老板让查某台电脑在网络上干了啥？华为交换机ACL流镜像只抓它一个的包

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

公司里出了事要查证，比如怀疑某台电脑在上班时间跑大流量应用、往外发不该发的文件，或者网络里出现了来历不明的报文想弄清来龙去脉，最直接的办法就是把这台设备收发的报文"复制一份"送到监控服务器上看。但问题来了：交换机上一个口接着一台电脑，如果你把整个接口的流量全部镜像过去，抓包文件几分钟就几十个G，管理员翻都翻不动。真正想要的是只抓特定类型的报文——比如只抓某一优先级的业务流量，别的统统不要。

华为交换机的流镜像功能就是干这个的。它比普通端口镜像聪明的地方在于：可以配一个过滤条件，只有符合条件的报文才被复制到监控口。本文这一招用的是"ACL+流策略"的方式，场景是：HostA 从交换机的 GigabitEthernet1/0/1 口接入，监控服务器 Server 直连在 GigabitEthernet1/0/2 口，需求是只监控 HostA 发出的、802.1p 优先级为 6 的报文。整个过程三步走：配观察端口、配 ACL、在接口上挂流策略。

第一步，把接监控服务器的口配成本地观察端口。观察端口就是专门负责把镜像报文转发出去的口：

<HUAWEI> system-view
[HUAWEI] sysname SwitchA
[SwitchA] observe-port 1 interface gigabitethernet 1/0/2

第二步，创建一个二层 ACL（编号 4001），规则匹配 802.1p 优先级为 6 的报文：

[SwitchA] acl 4001
[SwitchA-acl-L2-4001] rule permit 8021p 6
[SwitchA-acl-L2-4001] quit

第三步，在 HostA 接入的接口上应用基于 ACL 的流策略，把匹配到的报文镜像到观察端口 1：

[SwitchA] interface gigabitethernet 1/0/1
[SwitchA-GigabitEthernet1/0/1] traffic-mirror inbound acl 4001 to observe-port 1
[SwitchA-GigabitEthernet1/0/1] quit
[SwitchA] quit

配完之后要验证，别想当然认为就生效了。在接口入方向查一下应用的 ACL 规则和流行为：

<SwitchA> display traffic-applied interface gigabitethernet 1/0/1 inbound
-----------------------------------------------------------
ACL applied inbound interface GigabitEthernet1/0/1
ACL 4001
 rule 5 permit 8021p 6
ACTIONS:
 mirror to observe-port 1
-----------------------------------------------------------

看到回显里 ACL 4001 的规则和 mirror 动作都挂上去了，说明流镜像已经在工作。这时在监控服务器上开抓包工具，收到的就只有那类被匹配的报文，干净利落。

几点现场经验：一是观察端口尽量用专门的空闲口，不要和业务口混用，免得镜像报文把正常转发挤占；二是 ACL 编号用 4000 段是二层 ACL，匹配 802.1p 这类二层字段就得用它，如果是按 IP 地址、端口号过滤就要换高级 ACL（3000 段）；三是流量大的时候记得监控服务器网卡要扛得住被复制过来的流量，不然抓包工具先成了瓶颈。

这套功能对中小企业很实用：不用买昂贵的专业探针设备，一台在网的华为交换机就能把"定点取证"做起来。如果想按 IP 地址段、按访问某类服务的流量来镜像，做法完全一样，只是 ACL 规则换成对应的匹配条件即可。企业在做内网审计和故障定位时如果拿不准镜像方案怎么设计，也欢迎找贵州诚鑫致达科技这样的本地服务商一起把方案理顺，少走弯路。

企业存储选型参考｜贵州诚鑫致达

做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。贵州县域市场：县城及乡镇企业存储、办公网络与监控存储。