体数量以设备的命令回显为准，配置超出硬件资源上限时，交换机会提示资源不足,此时需要拆分为多个镜像组或用流量过滤缩小范围。
端口镜像配置的难点不在命令，而在对流量方向和设备特性的理解，把本文的配置思路吃透，无论是排查ARP攻击、分析应用延迟还是做合规审计,都能快速在当前网络中搭出一套可行的抓包方案。