Bài viết kỹ thuật gốc của FCTEL · Đội ngũ kỹ thuật FCTEL
Xuất bản lần đầu: 2026-10-06 · Sửa đổi gần nhất: 2026-10-06
Nếu một tệp bắt gói thiếu một khung, điều đó có chứng minh bộ chuyển mạch công nghiệp đã làm mất lưu lượng vận hành không? Không nhất thiết. Phản chiếu cổng gửi các bản sao của khung lưu lượng vận hành đến một cổng giám sát. Việc chuyển tiếp bình thường và việc bắt bản sao đi qua các hàng đợi và bộ đệm khác nhau. Hiểu rõ điểm quan sát, hướng lưu lượng và dung lượng giúp dữ liệu bắt gói hữu ích hơn khi dùng làm bằng chứng khắc phục sự cố. Bài viết này mô tả các cơ chế chung. Hãy kiểm tra tài liệu của model liên quan để biết các tính năng phản chiếu, điểm sao chép và định nghĩa bộ đếm thực tế.
Mở ảnh gốc để xem chi tiết. Cuộn ngang để đọc các nhãn trong sơ đồ ở kích thước đầy đủ.
Chính xác thì phản chiếu cổng sao chép những gì?
Trong quá trình chuyển mạch bình thường, một khung đi vào một cổng vật lý. Chip chuyển mạch xác định địa chỉ MAC đích và VLAN của khung, chọn một đầu ra rồi chuyển khung qua hàng đợi và bộ phát. Phản chiếu cổng tạo một bản sao tại điểm quan sát được chọn và gửi bản sao đó đến cổng giám sát được chỉ định, nơi máy tính bắt gói nhận bản sao. Máy tính này không được chèn vào liên kết vận hành ban đầu và lưu lượng bình thường không bị định tuyến lại qua phần mềm bắt gói. Hãy sử dụng cổng giám sát theo quy định trong tài liệu của model.
Hãy tách riêng hai câu hỏi: khung lưu lượng vận hành có được chuyển tiếp đúng hay không, và bản sao phản chiếu của nó có đến tệp bắt gói nguyên vẹn hay không? Đầu ra phản chiếu bị tắc nghẽn có thể làm mất bản sao trong khi hoạt động vận hành vẫn diễn ra bình thường. Ngược lại, việc thấy một khung trong dữ liệu phản chiếu đầu vào không chứng minh rằng khung đó đã vượt qua các bước lọc tiếp theo và đến thiết bị đầu cuối. Việc sao chép diễn ra trước hay sau khi lọc, xử lý thẻ hoặc thay đổi do định tuyến phụ thuộc vào phần cứng và firmware. Không thể mặc định rằng thứ tự xử lý nội bộ của một nhà cung cấp áp dụng cho mọi bộ chuyển mạch công nghiệp.
Mở ảnh gốc để xem chi tiết. Cuộn ngang để đọc các nhãn trong sơ đồ ở kích thước đầy đủ.
Đầu vào và đầu ra được xác định tương đối so với bộ chuyển mạch
Đầu vào nghĩa là thiết bị đầu cuối gửi vào bộ chuyển mạch; đầu ra nghĩa là bộ chuyển mạch gửi về phía thiết bị đầu cuối. Trên cổng truy nhập kết nối camera, video thường đi vào bộ chuyển mạch và lệnh điều khiển thường đi ra khỏi bộ chuyển mạch. Trên cổng kết nối máy chủ, các hướng liên quan có thể ngược lại. Hãy ghi lại cổng nguồn, lựa chọn đầu vào hay đầu ra, đích giám sát và các VLAN liên quan. Nếu không, lưu lượng nằm ngoài phạm vi quan sát đã chọn có thể bị báo nhầm là bị mất.
