H3C SecBlade IV NGFW Module 可以做远程镜像吗？

您好，可以的，参考链接

H3C SecBlade IV NGFW插卡-新华三集团-H3C

核心结论

1. NGFW 插卡自身（防火墙 OS）不支持mirroring‑group端口镜像（SPAN/RSPAN 远程源镜像）；端口镜像属于S7500E 交换机主控芯片能力，镜像源 / 目的不能直接指定 NGFW 插卡内部转发接口。
2. 想要对经过 SecBlade IV NGFW 的流量做远程镜像，有两种可行实现方式：

方案 A【推荐，交换机侧镜像】

流量是 S7500E 交换矩阵转发进入 NGFW 插卡，在 S7500E 交换机全局视图配置镜像：

• 把连接 NGFW 插卡的交换侧内部接口（或者 NGFW 对外物理出 / 入接口）作为镜像源；
• 配置RSPAN 远程源镜像组，使用 remote‑probe‑vlan，把镜像流量跨二层网络送到远端抓包设备。

注意：源是交换机板卡接口，不是 NGFW 插卡内部逻辑接口，配置命令在 S7500E 主交换机视图，不要登录 NGFW 插卡系统内配置。

限制：该方式复制的是进入 / 离开防火墙插卡的原始报文；已经被防火墙 NAT、VPN 封装修改后的报文，才能被镜像采集到；防火墙内部中间处理阶段报文拿不到。

方案 B【NGFW 插卡内部流镜像（仅本地，不支持原生 RSPAN）】

NGFW 插卡 V7 防火墙系统支持流镜像（QoS 策略镜像），只能镜像到插卡本地物理接口，插卡内部不支持 RSPAN 远程 VLAN 镜像、不支持 ERSPAN。

• 可以在 NGFW 内做 QoS 流策略，把匹配流量镜像到本板一个空闲物理口；
• 如果需要 “远程”，该物理口接 S7500E 交换机，再由交换机做二次 RSPAN 转发到远端分析设备。

流程：NGFW 流镜像→NGFW 本板物理口→S7500E 交换机接收该流量→交换机配置 RSPAN 远程镜像，转发至远端。

❌不支持点

1. 不能直接在 SecBlade IV NGFW 插卡操作系统下配置 mirroring‑group remote‑source（RSPAN 远程源镜像），该条命令在 NGFW 插卡 CLI 不存在；
2. NGFW 插卡不支持 ERSPAN GRE 封装远程镜像。

排查关键点

1. 区分两套命令行：
   • S7500E交换机主控视图：可以执行mirroring‑group全套端口镜像；
   • 登录进入SecBlade IV NGFW 插卡内部系统：无端口镜像 mirroring‑group 命令，只有 QoS 流镜像。
2. 版本要求：SecBlade IV NGFW 建议升级到 R8560P40 及以上稳定版本，流镜像特性更稳定H3C。