在H3C交换机上配置端口镜像，核心就三步：创建镜像组、指定被监控端口、指定监控端口，命令集中在mirroring-group体系下。无论你是刚接手公司网络的新人，还是准备割接核心设备的运维老兵，掌握这套配置逻辑都能让你在排查故障时多一只“透视眼”,下面直接进入实操层面。
端口镜像到底是什么，你什么时候需要它
端口镜像就是把交换机上某个或多个端口的进出流量，复制一份送到另一个指定端口,这个指定端口通常连着抓包电脑或网络安全审计设备。
- 网络故障排查：用户反馈“网速慢”“视频卡顿”，你登录交换机一看端口没有CRC错误，流量也不高，这时候镜像出流量用Wireshark分析,比你在核心设备上敲几十条display命令直观得多。
- 安全审计：等保合规要求留存关键区域访问记录，把服务器区流量镜像到入侵检测系统（IDS），不影响业务转发,设备也不卡。
- 语音视频质量分析：VoIP通话质量差，镜像出RTP流做MOS值评估,定位是网络抖动还是终端问题。
- 研发调试：新上线的业务系统联调，开发同事说“报文发出去了”，你这边看交换机根本没收到,镜像一看就知道是VLAN划分错了还是网线没插好。
行业共识认为，端口镜像是网络运维中最基础也最常用的观测手段，你配置一次镜像,后续所有流量分析都有了抓手。
本地端口镜像配置实例，型号以S5130为例
本地端口镜像就是监控设备和被监控端口在同一台交换机上，H3C的Comware平台命令风格统一，S5024、S5130、S5560等型号操作思路一致。
配置前你需要理清的角色
先明确三个角色,别搞混：
- 源端口：被监控的端口，比如接服务器、接员工电脑的端口。
- 目的端口：连接抓包设备或监控系统的端口,也叫监控端口。
- 镜像组：把上面两个角色关联起来的逻辑容器，分为本地镜像组、远程镜像组等类型。
配置步骤，一条一条对着敲
登录交换机进入系统视图，推荐用SSH方式登录，别用Telnet,流量明文容易被截获。
第一步：创建本地镜像组
system-view [H3C] mirroring-group 1 local
这里的“1”是组编号，一台设备上可以创建多个镜像组,用于不同监控场景。
第二步：配置源端口
[H3C] mirroring-group 1 mirroring-port GigabitEthernet1/0/1 both命令表示把GigabitEthernet1/0/1端口的入方向和出方向流量都镜像，如果只需要单向流量，把both换成inbound（入方向）或outbound（出方向）。
支持批量配置,端口较多时可以这样写：
[H3C] mirroring-group 1 mirroring-port GigabitEthernet1/0/1 to GigabitEthernet1/0/8 both这样1到8号端口都被纳入监控范围,常用于镜像整个机柜的接入流量。
第三步：配置目的端口
[H3C] mirroring-group 1 monitor-port GigabitEthernet1/0/10把接抓包电脑的端口设为监控端口，配置完成后，GigabitEthernet1/0/10会收到1/0/1口的双向流量副本。
第四步：验证配置
[H3C] display mirroring-group 1查看输出信息，确认镜像组类型是local，源端口列表里有你配置的端口，目的端口正确，然后在抓包电脑上开启Wireshark，选择对应网卡,应该能看到被镜像端口的实时流量。
常见报错和坑，一次说清楚
- 配置时提示“The port is not a mirroring port”：说明你先配置了monitor-port，又想把同一端口设为源端口，一个物理端口在同一镜像组内不能同时担任源和目的角色,交换机的芯片就这设计。
- 镜像后抓包电脑收不到流量：检查目的端口是否开启了STP（生成树协议）被阻塞，或者物理链路是UP但协商成了半双工，多数情况下，把目的端口配置为access口并关闭STP能解掉九成问题：
[H3C] interface GigabitEthernet1/0/10 [H3C-GigabitEthernet1/0/10] undo stp enable [H3C-GigabitEthernet1/0/10] port link-type access - 镜像组配置不生效：检查是否保存了配置，
save force之后重启验证配置是否还在。
远程端口镜像，跨交换机抓包的实用方案
企业网络中，监控主机往往放在机房的核心区，而需要监控的流量分散在楼层接入交换机上，这时候要用远程端口镜像（RSPAN）。
远程镜像中VLAN的角色
远程端口镜像的核心思想是：源交换机把流量打上特定VLAN标签，通过Trunk链路发给目的交换机，目的交换机再把VLAN中的流量转发给监控端口，这个特殊VLAN称为远程镜像VLAN。
配置步骤，分成三段走
源交换机配置：
system-view
[H3C] vlan 100
