网络笔记：镜像技术与流统技术——抓包与流量分析

这两项技术经常被放在一起讲，因为它们都是「观察网络流量」的手段。但它们的定位完全不同：一个看细节，一个看全局。

端口镜像

原理很直白：把某个接口的流量复制一份送到另一个接口，那个接口接一台装了 Wireshark 的电脑。

huawei · 端口镜像

# ① 指定观察口（接分析设备的口）
observe-port 1 interface GigabitEthernet0/0/24

# ② 业务口镜像
interface GigabitEthernet0/0/1
 port-mirroring to observe-port 1 both
 # 方向可选：
 #   inbound    只镜像进入的流量
 #   outbound   只镜像发出的流量
 #   both       双向（默认建议，排错时最有用）

# ③ VLAN 镜像（整个 VLAN 的流量）
vlan 10
 mirror to observe-port 1 inbound

三个必须注意的点

观察口带宽必须够：把 10G 口的流量镜像到一个 1G 口，结果就是丢包——抓到的包不完整，反而误导判断；
镜像占用设备资源：镜像会消耗 CPU 和背板带宽。生产环境别长期开着，排完故障记得关；
观察口不能跑业务：它只负责往外送复制流量，配了业务会冲突。

流镜像：只抓你关心的

如果只想看特定流（比如某个用户访问某个服务器），用流镜像，避免观察口带宽被无关流量打满。

huawei · 流镜像（MQC 方式）

# ① 用 ACL 精确匹配要观察的流
acl number 3000
 rule 5 permit tcp source 192.168.1.100 0 destination 10.1.1.50 0 destination-port eq 443

# ② 流分类
traffic classifier mirror-cls operator or
 if-match acl 3000

# ③ 流行为：镜像到观察口
traffic behavior mirror-beh
 mirror to observe-port 1

# ④ 流策略并应用
traffic policy mirror-pol
 classifier mirror-cls behavior mirror-beh

interface GigabitEthernet0/0/1
 traffic-policy mirror-pol inbound

远程镜像：跨设备抓包

如果分析设备不在同一台交换机上，需要把镜像流量通过三层网络送过去，这叫远程镜像（华为叫 Remote Mirroring，其他厂商叫 ERSPAN / RSPAN）：

远程镜像的思路

源设备：把流量镜像后，用 GRE 封装，源地址=本机，目的地址=分析设备
   → 走三层网络送到远端
目的设备/分析设备：解封装，还原出原始报文

★ 好处：不用把分析设备搬到机房，可以远程抓包
★ 代价：要占三层带宽；GRE 封装会改变报文（分析时注意）

NetStream：流统技术

镜像的问题是数据量太大——你不可能 7×24 小时抓包分析。要做长期的流量分析，得用 NetStream（类似思科的 NetFlow）。

它统计什么

维度	内容
五元组	源/目的 IP、源/目的端口、协议号
流量	字节数、包数
时间	流的起始时间和持续时间
接口	入接口、出接口
其他	ToS、下一跳、AS 号等

把这些信息汇总后导出给采集器，就能回答「谁在占带宽、占了多少、什么时候占的」——这是容量规划和异常流量定位的核心依据。

采样比：性能与精度的取舍

采样机制

全采样（1:1）：每个包都统计 → 精度最高，但设备 CPU 扛不住
随机采样（1:1000）：每 1000 个包抽 1 个统计 → 精度降低，负担大幅下降

★ 采样比的估算：
  实际流量 = 采样统计值 × 采样比
  例：采样比 1:1000，统计到 1 Mbps → 实际约 1 Gbps

★ 采样比不能太大，否则小流会被完全漏掉
  生产环境常用 1:100 ~ 1:1000

huawei · NetStream 配置

# ① 配置采样
netstream sampler random-packets 1000 inbound

# ② 在接口上开启
interface GigabitEthernet0/0/1
 ip netstream inbound
 ip netstream outbound
 ip netstream sampler fix-packets 1000 inbound

# ③ 配置导出（送到采集器）
netstream export ip source 10.1.1.1          # 本机作为源
netstream export ip host 10.1.1.200 9995     # 采集器地址和端口

# ④ 查看
display ip netstream cache                   # ★ 当前流缓存
display ip netstream statistics              # 统计
display netstream export                     # 导出状态

两者怎么选

	镜像	NetStream
看到什么	完整的报文内容	只有统计汇总
数据量	巨大（等于全量复制）	很小（采样后）
能长期开吗	不能	可以
典型用途	排错：协议异常、丢包、握手失败	运营：容量规划、异常流量、计费

一句话总结：排错用镜像，运营用 NetStream。镜像看得到「这个包长什么样」，NetStream 看得到「谁在占带宽」。两者不冲突，很多网络两个都开着。

📌 本篇整理自 2024–2025 的「数通」学习笔记（HCIE-Datacom 方向）

合并了原始笔记中「镜像技术 / 流统技术」两页。
原笔记偏配置罗列，本文补上了观察口带宽、采样比估算、远程镜像原理这几个实操要点。
配置命令保留华为 VRP 原样。