s6520配置两个监听口且不镜像备份服务器流量

远程镜像实现

S6520：流过滤 + 镜像输出到两个观测口
硬件限制
S6520 V7 流行为中，mirror‑to interface只能配置 1 个物理接口，重复配置直接覆盖，无法在同一个 behavior 下直接镜像到两个物理口。
需求：业务口流量，排除访问备份服务器 IP，复制一份给到口 A，同时复制一份给到口 B。
方案一：RSPAN 远程镜像（推荐，官方标准方案）
原理：QoS 流分类过滤掉备份服务器流量，将符合条件流量镜像到remote‑probe‑vlan，两个监听口都加入这个 RSPAN VLAN，依靠 VLAN 二层泛洪实现一对多镜像复制。
重要约束
remote‑probe‑vlan 为镜像专用 VLAN，不能承载业务；
观测口只允许该 RSPAN VLAN，不要配置 IP，关闭 STP，防止环路；
过滤仅对入方向 (inbound)生效，如果需要监控业务口出方向流量，出方向也要应用策略。
shell
#1、创建RSPAN镜像专用VLAN，空闲未使用VLAN，示例VLAN 4000
vlan 4000
remote-probe-vlan
quit

#2、流分类：过滤【目的是备份服务器】的流量，示例备份服务器IP：10.1.1.20
traffic classifier filter_backup operator and
if-match not destination-ip 10.1.1.20 0
quit

#如果还需要过滤备份服务器主动发出的回包，增加一条
# if-match not source-ip 10.1.1.20 0

#3、流行为：镜像到RSPAN VLAN，而不是直接镜像物理口
traffic behavior beh_mirror_rspan
mirror-to remote-vlan 4000
quit

#4、QoS策略绑定分类和行为
qos policy pol_mirror
classifier filter_backup behavior beh_mirror_rspan
quit

#5、业务源端口（被镜像的业务口，示例G1/0/1）
interface GigabitEthernet 1/0/1
qos apply policy pol_mirror inbound
# 如果需要同时镜像出方向流量
# qos apply policy pol_mirror outbound
quit

#6、第一个监听口 G1/0/20
interface GigabitEthernet 1/0/20
port link-mode bridge
port link-type trunk
port trunk permit vlan 4000
undo stp enable
quit

#7、第二个监听口 G1/0/21
interface GigabitEthernet 1/0/21
port link-mode bridge
port link-type trunk
port trunk permit vlan 4000
undo stp enable
quit
查看验证命令
bash
display remote-probe-vlan
display qos policy interface GigabitEthernet 1/0/1 inbound
display traffic classifier user-defined
display traffic behavior user-defined
风险提示：RSPAN VLAN 内部会泛洪镜像报文，严禁把业务端口加入 VLAN4000，避免镜像流量泄露业务网络。
方案二：双 QoS 策略（备选，有芯片资源限制，不优先）
同一个业务端口 inbound 方向，同时应用两套 QoS 策略，两套行为分别镜像到不同监听口，共用同一套过滤流分类。
部分 S6520 芯片不支持端口下多个 policy，会报Too many policies applied，报错就改用 RSPAN。
shell
traffic classifier filter_backup operator and
if-match not destination-ip 10.1.1.20 0
quit

#行为1：镜像到G1/0/20
traffic behavior beh_20
mirror-to interface GigabitEthernet 1/0/20
quit
#行为2：镜像到G1/0/21
traffic behavior beh_21
mirror-to interface GigabitEthernet 1/0/21
quit

#两个独立policy
qos policy pol_20
classifier filter_backup behavior beh_20
qos policy pol_21
classifier filter_backup behavior beh_21

interface GigabitEthernet 1/0/1
qos apply policy pol_20 inbound
qos apply policy pol_21 inbound
方案三：物理分光器（硬件方案）
交换机只做流过滤镜像输出1 个监听口，外接分光器物理复制流量，分给两台分析设备。
优点：不占用交换机芯片资源；缺点：需要额外硬件。
常见踩坑
if‑match not destination‑ip 仅过滤去往备份服务器；备份服务器回包还会镜像，需要再加if‑match not source‑ip x.x.x.x 0；
RSPAN 观测口不能配置 access 模式，必须 trunk 放行 remote‑probe‑vlan；
观测口务必关闭 stp，镜像报文无 BPDU，极易产生二层环路；
不要直接在同一个 behavior 配置两条mirror‑to interface，后一条直接覆盖前一条，只会最后一个端口生效。
IRF 堆叠补充（如果设备是 IRF）
RSPAN VLAN 是整机有效，主备框的监听口同样可以加入 remote‑probe‑vlan，实现跨框镜像分发，配置逻辑不变。