端口镜像是指在网络交换机中，复制流经特定端口的数据包，并将这些数据包发送到另一个指定的端口以便进行监控和分析。这一过程不影响原始流量，允许管理员在不中断网络服务的情况下进行流量分析。端口镜像通常用于网络故障排除、流量分析以及安全监控等场景。
前置概念
镜像源
被监控的对象，可以是端口、VLAN或CPU。配置为监控对象的端口称为源端口，配置为监控对象的VLAN称为源VLAN，配置为监控对象的CPU称为源CPU。
镜像目的
镜像报文的目的地，即与数据监测设备相连的端口，称为目的端口。目的端口将镜像报文转发给数据监测设备。
镜像方向
镜像方向是指在镜像源上可复制哪些方向的报文：
- 入方向：仅复制镜像源收到的报文。
- 出方向：仅复制镜像源发出的报文。
- 双向：复制镜像源收到和发出的报文。
镜像组
镜像组是一个逻辑概念，镜像源和镜像目的都要属于某一个镜像组。根据具体的实现方式不同，镜像组可分为本地镜像组、远程源镜像组和远程目的镜像组²。
端口镜像的类型
1. 本地端口镜像
- 本地端口镜像（Switch Port Analyzer，SPAN）
本地端口镜像是指观察端口与监控设备直接相连的情况。在这种配置中，镜像端口的数据包直接被复制并转发到本地观察端口。例如，某个交换机的端口1作为镜像端口，端口2作为观察端口，数据流经过端口1时，会被复制并发送到端口2，供监控设备进行分析。
配置示例：
Switch(config)# monitor session 1 source interface fa0/1
Switch(config)# monitor session 1 destination interface fa0/2
2. 远程端口镜像
- 远程端口镜像（Remote SPAN，RSPAN）
远程端口镜像则是指观察端口与监控设备之间通过中间网络传输镜像数据包。根据网络的不同层级，远程端口镜像又分为二层和三层远程端口镜像。
- 二层远程端口镜像：在这种配置中，镜像数据包会在原有VLAN标签的基础上添加新的VLAN标签，从而在二层网络中传输。这样可以保证在经过多个交换机时，数据包的完整性与安全性。
配置示例：
SwitchA(config)# interface fa0/1
SwitchA(config-if)# switchport mode trunk
SwitchA(config-if)# switchport trunk allowed vlan 10,20
SwitchA(config)# monitor session 2 source interface fa0/1
SwitchA(config)# monitor session 2 destination remote vlan 20
- 三层远程端口镜像：这种镜像方式涉及到路由器与交换机之间的配合，适合于复杂的网络架构中。
端口镜像的应用场景
网络监控与故障排除：通过端口镜像，网络管理员可以实时监控网络流量，快速定位故障，减少停机时间。
流量分析：端口镜像使管理员能够分析网络流量的类型、流量的来源和去向，为网络优化提供依据。
安全监控与入侵检测：通过镜像流量，可以部署安全工具对流量进行深度分析，及时发现潜在的安全威胁。
配置端口镜像
在实际操作中，不同品牌的交换机配置端口镜像的方法可能略有不同。以下是Cisco和H3C交换机的配置示例。
Cisco交换机：
Switch(config)# monitor session 1 source interface fa0/1
Switch(config)# monitor session 1 destination interface fa0/2
H3C交换机：
[Switch] mirror-group 1
[Switch-mirror-group-1] mirroring to interface GigabitEthernet 1/0/2
[Switch-mirror-group-1] mirroring from interface GigabitEthernet 1/0/1
在配置过程中，管理员应注意确保监控设备能够接收到镜像流量，并根据实际网络拓扑合理设置VLAN。
端口镜像可能对网络性能产生影响，尤其是在高流量环境中。镜像流量增加了交换机的负担，可能导致延迟或丢包。因此，合理配置镜像端口与监控设备的带宽，监控流量的种类与数量，可以有效降低对网络性能的影响。