[H3C-vlan100] remote-probe vlan enable
[H3C-vlan100] quit
[H3C] mirroring-group 1 remote-source
[H3C] mirroring-group 1 mirroring-port GigabitEthernet1/0/1 both
[H3C] mirroring-group 1 remote-probe vlan 100
[H3C] interface GigabitEthernet1/0/24
[H3C-GigabitEthernet1/0/24] port link-type trunk
[H3C-GigabitEthernet1/0/24] port trunk permit vlan 100中间交换机配置：
中间交换机只需要透传VLAN 100：
system-view
[H3C] vlan 100
[H3C-vlan100] remote-probe vlan enable
[H3C-vlan100] quit
[H3C] interface GigabitEthernet1/0/24
[H3C-GigabitEthernet1/0/24] port link-type trunk
[H3C-GigabitEthernet1/0/24] port trunk permit vlan 100如果中间有多台交换机，每台都做同样配置，保证VLAN 100在Trunk链路上畅通。
目的交换机配置：
system-view
[H3C] vlan 100
[H3C-vlan100] remote-probe vlan enable
[H3C-vlan100] quit
[H3C] mirroring-group 1 remote-destination
[H3C] mirroring-group 1 remote-probe vlan 100
[H3C] mirroring-group 1 monitor-port GigabitEthernet1/0/10注意：目的交换机的监控端口要放在一个单独的VLAN里,不能与远程镜像VLAN相同。
远程镜像常见的坑
跨设备镜像时，镜像流量会走Trunk链路，如果Trunk链路上还有业务VLAN，在高流量场景下可能拥塞，交换机内部处理是复制一份报文到远程镜像VLAN，但带宽始终是物理瓶颈，抓包电脑的网卡建议用千兆口，别用百兆USB网卡,丢包率会让你怀疑配置错了。
配置端口镜像的五个操作习惯
从大量实际运维案例来看，不少配置问题不是命令不会敲，而是操作习惯埋了雷，记住下面这几点,能让你少踩很多坑。
- 配置前先查看现有镜像组：用
display mirroring-group all看看设备上有没有别人配置的残留镜像组，曾经遇到过一次事故，上一个工程师离职前留了一个镜像组没删，新配置的一直不生效,就是因为镜像组编号冲突。 - 目的端口不要配IP地址：监控端口是纯转发口,给它配IP会导致设备主动发报文干扰抓包分析。
- 镜像端口要避开上联口：如果你把上联口镜像到监控口，再把监控口接到电脑上，可能造成环路，这是个令人印象深刻的教训,曾有人因为这样配置导致整个楼层网络瘫痪。
- 用display命令验证后再保存：配置完别急着退出，先确认状态再
save force。 - 备份配置到本地：H3C交换机支持
backup startup-configuration to tftp，把配置备份到TFTP服务器，改动前做个备份,改出问题能快速回滚。
H3C交换机端口镜像的常见问题解答
为什么我配置了端口镜像，抓包软件看不到任何数据？
先检查目的端口物理状态是否为UP，再看源端口是否真有流量通过，可以用display interface查看端口统计信息，确认收发的报文计数在增长，若都有，确认抓包电脑的网卡开启了混杂模式（Wireshark默认开启），最后排查VLAN配置，镜像口的报文默认带有原VLAN标签，如果抓包电脑的网卡不识别802.1Q报文，需要在目的端口配置port link-type access并指定一个VLAN,或者用抓包软件过滤VLAN标签。
端口镜像会影响交换机转发性能吗？
本地端口镜像由交换芯片硬件完成，不会影响正常业务报文的转发，但镜像流量本身会占用目的端口的带宽资源，当你镜像一个千兆端口的双向流量时，目的端口理论需要2Gbps的接收能力，实际会超出物理带宽，存在少量丢包属正常现象，如果需要无损抓包，建议使用专业的网络分流器（TAP设备）。
多个端口要同时镜像，怎么配置更合理？
四个以内端口建议放在同一个镜像组内，方便统一管理，超过四个端口或镜像流量较大时，建议拆分为多个镜像组，分别对应不同监控需求，例如一组镜像服务器区流量给IDS，一组镜像用户区流量给审计系统，H3C不同型号支持的镜像组数量和每组最大端口数有规格差异，S5130系列每镜像组最大支持8个源端口,配置前查阅你设备型号的命令手册确认规格。