不支持

SecPath 防火墙 MQC 流镜像：只能抓到收到包，抓不到防火墙本地发出报文

现象：ACL 已经匹配双向流量；接口qos apply policy xxx inbound、outbound都已经应用；转发类流量（穿越防火墙的业务报文）入方向可以镜像成功；防火墙 CPU 本地始发报文（防火墙自己 ping、syslog、trap、免费 ARP、VPN 协商报文等）出方向抓不到镜像报文H3C。

核心根因（Comware‑V7 NGFW 平台硬限制）

1. MQC 流镜像（qos‑policy）只对【硬件转发报文】生效；设备 CPU 自身生成的本地始发报文，不经过接口 outbound 方向 MQC QoS 处理流程，不会触发流镜像行为。

通俗区分：

• ✅穿越流量：终端→防火墙→外网，从接口收到、再从另一个接口转发出去，inbound/outbound MQC 都可以处理，可以镜像。
• ❌本地始发报文：防火墙 CPU 自己产生报文（ping、ARP、协议报文），直接从接口发出，不经过接口 outbound 的 MQC 流分类 / 流镜像，即使 outbound 挂了 qos‑policy、ACL 匹配，也不会被镜像复制H3C。

注意：不是配置漏写 outbound；写了也对 CPU 本地发出报文无效。

2. 容易混淆两个功能

• MQC 流镜像（traffic‑behavior mirror‑to interface）：只处理硬件转发流量；无法镜像 CPU 本地报文（你现在用的这套）。
• CPU 源镜像 mirroring‑group X mirroring‑cpu：专门镜像防火墙 CPU 产生的报文；需要额外配置镜像组 CPU 源。

区分你的流量属于哪一类

1. 抓不到的报文是防火墙设备自身发出（防火墙 ping 外网、IKE 协商、免费 ARP、syslog）→属于 CPU 本地报文，MQC 流镜像 outbound 不会复制。
2. 抓不到的报文是业务穿越转发流量（内网用户经过防火墙出去）→这是配置问题，不是平台限制。

两种解决方式

方案 1：同时配置【端口流镜像 + CPU 源镜像】（同时抓转发流量 + 防火墙本地 CPU 报文）

说明：mirroring‑cpu both镜像 CPU 收发报文；MQC 负责硬件转发业务报文；两者配合，才能同时拿到转发流量 + 防火墙本地发出报文。

方案 2：防火墙内置报文捕获 packet‑capture

专门抓取 CPU 本地报文，不占用物理观察口，适合调试设备自身协议报文。

局限：不适合高速业务硬件转发大流量，适合调试 CPU 协议报文。

排错核查命令

• 如果display qos policy interface的 outbound 分类器计数器为 0：本地 CPU 报文，根本不会命中 MQC；是平台限制，不是 ACL 问题。
• 如果 outbound 计数器有计数，但是抓包看不到报文：属于转发流量，排查 ACL、mirror‑to 出接口是否正确。

常见踩坑小结

1. ❌误区：接口同时挂 inbound+outbound 的 MQC 流镜像，就可以抓到防火墙自己发出的报文。不行！CPU 本地报文不走接口 outbound MQC 流程H3C。
2. ✅MQC 流镜像 = 只处理穿越硬件转发流量。
3. ✅要抓取防火墙 CPU 始发报文，必须额外配置 mirroring‑group X mirroring‑cpu both CPU 镜像源。
4. 穿越业务流量出方向抓不到，才去排查 ACL、qos‑policy 配置；设备自身产生报文抓不到，优先增加 CPU 镜像源。

简短总结：你现在 MQC 只能镜像转发流量；防火墙 CPU 本地发出报文不受接口 outbound qos‑policy 控制，需要配置mirroring‑cpu才能拿到这部分报文。

你遇到的这个问题，核心原因通常在于防火墙本机始发的流量，其匹配和处理路径与普通转发流量不同，导致你配置的QoS策略和ACL未能按预期生效。

 首要原因：缺少 enhancement 关键字

这是最直接的可能。在H3C防火墙的物理接口上应用QoS策略时，如果未添加 enhancement 参数，策略可能仅对转发流量生效，而不会处理本机始发的报文。

解决方案：在你应用QoS策略的接口下，确保命令中包含 enhancement：

官方抓包案例明确要求在物理接口下发QoS策略时添加此参数。

其次，排查ACL是否匹配了“本机地址”

本机发出的报文，其源IP地址是防火墙出接口的IP，而不是内网终端的IP。你的ACL如果只匹配了内网网段作为源，自然无法命中本机发出的包。

排查命令：

重点检查ACL的源地址是否包含了防火墙接口IP，以及QoS策略是否显示为 “Active” 而非 “Failed”。如果策略显示 Failed，说明接口硬件可能不支持该方向的流镜像。

 设备型号与版本的潜在限制

部分H3C高端防火墙（如M9000系列）对本机始发流量的统计和镜像存在硬件架构限制。有讨论指出，能否统计到本机发出的包“看设备的，部分高端设备有限制”。

如果你的设备是高端型号，且上述配置均正确但仍无效，可能是硬件或版本层面的限制。建议通过 display version 确认具体型号和版本，并查阅该版本的版本说明书中关于“流镜像”的限制章节。

🛠️ 补充方案：使用端口镜像替代流镜像

如果流镜像（QoS策略）始终无法捕获出向包，可以尝试改用本地端口镜像。端口镜像的 outbound 方向是针对接口物理发送的报文进行复制，通常能捕获到从该接口发出的所有流量，包括本机始发的包。

配置示例：

注意：目的端口不能开启STP，且只应专用于镜像分析。

 排查顺序建议

1. 检查 enhancement：确认QoS策略应用时是否带了该参数。

2. 检查ACL：确认ACL是否覆盖了防火墙接口IP作为源地址。

3. 检查策略状态：用 display qos policy interface 确认策略是否为 Active。

4. 尝试端口镜像：如果流镜像无效，换用端口镜像的 outbound 方向。

5. 确认设备限制：如为高端型号，查阅版本说明书确认是否有本机流量捕获限制。