在公司或学校的局域网里，经常能看到网络管理员盯着一台交换机，查看某个端口的数据流量。你可能好奇，他们是怎么知道哪台电脑在传文件、哪个端口正在被异常占用？其实背后靠的就是交换机端口监控技术。
端口镜像：监控的基础手段
最常见的监控方式是端口镜像（Port Mirroring），也叫SPAN（Switched Port Analyzer）。它的作用是把某个指定端口的进出数据复制一份，发到另一个监控端口。比如，你想查3号端口有没有人偷偷传大文件，就把这个端口的流量镜像到连接抓包工具的6号端口。
配置时一般进入交换机命令行界面，写类似这样的命令：
monitor session 1 source interface gigabitethernet0/3
monitor session 1 destination interface gigabitethernet0/6这样一来，所有经过3号口的数据都会原样出现在6号口连的电脑上，用Wireshark这类工具就能逐条分析。
流量统计与阈值告警
除了镜像抓包，很多交换机还内置流量统计功能。它会实时记录每个端口的上传下载量、错误包数量、广播包比例等指标。管理员可以设一个阈值，比如单个端口每秒流量超过50MB就触发告警。
这种机制适合发现异常行为。比如平时办公室每人平均用5MB带宽，突然某台机器飙到80MB，系统就会弹出提示，很可能是中了挖矿病毒或者在跑P2P下载。
MAC地址表与连接追踪
交换机会自动维护一张MAC地址表，记录每个端口下连的是什么设备。通过查看这张表，能快速定位“谁接在哪个口”。如果发现某个端口频繁更换MAC地址，可能意味着有人私接路由器或交换机，这在企业网络中通常是违规操作。
结合日志时间戳，还能回溯设备接入的时间点。比如安保部门问“昨天下午三点是谁插的笔记本”，翻一下MAC表变更记录就能缩小范围。
RMON远程监控协议
高端一点的交换机会支持RMON（Remote Network Monitoring），它能在不启用端口镜像的情况下，主动上报各类网络事件。比如冲突包增多、CRC校验错误、长时间高负载等，都可以通过SNMP协议发送给网管系统。
好处是不用额外拉线做镜像，缺点是部分低端设备不支持，且配置稍复杂。
实际应用场景举例
某次公司视频会议卡顿，IT人员登录交换机，发现会议室那台AP对应的端口丢包严重。进一步检查发现该端口双工模式被误设为半双工，改成全双工后问题立刻解决。这就是通过端口监控快速定位物理层问题的典型例子。
再比如校园网里有人用NAS全天候上传资源，管理员通过流量排行发现某个宿舍端口长期处于上传峰值，调取镜像数据分析确认后进行限速处理。