บทความเทคนิคต้นฉบับ FCTEL · ทีมเทคนิค FCTEL
เผยแพร่ครั้งแรก: 2026-10-06 · แก้ไขล่าสุด: 2026-10-06
หากไฟล์จับแพ็กเก็ตขาดเฟรมหนึ่งไป นั่นพิสูจน์ได้หรือไม่ว่าสวิตช์อุตสาหกรรมทำทราฟฟิกที่ใช้งานจริงสูญหาย? ไม่จำเป็นเสมอไป การมิเรอร์พอร์ตส่งสำเนาเฟรมที่ใช้งานจริงไปยังพอร์ตตรวจสอบ การส่งต่อตามปกติกับการจับสำเนาผ่านคิวและบัฟเฟอร์ที่แตกต่างกัน การทราบจุดสังเกต ทิศทาง และความจุช่วยให้การจับแพ็กเก็ตมีประโยชน์มากขึ้นในฐานะหลักฐานสำหรับแก้ไขปัญหา บทความนี้อธิบายกลไกทั่วไป โปรดตรวจสอบเอกสารของรุ่นที่เกี่ยวข้องเพื่อทราบคุณสมบัติการมิเรอร์ จุดทำสำเนา และคำจำกัดความของตัวนับที่มีอยู่จริง
เปิดภาพต้นฉบับเพื่อดูรายละเอียด เลื่อนในแนวนอนเพื่ออ่านข้อความกำกับแผนภาพในขนาดเต็ม
การมิเรอร์พอร์ตทำสำเนาอะไรบ้าง?
ระหว่างการสวิตชิ่งตามปกติ เฟรมจะเข้าสู่พอร์ตทางกายภาพ ชิปสวิตชิ่งจะระบุที่อยู่ MAC ปลายทางและ VLAN เลือกเอาต์พุต แล้วส่งเฟรมผ่านคิวและวงจรส่ง การมิเรอร์พอร์ตทำสำเนาที่จุดสังเกตที่เลือกไว้ และส่งสำเนานั้นไปยังพอร์ตตรวจสอบที่กำหนด ซึ่งคอมพิวเตอร์จับแพ็กเก็ตจะรับสำเนาดังกล่าว คอมพิวเตอร์ไม่ได้ถูกแทรกอยู่ในลิงก์ใช้งานจริงเดิม และทราฟฟิกปกติไม่ได้ถูกเปลี่ยนเส้นทางให้ผ่านซอฟต์แวร์จับแพ็กเก็ต ให้ใช้พอร์ตตรวจสอบตามที่ระบุในเอกสารของรุ่นนั้น
ให้แยกสองคำถามออกจากกัน: เฟรมที่ใช้งานจริงถูกส่งต่ออย่างถูกต้องหรือไม่ และสำเนามิเรอร์ของเฟรมนั้นมาถึงไฟล์จับแพ็กเก็ตอย่างครบถ้วนหรือไม่? เอาต์พุตมิเรอร์ที่แออัดอาจทำสำเนาสูญหาย ขณะที่การทำงานจริงยังดำเนินต่อได้ตามปกติ ในทางกลับกัน การพบเฟรมในข้อมูลมิเรอร์ขาเข้าไม่ได้พิสูจน์ว่าเฟรมนั้นผ่านการกรองในขั้นตอนถัดไปและไปถึงอุปกรณ์ปลายทาง การทำสำเนาจะเกิดก่อนหรือหลังการกรอง การประมวลผลแท็ก หรือการเปลี่ยนแปลงจากการกำหนดเส้นทางนั้นขึ้นอยู่กับฮาร์ดแวร์และเฟิร์มแวร์ ไม่สามารถถือว่าลำดับการประมวลผลภายในของผู้ผลิตรายหนึ่งใช้ได้กับสวิตช์อุตสาหกรรมทุกรุ่น
เปิดภาพต้นฉบับเพื่อดูรายละเอียด เลื่อนในแนวนอนเพื่ออ่านข้อความกำกับแผนภาพในขนาดเต็ม
ขาเข้าและขาออกอ้างอิงจากสวิตช์
