linux 服务器网口流量镜像

原创

hyang0
hyang0

生有可恋

2026年10月14日 06:27
湖北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

需要将 linux 的网口流量镜像出来给流量分析设备用，一般通过交换机的镜像口实现该功能。

但通过 linux 本身也能实现该功能，如果 linux 上网口比较多，可以将业务口的流量镜像给其它网口，实现流量的复制。

示意图：

复制后的流量只有发包，没有收包。这是可以理解的，因为数据流向被复制改变了，复制后的流量包只有通过发包发出去分析设备才能分析。镜像口永远不会有收包只有发包，这在交换机镜像口上也是一样的。

通过 nload 观察到的镜像口流量图如下，只有出站没有入站：

镜像口只有出站，没有入站，如果有入站就说明镜像口配错了。这个口不接数据线也有流量，因为它的流量是复制来的，不用配IP。

将入站流量复制给镜像口的命令：

modprobe sch_ingress act_mirred cls_u32tc qdisc add dev enp11s0f0 ingresstc filter add dev enp11s0f0 parent ffff: protocol all u32 match u8 0 0 \\    action mirred egress mirror dev enp12s0f0

镜像网口流量流出示意图：

将出站流量复制给镜像口的命令（未验证）：

tc qdisc add dev enp11s0f0 root handle 1: priotc filter add dev enp11s0f0 parent 1: protocol all u32 match u8 0 0 \\    action mirred egress mirror dev enp12s0f0

上面的例子是将业务口的流量复制出来，更有用的例子是将多个口的流量复制到一个口，实现 Tap 交换机的功能。

linux 网口的流量镜像功能还在测试中，当前只测了单口入站流量，其它功能晚点再尝试。如果没有Tap镜像流量交换机的可以用 Linux 主机来验证一下流量口的镜像功能。

全文完。