Hyper-V 端口镜像：把虚拟机流量送到抓包机

端口镜像把源虚拟网卡流量复制到目标抓包VM，便于IDS和故障分析。

一、先明确目标

在 Hyper-V 管理器（Hyper-V Manager）里修改前，记录虚拟机名称、当前状态、宿主机、配置版本、磁盘与交换机路径。生产环境先确认备份和维护窗口，初学练习尽量使用不承载业务的测试虚拟机。

二、操作步骤

准备隔离分析VM；业务网卡设Mirroring Source；分析网卡设Destination；启动Wireshark或pktmon抓包。

PowerShell 盘点或示例命令：

Set-VMNetworkAdapter -VMName "App" -PortMirroring Source

命令中的名称和路径必须换成自己的环境。先运行查询命令，涉及修改时先在测试机执行，不能把示例中的盘符和网络直接照搬。

三、验证方法

生成已知DNS/HTTP测试流量，确认分析机可见但不会主动转发。

同时检查“事件查看器（Event Viewer）→ 应用程序和服务日志（Applications and Services Logs）→ Microsoft → Windows → Hyper-V”相关通道。只看到命令成功，不代表来宾系统和业务已经恢复。

四、风险与回退

镜像可能包含账号和业务数据，限制访问和保存期限；高流量会增加宿主开销。

每次只改变一个变量，保存原配置和执行时间。出现异常时先停止扩大变更，按记录恢复原值；磁盘链、检查点和配置文件不得在资源管理器中凭猜测删除。

五、完成标准

管理器状态、PowerShell结果、来宾系统和实际业务四层都通过验证，并把最终配置、测试结果和回退方法写入运维记录，才算完成。

本文为中文原创入门教程，技术基线参考 Microsoft Learn：Hyper-V virtualization。不同 Windows 版本的选项和支持范围可能变化，实施前请核对对应版本官方文档。