Một khung lưu lượng vận hành có thể đi vào cổng 1 và đi ra cổng 2. Nếu cả đầu vào của cổng 1 và đầu ra của cổng 2 đều được phản chiếu, một số cách triển khai sẽ cung cấp hai bản sao. Số thứ tự và tải dữ liệu giống nhau trong dữ liệu bắt gói không nhất thiết có nghĩa là thiết bị đầu cuối đã truyền lại một gói tin. Hãy đối chiếu các điểm quan sát, hướng lưu lượng và số thứ tự của giao thức. Một số thiết bị loại bỏ bản sao trùng lặp hoặc hạn chế các tổ hợp lựa chọn; hãy tham khảo hướng dẫn sử dụng. Các thẻ VLAN hoặc trường ở Lớp 3 cũng có thể khác nhau giữa bản sao đầu vào và đầu ra, vì vậy chỉ riêng sự khác biệt về byte thô không giải thích được điều đã xảy ra.
Tại sao một nguồn gigabit có thể làm quá tải một đầu ra phản chiếu gigabit
Một cổng gigabit song công toàn phần có dung lượng truyền ở mỗi hướng. Giả sử cổng nhận 600 Mb/s trong khi truyền 600 Mb/s. Không hướng nào đạt giới hạn một gigabit của mình. Tuy nhiên, phản chiếu cả hai hướng vào một đầu ra giám sát gigabit tạo ra nhu cầu sao chép 1,200 Mb/s so với dung lượng đầu ra 1,000 Mb/s. Đại lượng cần so sánh là tổng lưu lượng được sao chép, chứ không phải một đường biểu diễn mức sử dụng của cổng nguồn.
Bỏ qua phần mở đầu khung, khoảng cách giữa các khung và các phần phụ trội khác, mức vượt 200 Mb/s kéo dài 10 ms tạo ra lượng dữ liệu tồn đọng 200,000,000 × 0.01 ÷ 8 = 250,000 byte. Không gian bộ đệm đủ lớn có thể giữ tạm thời các bản sao rồi giải phóng chúng khi nhu cầu giảm. Mức vượt kéo dài cuối cùng sẽ vượt quá mọi bộ đệm hữu hạn. Phép tính này không xác định kích thước bộ đệm phản chiếu của một model FCTEL. Cổng giám sát đàm phán ở tốc độ 100 Mb/s, nhiều nguồn được phản chiếu hoặc tải xử lý gói tin từ nhiều khung nhỏ đều có thể làm tăng mức mất gói khi bắt.
Hãy thu hẹp phạm vi nguồn, ban đầu chỉ bắt một hướng và sử dụng khoảng thời gian bắt gói ngắn hơn để khảo sát dung lượng. Chỉ sử dụng bộ lọc hoặc đích tốc độ cao hơn nếu thiết bị thực tế hỗ trợ; các tính năng này không có trên mọi thiết bị. Bộ lọc hiển thị trong phần mềm bắt gói thường chỉ ẩn các gói đã thu thập và không làm giảm lưu lượng ở đầu ra phản chiếu trước đó. Cũng cần kiểm tra vị trí bộ lọc bắt gói có hiệu lực trong cách triển khai cụ thể.
Mở ảnh gốc để xem chi tiết. Cuộn ngang để đọc các nhãn trong sơ đồ ở kích thước đầy đủ.
Bản sao vẫn có thể bị mất sau khi đến máy tính bắt gói
Sau khi rời cổng giám sát, các bản sao đi qua NIC của máy tính, vòng bộ mô tả nhận, trình điều khiển và bộ đệm nhân hệ điều hành, ứng dụng bắt gói và cuối cùng là hệ thống lưu trữ. Một giai đoạn không theo kịp có thể loại bỏ gói trước khi chúng được ghi vào tệp. Đầu ra phản chiếu của bộ chuyển mạch có tốc độ cao hơn không tự động khắc phục được nút thắt ở CPU, bộ đệm hoặc ổ đĩa. Số gói bị loại bỏ do ứng dụng báo cáo có thể không bao quát mọi giai đoạn trước đó.
Hãy ghi riêng lỗi và số khung bị loại bỏ trên cổng vận hành, các bộ đếm phản chiếu nếu có, lỗi nhận của NIC, số gói bị loại bỏ tại thư viện bắt gói và trạng thái lưu trữ. Phạm vi bộ đếm, cơ chế đặt lại và việc có tính lưu lượng bị lọc hay không có thể khác nhau, vì vậy hãy xác minh các định nghĩa. Lỗi CRC liên quan đến tính toàn vẹn của khung nhận được; việc loại bỏ tại hàng đợi liên quan đến dung lượng hoặc chính sách. Không nên gộp tất cả thành lỗi liên kết. Khi một số thứ tự không xuất hiện trong dữ liệu bắt gói, hãy kiểm tra chuỗi số thứ tự thực sự được ứng dụng đích nhận hoặc nhật ký thông điệp của ứng dụng đó. Chỉ một tệp pcap là chưa đủ làm bằng chứng.
