用 iptables 将网卡流量镜像到另一个主机

最新推荐文章于 2025-10-08 13:20:59 发布

原创最新推荐文章于 2025-10-08 13:20:59 发布 · 2.8k 阅读

CC 4.0 BY-SA版权

文章标签：

2 篇文章

订阅专栏

本文介绍了一种在VMware vCenter环境下使用iptables的tee功能实现网络流量镜像的方法，适用于无法构建独立虚拟交换机的情况。该方法通过复制报文并以网关方式发送给目标主机，便于进行网络数据包程序的测试。

最近在开发一个网络数据包的程序，平常测试的时候用tcpreplay 回放本地流量，或监听管理流量就可以，需要联调的时候就需要接入实时流量，一般是通过开启交换机的镜像口功能，将流量接入设备。

我的测试环境是vmware vcenter 环境，产生数据是另外一个主机，数据的产生依赖于vm network，没办法构建独立的虚拟交换机，经过研究发现 iptables 的 tee 功能具有报文镜像功能。

TEE target options:
--gateway IPADDR Route packet via the gateway given by address
--oif NAME Include oif in route calculation

原理是复制一份报文，以网关的方式发送给目标主机，即修改目的MAC为目标主机转发过去，所以在同一个子网内，交换机可以将报文传送过去。

命令如下：

iptables -t mangle -I PREROUTING 1   -j TEE --gateway 192.168.1.164
iptables -t mangle -I POSTROUTING 1  -j TEE --gateway 192.168.1.164

通过抓包发现两个方向的报文的二层MAC地址都是一样的。

如果需要增加IP 或端口过滤，和普通命令一样。我这里是数据库的业务，所以需要 PREROUTING 和 POSTROUTING 上分别增加规则，一条对本机收到报文，一条对发出的报文。

此方法可以解决需要镜像流量的问题，方便测试，从原理上看会影响一部分cpu和内存，不建议用到实际生产环境中。