适用场景

排障到最后一步通常是抓包：请求到底有没有发出去、回应有没有回来、有没有被设备丢在二层。镜像配置不对，抓到的包就是错的。

配置步骤（思科 SPAN / RSPAN）

monitor session 1 source interface Gi1/0/1 both
monitor session 1 destination interface Gi1/0/24
show monitor session 1
# 远程镜像（RSPAN）
vlan 999
 remote-span
monitor session 2 source interface Gi1/0/1 both
monitor session 2 destination remote vlan 999

关键参数与建议

  • 镜像口与被镜像口尽量同速率，万兆口镜像到千兆口会丢包
  • 入口镜像（ingress）与出口镜像（egress）根据需要选，双向都看就都配
  • 抓包机网卡关闭 offload（Windows 关闭 RSS/校验和卸载），否则时间戳与校验和异常
  • 抓包文件按时间命名保存，排查结论要附 pcap 与时间点
  • 长期镜像会占带宽，排障结束及时删除镜像配置

容易踩的坑

  • RSPAN VLAN 未在两台交换机上都创建，镜像流断在中途
  • 目的口被划入其他 VLAN，抓到的包不完整
  • 忘了 show monitor session 验证，配置未生效

验证与巡检

show monitor session all
  • 巡检：session 状态 up、源与目的口正确、抓到完整握手

小结

抓包分析四步：看请求是否存在 → 看回应是否回来 → 看是否有重传与 RST → 看时间差定位延迟在哪一跳。拿到这三条结论，接下来的方向就不会错。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。