Giới hạn của dấu thời gian, thẻ và bằng chứng truyền lại
Dấu thời gian bắt gói thông thường ghi lại thời điểm máy giám sát nhận hoặc xử lý bản sao, chứ không phải thời điểm khung gốc đi vào hoặc đi ra cổng vận hành. Hàng đợi phản chiếu, quá trình truyền ở đầu ra và cơ chế lập lịch trên máy bắt gói có thể làm tăng độ trễ. Ngay cả dấu thời gian phần cứng của NIC thường cũng đo thời điểm đến NIC bắt gói. Trừ khi tài liệu xác nhận rõ điều khác, đó không phải dấu thời gian ban đầu tại PHY của cổng vận hành trên bộ chuyển mạch.
Dữ liệu bắt gói phản chiếu hữu ích để xem thứ tự giao thức, địa chỉ và tải dữ liệu, nhưng không nên được coi là sự bảo đảm về độ trễ điều khiển ở mức micro giây. Các chức năng giảm tải xử lý của NIC, việc loại bỏ thẻ và giới hạn độ dài bắt gói cũng có thể ảnh hưởng đến kết quả hiển thị. Khi so sánh dữ liệu bắt gói ở hai vị trí, hãy kiểm tra việc đồng bộ đồng hồ, các điểm quan sát và bộ lọc, đồng thời giữ lại các tệp gốc. Khi nghi ngờ có truyền lại TCP, hãy đối chiếu số thứ tự, xác nhận và thống kê tại thiết bị đầu cuối. Với các khoảng thiếu trong chuỗi số thứ tự ứng dụng của giao thức công nghiệp, cần tính đến cơ chế riêng của giao thức đó thay vì quy mọi khoảng thiếu cho bộ chuyển mạch.
Quy trình kiểm chứng tại hiện trường có thể lặp lại
Trước tiên, hãy lưu cấu hình phản chiếu và trạng thái cổng đã đàm phán. Trong khoảng thời gian bảo trì đã được phê duyệt, chọn một nguồn và bắt một hướng lưu lượng có số thứ tự nhận diện được. Ghi lại số lượng ở cấp ứng dụng tại bên gửi và bên nhận, cùng với giá trị bộ đếm đầu và cuối trên các cổng liên quan và máy bắt gói. Sau đó giữ nguyên các điều kiện vận hành, bật cả hai hướng và so sánh số bản sao cùng số gói bị loại bỏ khi bắt. Không đưa lưu lượng chưa được kiểm chứng vào thiết bị điều khiển.
Nếu chuỗi số thứ tự của ứng dụng đích liên tục nhưng thiếu bản sao, trước tiên hãy kiểm tra dung lượng phản chiếu và chuỗi bắt gói trên máy. Nếu ứng dụng cũng có khoảng thiếu, hãy kết hợp lỗi cổng vận hành, số khung bị loại bỏ ở đầu ra và nhật ký giao thức để xác định vị trí lỗi. Tài liệu công bố của FCTEL cho một bộ chuyển mạch công nghiệp được quản lý có 24 cổng điện gigabit cùng bốn cổng SFP/điện gigabit liệt kê phản chiếu cổng là một tính năng chẩn đoán. Điều đó không xác nhận thiết bị hỗ trợ mọi tính năng đặc thù nền tảng được thảo luận ở đây. Hãy kiểm tra chính xác model, firmware và hướng dẫn sử dụng, khôi phục cấu hình sau khi hoàn tất, đồng thời lưu giữ các điều kiện thử nghiệm và bản ghi thô.
Tài liệu tham khảo kỹ thuật: Tài liệu Cisco về cơ chế SPAN. Tài nguyên FCTEL liên quan: Bài viết kỹ thuật và tài liệu sản phẩm bộ chuyển mạch công nghiệp.
