华为交换机端口镜像配置后为何无法捕获VLAN间流量？

Question

华为交换机端口镜像配置后无法捕获VLAN间流量，常见原因在于镜像源的选择与三层转发机制不匹配。端口镜像（如`observe-port` + `mirroring-port`）默认仅镜像二层转发的报文（如同一VLAN内MAC转发），而VLAN间通信需经三层接口（SVI或三层子接口）路由，此时报文在交换芯片内部以三层方式转发，不经过镜像所绑定的物理/逻辑入端口路径。若未将三层VLANIF接口或路由出接口配置为镜像源（需支持`mirroring-port inbound`或`mirroring-port outbound`并启用三层镜像能力），或未开启`traffic-mirror enable`（部分型号要求），则VLAN间路由报文将被跳过镜像流程。此外，ACL流镜像（`traffic classifier + behavior`）虽可精准捕获跨VLAN流量，但需显式匹配源/目的IP及三层协议字段——单纯端口镜像无法自动覆盖三层转发路径。

Answer 1

```html

一、现象层：VLAN间流量“消失”在镜像视图中

运维工程师在完成端口镜像基础配置（observe-port 1 interface GigabitEthernet0/0/24 + mirroring-port GigabitEthernet0/0/1 inbound）后，使用Wireshark连接观察端口，可稳定捕获同一VLAN内PC互访的ARP、ICMP报文，但当源PC（VLAN 10）与目的PC（VLAN 20）跨VLAN通信时，镜像端口零流量。该现象非丢包或链路故障所致——路由可达、ping通、业务正常，唯独镜像“失明”。

二、机制层：二层镜像路径与三层转发路径存在结构性隔离

华为交换机（以S5735-S、CE6857等主流盒式/框式设备为例）采用硬件转发架构：同VLAN流量经L2 FIB查MAC表，在交换芯片内部完成端口间转发，路径显式经过物理入端口→ACL/镜像点→出端口；而VLAN间路由流量由三层引擎（如L3 FIB+ARP表）驱动，报文在ASIC内部以“三层直通模式”处理——从入接口逻辑子单元（如Vlanif10 ingress pipeline）直接进入路由查找流水线，绕过传统端口级镜像触发点。此即根本矛盾：镜像锚点在物理/二层接口，而跨VLAN流量已升维至IP层，脱离该锚点作用域。

三、配置层：三层镜像能力未显式启用或源对象错配

• ❌ 错误实践：仅对物理接口执行mirroring-port，未覆盖Vlanif接口
• ✅ 正确操作：需为三层终结点启用镜像，例如：
  interface Vlanif10
mirroring-port inbound
quit
interface Vlanif20
mirroring-port outbound
• ⚠️ 型号差异：S系列（如S5735）需全局开启traffic-mirror enable；CE系列（如CE6857）默认支持，但需确认软件版本≥V200R022C00

四、策略层：ACL流镜像是精准捕获跨VLAN流量的工业级方案

当需细粒度捕获特定跨VLAN会话（如仅镜像10.1.1.0/24 → 10.2.2.0/24的TCP 443流量）时，必须转向QoS流镜像模型：

traffic classifier vlan-cross operator or
 if-match ip-source 10.1.1.0 0.0.0.255
 if-match ip-destination 10.2.2.0 0.0.0.255
 if-match protocol tcp
 if-match destination-port 443

traffic behavior mirror-to-sniffer
 mirror-to observe-port 1

traffic policy capture-cross-vlan
 classifier vlan-cross behavior mirror-to-sniffer

interface Vlanif10
 traffic-policy capture-cross-vlan inbound
interface Vlanif20
 traffic-policy capture-cross-vlan outbound

五、验证层：分阶段诊断流程图

graph TD
  A[现象：跨VLAN无镜像] --> B{是否能ping通？}
  B -->|否| C[排查三层路由/ARP]
  B -->|是| D[检查镜像源是否含Vlanif接口]
  D --> E{Vlanif下有mirroring-port inbound/outbound？}
  E -->|否| F[补配Vlanif镜像指令]
  E -->|是| G[执行display mirroring-port]
  G --> H{状态为Active且Direction匹配？}
  H -->|否| I[检查traffic-mirror enable及ACL策略绑定]
  H -->|是| J[抓包验证：源/目的IP是否命中ACL规则]

六、进阶要点：关键命令与输出对照表

场景	必查命令	健康输出特征
VLANIF镜像生效	display mirroring-port	显示“Vlanif10 inbound Active”
三层镜像总开关	display traffic-mirror status	“Global Traffic Mirror: Enabled”
ACL策略绑定正确	display traffic-policy applied-record	显示Vlanif10 inbound绑定policy名称

七、避坑指南：5个高频误操作

1. 在二层Access端口上配置mirroring-port inbound，却期望捕获其上行Trunk口的三层路由包
2. 未在Vlanif接口下执行mirroring-port，仅在物理上行口配置，导致路由出口流量漏镜像
3. ACL流镜像中遗漏if-match protocol ip，致使非IP报文（如ARP）不触发行为
4. 观察端口（observe-port）被误配置为Hybrid或Trunk模式，导致镜像帧携带Tag无法被PC网卡识别
5. 未关闭CPU防攻击特性（cpu-defend policy），导致大量ICMP重定向报文被CPU丢弃，无法镜像

八、演进视角：云化网络中的镜像新范式

在SDN架构下（如华为iMaster NCE+CloudEngine），传统端口镜像正向“流采样+Telemetry推送”迁移：通过gRPC订阅openconfig-interfaces:interface-state/statistics或自定义YANG模型，实时获取跨VLAN流统计，并联动SecoManager生成微隔离审计日志。此时，镜像不再依赖硬件端口绑定，而是基于流标签（Flow Label）和VNI标识进行逻辑镜像，从根本上消解了二/三层路径分离问题。

```