ขาเข้าหมายถึงอุปกรณ์ปลายทางส่งข้อมูลเข้าสู่สวิตช์ ส่วนขาออกหมายถึงสวิตช์ส่งข้อมูลไปยังอุปกรณ์ปลายทาง สำหรับพอร์ตเชื่อมต่อกล้อง โดยปกติวิดีโอจะเข้าสู่สวิตช์ และคำสั่งควบคุมจะออกจากสวิตช์ สำหรับพอร์ตที่เชื่อมต่อกับเซิร์ฟเวอร์ ทิศทางที่เกี่ยวข้องอาจกลับกัน ให้บันทึกพอร์ตต้นทาง การเลือกขาเข้าหรือขาออก ปลายทางสำหรับตรวจสอบ และ VLAN ที่เกี่ยวข้อง มิฉะนั้น ทราฟฟิกที่อยู่นอกขอบเขตการสังเกตที่เลือกไว้อาจถูกรายงานผิดว่าสูญหาย
เฟรมที่ใช้งานจริงอาจเข้าทางพอร์ต 1 และออกทางพอร์ต 2 หากมิเรอร์ทั้งขาเข้าของพอร์ต 1 และขาออกของพอร์ต 2 การทำงานบางรูปแบบจะส่งสำเนาสองชุด หมายเลขลำดับและเพย์โหลดที่เหมือนกันในข้อมูลที่จับได้ไม่ได้หมายความว่าอุปกรณ์ปลายทางส่งแพ็กเก็ตซ้ำเสมอไป ให้เปรียบเทียบจุดสังเกต ทิศทาง และหมายเลขลำดับของโปรโตคอล อุปกรณ์บางรุ่นตัดสำเนาซ้ำออกหรือจำกัดรูปแบบการเลือกใช้งานร่วมกัน โปรดดูคู่มือ แท็ก VLAN หรือฟิลด์เลเยอร์ 3 อาจแตกต่างกันระหว่างสำเนาขาเข้าและขาออกด้วย ดังนั้นความแตกต่างของไบต์ดิบเพียงอย่างเดียวจึงไม่สามารถอธิบายสิ่งที่เกิดขึ้นได้
เหตุใดต้นทางหนึ่งกิกะบิตจึงทำให้เอาต์พุตมิเรอร์หนึ่งกิกะบิตรับภาระเกินความจุได้
พอร์ตกิกะบิตแบบฟูลดูเพล็กซ์มีความจุในการส่งข้อมูลแยกกันในแต่ละทิศทาง สมมติว่าพอร์ตรับข้อมูล 600 Mb/s ขณะส่งข้อมูล 600 Mb/s ไม่มีทิศทางใดถึงขีดจำกัดหนึ่งกิกะบิตของตน อย่างไรก็ตาม การมิเรอร์ทั้งสองทิศทางไปยังเอาต์พุตตรวจสอบหนึ่งกิกะบิตเพียงพอร์ตเดียวทำให้ต้องส่งสำเนาที่อัตรา 1,200 Mb/s เทียบกับความจุเอาต์พุต 1,000 Mb/s สิ่งที่ต้องเปรียบเทียบคือผลรวมของทราฟฟิกที่ทำสำเนา ไม่ใช่กราฟอัตราการใช้งานเพียงเส้นเดียวที่แสดงสำหรับพอร์ตต้นทาง
หากไม่รวมพรีแอมเบิล ช่องว่างระหว่างเฟรม และโอเวอร์เฮดอื่น ๆ อัตราที่เกินความจุ 200 Mb/s เป็นเวลา 10 ms จะทำให้เกิดข้อมูลค้างสะสม 200,000,000 × 0.01 ÷ 8 = 250,000 ไบต์ พื้นที่บัฟเฟอร์ที่เพียงพอสามารถเก็บสำเนาไว้ชั่วคราวและทยอยส่งออกเมื่ออัตราที่ต้องส่งลดลง แต่อัตราที่เกินความจุอย่างต่อเนื่องย่อมเกินขีดจำกัดของบัฟเฟอร์ที่มีขนาดจำกัดในที่สุด การคำนวณนี้ไม่ได้ระบุขนาดบัฟเฟอร์มิเรอร์ของรุ่น FCTEL พอร์ตตรวจสอบที่เจรจาความเร็วไว้ที่ 100 Mb/s การมิเรอร์จากหลายต้นทาง หรือภาระการประมวลผลแพ็กเก็ตจากเฟรมขนาดเล็กจำนวนมาก อาจเพิ่มการสูญหายในการจับแพ็กเก็ต
