5590交换机远程抓包

可以，H3C S5590 完全支持远程抓包（Packet Capture Remote），并且可以同时抓 ** 入向 + 出向（bidirection）** 流量，直接配合 Wireshark 实时看，不用镜像口。下面给你完整、可直接复制的配置与 Wireshark 连接方法（含双向抓包）。
一、前提（S5590 默认就支持）
版本：Comware V7 全系（S5590 都是 V7）
权限：network-admin
网络：交换机管理 IP 与 你的电脑（Wireshark）互通
关键：硬件转发流量要镜像到 CPU 才能抓到，下面有 QoS 配置
二、交换机配置（S5590，双向抓包 + 远程）
1）先把硬件流量镜像到 CPU（必须，否则抓不到硬件转发包）
bash
运行
# 1. 定义ACL（匹配所有流量）
acl number 4000
rule permit

# 2. 流分类
traffic classifier PCAP
if-match acl 4000

# 3. 流动作：镜像到CPU
traffic behavior PCAP
mirror-to cpu

# 4. 策略绑定
qos policy PCAP
classifier PCAP behavior PCAP

# 5. 接口下应用（你要抓包的接口，双向）
interface GigabitEthernet 1/0/1
qos apply policy PCAP inbound
qos apply policy PCAP outbound
2）开启远程抓包（双向）
bash
运行
# 用户视图下，远程抓包 + 双向（入+出）
<H3C> packet-capture remote interface GigabitEthernet 1/0/1 bidirection
默认端口：2002（RPCAP）
想改端口：packet-capture remote interface GigabitEthernet 1/0/1 bidirection port 2003
3）停止抓包
bash
运行
<H3C> packet-capture remote stop
三、Wireshark 连接（远程实时抓包）
打开 Wireshark → 捕获 → 选项 → 管理接口 → 远程
点 +：
主机：交换机管理 IP
端口：2002（或你改的端口）
类型：RPCAP
确定后，接口列表里出现 rpcap://x.x.x.x:2002/GigabitEthernet1/0/1
选中 → 开始捕获，直接看到双向流量
四、本地抓包备用（存成 pcap）
bash
运行
# 双向，存flash
<H3C> packet-capture local interface GigabitEthernet 1/0/1 bidirection write flash:/test.pcap
五、常见坑（S5590 必看）
❌ 不做 mirror-to cpu：只能抓到 CPU 收发的包，抓不到用户流量
❌ 不写 bidirection：默认只抓入方向
❌ 网络不通：Wireshark 连不上 RPCAP
❌ 版本太老：升级到 V7.1.070+ 最稳
一句话总结：S5590 可以远程双向抓包；先配 QoS mirror-to cpu，再用 packet-capture remote + bidirection，Wireshark 用 RPCAP 连管理 IP:2002 即可实时看。