怀疑内网有电脑偷偷外联？华为本地端口镜像把流量抓给监控设备

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

网管在处理一些说不清的网络问题时最缺的就是证据：某台电脑是不是在偷偷往外传数据、办公流量到底长什么样，光看接口计数器说不出细节。想看真实报文，就需要端口镜像——把某个端口的流量原样复制一份送到监控设备或抓包机上分析。华为设备的本地端口镜像配置非常轻量，两条命令就能搭起来。

场景的典型情况是：某公司行政部通过DeviceA与外部Internet通信，监控设备Server与DeviceA直连，希望通过Server对行政部访问Internet的流量进行监控。思路分两步：先把接监控设备的口配置为观察端口，再在要监控的端口上配置镜像功能并指向观察端口。这样行政部端口收到的报文会复制一份从观察口发往监控设备，原始转发不受影响。

第一步，在DeviceA上配置10GE0/0/2为本地观察端口，也就是接监控设备的那个口：

<HUAWEI> system-view
[HUAWEI] sysname DeviceA
[DeviceA] observe-port 1 interface 10ge 0/0/2

第二步，配置10GE0/0/1为镜像端口，以监控行政部主机发送的报文，方向是入方向：

[DeviceA] interface 10ge 0/0/1
[DeviceA-10GE0/0/1] port-mirroring observe-port 1 inbound
[DeviceA-10GE0/0/1] quit

两步就完成了。需要注意观察端口接的监控设备要有足够的处理能力，镜像流量大时抓包盘和网卡都得跟得上，否则看到的报文不完整。

配好怎么验证：执行display port-mirroring查看镜像的配置信息，确认镜像端口、方向和观察端口的对应关系正确：

[DeviceA] display port-mirroring
  Observe port mirroring:
  -----------------------------------------------------------------------------
  MirroringPort         Direction        ObservePort : Interface
  -----------------------------------------------------------------------------
  10GE0/0/1             Inbound                    1 : 10GE0/0/2
  -----------------------------------------------------------------------------

回显里10GE0/0/1的Inbound流量被镜像到观察端口组1对应的10GE0/0/2，配置即生效。然后在监控设备上启动抓包工具，行政部访问外网的报文就能完整看到了。排查隐性问题流量时，镜像是最讲证据的手段，用完记得评估是否撤销镜像配置，避免监控设备长期高负载。内网流量取证与行为分析这类话题，欢迎搜索关注贵州诚鑫致达科技，交流更多运维实战经验。

企业存储选型参考｜贵州诚鑫致达

小团队起步上手 NAS，群晖机型参考：DS425+ · DS224+ · DS124。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。毕节、铜仁：企业数据备份容灾与网络建设维护。