ลดขอบเขตต้นทาง เริ่มจากจับทราฟฟิกเพียงทิศทางเดียว และใช้ช่วงเวลาจับแพ็กเก็ตที่สั้นลงเพื่อตรวจสอบความจุ ใช้การกรองหรือปลายทางที่เร็วกว่าเฉพาะเมื่ออุปกรณ์จริงรองรับเท่านั้น คุณสมบัติเหล่านี้ไม่ได้มีในทุกอุปกรณ์ โดยทั่วไป ตัวกรองการแสดงผลในซอฟต์แวร์จับแพ็กเก็ตเพียงซ่อนแพ็กเก็ตที่เก็บมาแล้ว และไม่ได้ลดทราฟฟิกที่เอาต์พุตมิเรอร์ในขั้นตอนก่อนหน้า ต้องตรวจสอบด้วยว่าตัวกรองการจับแพ็กเก็ตมีผลที่จุดใดในระบบนั้น
เปิดภาพต้นฉบับเพื่อดูรายละเอียด เลื่อนในแนวนอนเพื่ออ่านข้อความกำกับแผนภาพในขนาดเต็ม
สำเนายังอาจสูญหายได้หลังจากมาถึงคอมพิวเตอร์จับแพ็กเก็ต
หลังออกจากพอร์ตตรวจสอบ สำเนาจะผ่าน NIC ของคอมพิวเตอร์ วงแหวนตัวบรรยายการรับ บัฟเฟอร์ของไดรเวอร์และเคอร์เนล แอปพลิเคชันจับแพ็กเก็ต และสุดท้ายคือระบบจัดเก็บข้อมูล ขั้นตอนที่ประมวลผลไม่ทันอาจทิ้งแพ็กเก็ตก่อนที่จะเข้าสู่ไฟล์ เอาต์พุตมิเรอร์ของสวิตช์ที่เร็วขึ้นไม่ได้แก้ปัญหาคอขวดของ CPU บัฟเฟอร์ หรือดิสก์โดยอัตโนมัติ จำนวนแพ็กเก็ตที่ถูกทิ้งซึ่งแอปพลิเคชันรายงานอาจไม่ครอบคลุมทุกขั้นตอนก่อนหน้า
ให้บันทึกข้อผิดพลาดและการทิ้งเฟรมของพอร์ตใช้งานจริง ตัวนับการมิเรอร์หากมี ข้อผิดพลาดการรับของ NIC การทิ้งแพ็กเก็ตของไลบรารีจับแพ็กเก็ต และสถานะระบบจัดเก็บข้อมูลแยกจากกัน ขอบเขตของตัวนับ ลักษณะการรีเซ็ต และการนับรวมทราฟฟิกที่ถูกกรองมีความแตกต่างกัน จึงต้องตรวจสอบคำจำกัดความ ข้อผิดพลาด CRC เกี่ยวข้องกับความสมบูรณ์ของเฟรมที่รับ ส่วนการทิ้งเฟรมในคิวเกี่ยวข้องกับความจุหรือนโยบาย ไม่ควรจัดทั้งหมดเป็นความผิดปกติของลิงก์ เมื่อไม่พบหมายเลขลำดับหนึ่งในข้อมูลที่จับได้ ให้ตรวจสอบลำดับที่แอปพลิเคชันปลายทางได้รับจริงหรือบันทึกข้อความของแอปพลิเคชันนั้น ไฟล์ pcap เพียงไฟล์เดียวไม่ใช่หลักฐานที่เพียงพอ
ข้อจำกัดของการประทับเวลา แท็ก และหลักฐานการส่งซ้ำ
การประทับเวลาการจับแพ็กเก็ตโดยทั่วไปบันทึกเวลาที่โฮสต์ตรวจสอบได้รับหรือประมวลผลสำเนา ไม่ใช่เวลาที่เฟรมต้นฉบับเข้าหรือออกจากพอร์ตใช้งานจริง คิวมิเรอร์ การส่งออก และการจัดตารางทำงานของโฮสต์อาจเพิ่มความล่าช้า แม้แต่การประทับเวลาด้วยฮาร์ดแวร์ของ NIC ก็มักวัดเวลาที่ข้อมูลมาถึง NIC ที่ใช้จับแพ็กเก็ต เว้นแต่เอกสารจะระบุไว้อย่างชัดเจนเป็นอย่างอื่น เวลาดังกล่าวไม่ใช่เวลาต้นฉบับที่ PHY ของพอร์ตใช้งานจริงบนสวิตช์
