S6800+（M-LAG组网+本地镜像）

  可以实现，S6800 M-LAG 场景下，S6800-02 的镜像流量会通过 Peer-Link 转发到 S6800-01，最终送到镜像观测设备  

不能直接通过本地镜像实现：S6800-02（第二台）M-LAG 聚合口复制出的镜像流量，不会自动走 Peer-Link 转发到 S6800-01 的监控口，无法被抓包服务器收到。
下面分原理、故障原因、可行改造方案完整说明。
一、底层核心限制（2 个关键硬件 / 机制约束）
1. 本地镜像（local mirroring）硬件隔离特性
本地镜像的复制动作仅在单台交换机芯片内部完成：
S6800-01 本地聚合口复制的镜像报文，只会在本机转发到本机 monitor 监控口；
S6800-02 本地聚合口生成的镜像复制报文，只会在本机内部转发，芯片不会主动把镜像泛洪 / 转发到 Peer-Link 链路；
镜像报文属于硬件复制副本，不属于正常业务单播 / 广播流量，不遵循 M-LAG 业务转发逻辑，不会跨 Peer-Link 透传。
2. M-LAG Peer-Link 单向隔离防环机制
M-LAG 有强制隔离规则：从 Peer-Link 收到的流量，不会再从 M-LAG 成员口发出；同时本机生成的镜像副本，不会主动发送到 Peer-Link。
哪怕业务流量会跨 Peer-Link 转发，镜像复制报文不受 M-LAG 数据转发逻辑调度，不会跨设备传输。
场景对照你的组网
服务器 1 双上联 M-LAG 聚合（S6800-01 口 1、S6800-02 口 2）：
服务器流量走 S6800-01 端口：本机镜像复制 → 直接送到本机监控口，抓包设备能收到；
服务器流量走 S6800-02 端口：本机硬件复制镜像报文，仅存在 S6800-02 芯片内部，不会发送到 Peer-Link 链路，S6800-01 抓包服务器完全看不到这部分流量。
二、3 套标准可行改造方案（按需选择）
方案 1：二层远程端口镜像（推荐，改动最小）
原理：两台设备配置远程源镜像组，用独立专用镜像 VLAN 承载跨 Peer-Link 的镜像流量，Peer-Link 允许该 VLAN 通过，镜像流量跨设备转发到 S6800-01 监控口。
完整配置步骤
规划专用镜像隔离 VLAN（示例 VLAN 4000，全网仅用于镜像，不跑业务）
plaintext
# S6800-01 & S6800-02 全局创建
vlan 4000
description MIRROR_PROBE_VLAN

两台设备 Peer-Link 接口放行镜像 VLAN
plaintext
interface Ten-GigabitEthernet 1/0/49
port link-mode bridge
port trunk permit vlan all
# 确保VLAN4000允许通过peer-link

S6800-02（备机）配置远程源镜像组
plaintext
mirroring-group 1 remote-source
remote-probe vlan 4000
# M-LAG聚合成员物理口作为镜像源，双向复制
interface Ten-GigabitEthernet 1/0/2
mirroring-group 1 mirroring-port both

S6800-01（主机）配置远程目的镜像组，绑定监控口
plaintext
mirroring-group 1 remote-dest
remote-probe vlan 4000
# 连接抓包服务器的端口作为监控口
interface Ten-GigabitEthernet 1/0/50
mirroring-group 1 monitor-port
undo stp enable

效果：S6800-02 复制的镜像报文带 VLAN4000 标签走 Peer-Link 到 S6800-01，剥离标签后转发到抓包服务器，两台设备聚合口流量全部抓取完整。
方案 2：两台交换机各接一台抓包设备（最简，无跨设备镜像）
S6800-01 配置本地镜像，监控口接抓包 1；
S6800-02 配置本地镜像，监控口接抓包 2；
适合流量量大、不希望 Peer-Link 承载镜像流量的场景，无需远程镜像配置。
方案 3：ERSPAN 三层远程镜像（跨三层场景）
如果两台 S6800 三层互通，用 GRE 封装镜像流量，通过三层路由转发到 S6800-01，适合跨机房、远距离镜像场景。
三、补充避坑要点
不要把 Peer-Link 作为 monitor 监控口
官方规范：Peer-Link 接口禁止配置为镜像目的口，会破坏 M-LAG 防环机制，引发业务震荡、LACP 协商异常。
远程镜像 VLAN 必须专用
VLAN4000 仅用于镜像，不能承载业务流量，避免镜像标签与业务 VLAN 冲突、环路。
monitor 监控口关闭 STP
undo stp enable，防止 STP 阻塞镜像流量，监控口只接抓包设备，不接交换机。
负载分担场景验证
服务器流量哈希交替走两台 M-LAG 成员口，只用本地镜像会丢失一半流量，远程镜像方案才能完整抓取双向全量流量。
最简总结
单纯本地镜像：第二台 S6800 的镜像流量无法通过 Peer-Link 传到第一台抓包设备；
根因：本地镜像副本仅本机转发，硬件不支持跨 Peer-Link 透传；
最优解决：部署二层远程端口镜像，通过专用镜像 VLAN 跨 Peer-Link 转发全部镜像流量。

在M-LAG组网中，标准的本地镜像（Local Mirroring）无法通过peer-link链路将第二台交换机的镜像流量转发到第一台交换机上的监控设备。

📌 结论与原因

根本原因在于 M-LAG的单向隔离机制：从peer-link接口接收的流量，不会再从M-LAG接口转发出去。这种设计用于防止环路，但也阻断了镜像流量的跨设备转发。

因此，本地镜像（Local Mirroring）不能在M-LAG组网中跨设备使用。要实现你的需求，必须采用二层远程端口镜像（RSPAN），通过一个专门的“镜像传输VLAN”将流量引导至监控设备所在的交换机。

💡 解决方案：配置二层远程端口镜像（RSPAN）

以下是配置思路，两台交换机（SW-01和SW-02）都需要配置，但配置的角色不同。

1. 准备工作：规划专用镜像VLAN

• 规划一个专用的镜像VLAN（例如VLAN 100）。

• 在两台交换机上创建该VLAN，并在所有互联端口（包括peer-link）上以Trunk模式允许其通过。

• 在该VLAN中关闭MAC地址学习功能。

• 可选但建议：在监控端口上关闭STP协议。

2. 在SW-01和SW-02上配置“远程源镜像组”

在两台交换机上都需要进行此配置，用于指定“要镜像谁的流量”以及“通过哪个VLAN发送”。

关键点：reflector-port必须是一个未被使用的物理端口。

3. 仅在SW-01上配置“远程目的镜像组”

此配置仅在连接了监控设备的SW-01上执行，用于指定“监控设备接在哪个端口”。