三个部门流量要汇给一台监控设备？华为本地端口镜像N比1一收三

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

给内网装流量分析或审计设备，常见困惑是镜像口不够用：市场部、研发部、行政部三个部门的接入口都想监控，分析设备却只有一个网卡。这种多路源、一个宿的需求，用的就是本地端口镜像的N:1形态——把多个接口入方向的报文各复制一份，统一送到同一个本地观察端口，一台分析设备通吃多路流量。

组网与思路

组网很直白：设备上三个接口分别接三个部门，第四个口接监控服务器。配置只有两步：指定观察端口、把各镜像口的入方向绑到观察端口上。

一步定观察口

把接监控设备的口配置为本地观察端口（编号1）：

<HUAWEI> system-view
[HUAWEI] sysname DeviceA
[DeviceA] observe-port 1 interface 10ge 0/0/4

三条绑定收齐三路流量

把三个部门接口的入方向报文镜像到观察端口1，每个接口进来的报文都会复制一份送出，监控设备在同一时间看到的是三路流量的合集：

[DeviceA] interface 10ge 0/0/1
[DeviceA-10GE0/0/1] port-mirroring observe-port 1 inbound
[DeviceA-10GE0/0/1] quit
[DeviceA] interface 10ge 0/0/2
[DeviceA-10GE0/0/2] port-mirroring observe-port 1 inbound
[DeviceA-10GE0/0/2] quit
[DeviceA] interface 10ge 0/0/3
[DeviceA-10GE0/0/3] port-mirroring observe-port 1 inbound
[DeviceA-10GE0/0/3] quit

注意绑定的是inbound方向，也就是只镜像各接口收到的流量（部门发往外部的方向）——需要同时看下行流量时，出方向的镜像要另按规格规划，别默认镜像口是双向的。

验证与选型

效果怎么验？一条命令看全镜像关系：

[DeviceA] display port-mirroring

回显里能逐行看到每个镜像接口、方向与观察端口的对应关系，三个口都指向观察端口1即配置到位。之后在监控设备上抓包，应能同时看到三个部门的流量特征；若某一路没有出现，优先核对那个接口的绑定命令是否漏敲。

和它的兄弟形态对照着记更清楚：1:N是一个源复制给多个观察口，用于多台分析设备各取所需；N:1是多个源汇到一个观察口，用于集中分析。两者命令同族、方向互补，按源多还是宿多来选型就不会乱。镜像流量是复制不是转发，业务口吞吐不受影响，但观察口的带宽要按所有源流量之和预留，千兆口汇三路千兆源就不够看，上万兆再谈集中镜像。

给客户部署上网行为审计时，N:1镜像是常用的接法：分析设备就一台，多部门流量一次接入，省掉硬件重复投入，审计覆盖面还完整。欢迎搜索关注贵州诚鑫致达科技，获取更多流量审计与镜像部署的实操经验。

企业存储选型参考｜贵州诚鑫致达

做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。四川成都群晖存储部署、机房建设与数据安全集成服务。