想盯着一个部门的上网流量？华为交换机MQC流镜像两类报文一起抓
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
网络管理员常遇到这类需求：领导要求查一下某个部门访问外网网页的流量情况，或者两个部门之间传了什么大文件要弄清楚。如果直接把部门接入交换机的整个端口流量镜像到监控服务器，里面会混着打印机广播、各种杂七杂八的协议包，真正关心的业务流量反而被淹没了。
更好的做法是流镜像加流分类：在交换机上定义"我关心的报文长什么样"，交换机只把这些报文复制一份送到监控口。华为交换机的 MQC（流分类、流行为、流策略三件套）正是标准做法，而且流分类支持"或"逻辑，多条规则可以一起监控。本文场景：某公司科技部用 10.1.1.0/24 网段、行政部用 10.1.2.0/24 网段，都从交换机 Switch 转发流量，监控服务器 Server 直连交换机。需求是监控科技部的两类报文——访问 WWW 网页的流量、发往行政部的流量。
第一步，把接监控服务器的 GE1/0/2 配成本地观察端口，并建议关闭它的数据转发，让它专心转发镜像报文：
<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] observe-port 1 interface gigabitethernet 1/0/2
[Switch] observe-port 1 forwarding disable
第二步，配置流分类。先建两个高级 ACL 分别匹配两类报文，再创建流分类 c1，用"或"逻辑绑定这两个 ACL：
[Switch] acl number 3000
[Switch-acl-adv-3000] rule permit tcp source 10.1.1.0 0.0.0.255 destination-port eq www
[Switch-acl-adv-3000] quit
[Switch] acl number 3001
[Switch-acl-adv-3001] rule permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
[Switch-acl-adv-3001] quit
[Switch] traffic classifier c1 operator or
[Switch-classifier-c1] if-match acl 3000
[Switch-classifier-c1] if-match acl 3001
[Switch-classifier-c1] quit
第三步，创建流行为 b1，动作是把匹配报文镜像到观察端口 1：
[Switch] traffic behavior b1
[Switch-behavior-b1] mirroring to observe-port 1
[Switch-behavior-b1] quit
第四步，创建流策略 p1 把流分类和流行为绑在一起，应用到科技部接入口 GE1/0/1 的入方向：
[Switch] traffic policy p1
[Switch-trafficpolicy-p1] classifier c1 behavior b1
[Switch-trafficpolicy-p1] quit
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] traffic-policy p1 inbound
[Switch-GigabitEthernet1/0/1] return
配完四条命令，接下来逐项验证。先看流分类：
<Switch> display traffic classifier user-defined c1
User Defined Classifier Information:
Classifier: c1
Precedence: 5
Operator: OR
Rule(s) : if-match acl 3000
if-match acl 3001
再看流策略绑定关系和观察端口状态：
<Switch> display traffic policy user-defined p1
User Defined Traffic Policy Information:
Policy: p1
Classifier: c1
Operator: OR
Behavior: b1
Permit
Mirroring to observe-port 1
<Switch> display observe-port
----------------------------------------------------------------------
Index : 1
Untag-packet : No
Forwarding : No
Interface : GigabitEthernet1/0/2
----------------------------------------------------------------------
最后确认镜像整体配置：
<Switch> display port-mirroring
----------------------------------------------------------------------
Observe-port 1 : GigabitEthernet1/0/2
----------------------------------------------------------------------
Stream-mirror:
----------------------------------------------------------------------
Behavior Direction Observe-port
----------------------------------------------------------------------
1 b1 - Observe-port 1
----------------------------------------------------------------------
四条查询都有正确回显，监控服务器上就能收到科技部那两类报文了。有两点要注意：一是 observe-port 1 forwarding disable 是可选推荐配置，前提是观察端口上没有其他 VLAN 的业务转发，否则不能配；二是某些单板做出方向流镜像时对流行为有限制，做入方向镜像（本文场景）没有这个困扰。
对比全端口镜像，这种按条件镜像的方式抓下来的包文件小、噪音少，排查效率高得多。中小企业如果想把部门级流量审计体系搭起来，从交换机侧的流镜像是成本最低的起点，需要方案设计支持也可以找贵州诚鑫致达科技这类本地技术服务商协助落地。
企业存储选型参考｜贵州诚鑫致达
做分支办公与入门升级，群晖机型参考：DS725+ · DS423+ · DS220+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西藏·拉萨企业数据存储与备份容灾，支持远程与驻场。