ข้อมูลที่จับจากการมิเรอร์มีประโยชน์สำหรับตรวจสอบลำดับโปรโตคอล ที่อยู่ และเพย์โหลด แต่ไม่ควรถือเป็นการรับประกันความหน่วงในการควบคุมระดับไมโครวินาที การออฟโหลดของ NIC การถอดแท็ก และข้อจำกัดความยาวในการจับแพ็กเก็ตอาจส่งผลต่อข้อมูลที่แสดงเช่นกัน เมื่อเปรียบเทียบข้อมูลที่จับจากสองตำแหน่ง ให้ตรวจสอบการซิงโครไนซ์นาฬิกา จุดสังเกต และตัวกรอง พร้อมเก็บไฟล์ต้นฉบับไว้ หากสงสัยว่ามีการส่งซ้ำของ TCP ให้เปรียบเทียบหมายเลขลำดับ การตอบรับ และสถิติของอุปกรณ์ปลายทาง สำหรับช่องว่างในลำดับแอปพลิเคชันของโปรโตคอลอุตสาหกรรม ให้คำนึงถึงกลไกของโปรโตคอลนั้นเอง แทนที่จะสรุปว่าทุกช่องว่างเกิดจากสวิตช์
ขั้นตอนการตรวจสอบภาคสนามที่ทำซ้ำได้
บันทึกการตั้งค่ามิเรอร์และสถานะพอร์ตที่เจรจาได้ก่อน ในช่วงเวลาบำรุงรักษาที่ได้รับอนุมัติ ให้เลือกต้นทางหนึ่งแหล่งและจับทราฟฟิกหนึ่งทิศทางที่มีหมายเลขลำดับซึ่งระบุได้ บันทึกจำนวนข้อมูลของแอปพลิเคชันที่ฝั่งส่งและฝั่งรับ พร้อมค่าตัวนับเริ่มต้นและสิ้นสุดของพอร์ตและโฮสต์ที่เกี่ยวข้อง จากนั้นคงสภาวะการใช้งานจริงให้เหมือนเดิม เปิดการมิเรอร์ทั้งสองทิศทาง แล้วเปรียบเทียบจำนวนสำเนาและการทิ้งแพ็กเก็ตระหว่างการจับ ห้ามส่งทราฟฟิกที่ยังไม่ได้ตรวจสอบเข้าสู่อุปกรณ์ควบคุม
หากลำดับของแอปพลิเคชันปลายทางต่อเนื่องแต่สำเนาขาดหาย ให้ตรวจสอบความจุการมิเรอร์และกระบวนการจับแพ็กเก็ตของโฮสต์ก่อน หากแอปพลิเคชันมีลำดับขาดหายด้วย ให้ใช้ข้อผิดพลาดของพอร์ตใช้งานจริง การทิ้งเฟรมขาออก และบันทึกโปรโตคอลร่วมกันเพื่อหาจุดขัดข้อง เอกสารที่ FCTEL เผยแพร่สำหรับสวิตช์อุตสาหกรรมแบบจัดการได้ที่มีพอร์ตไฟฟ้ากิกะบิต 24 พอร์ต พร้อมพอร์ตกิกะบิต SFP/ไฟฟ้าอีกสี่พอร์ต ระบุการมิเรอร์พอร์ตเป็นคุณสมบัติสำหรับการวินิจฉัยปัญหา ข้อมูลดังกล่าวไม่ได้ยืนยันว่ารองรับคุณสมบัติเฉพาะแพลตฟอร์มทุกอย่างที่กล่าวถึงในบทความนี้ ให้ตรวจสอบรุ่น เฟิร์มแวร์ และคู่มือที่ตรงกัน คืนค่าการตั้งค่าหลังเสร็จสิ้น และเก็บเงื่อนไขการทดสอบกับบันทึกดิบไว้
เอกสารอ้างอิงทางเทคนิค: เอกสาร Cisco เกี่ยวกับกลไก SPAN. แหล่งข้อมูล FCTEL ที่เกี่ยวข้อง: บทความทางเทคนิค และ เอกสารผลิตภัณฑ์สวิตช์อุตสาหกรรม.
