硬件网络分流器优于端口镜像的原因

部署NIDS需要在网络链路中串联一个网络分流器来拦截并复制流量，实践中常见的争论是用交换机自带的反射端口（端口镜像）还是专用硬件分流器——答案倾向于硬件分流器，因为反射端口本质上只是交换机上的一个普通网络端口，流量一大就很容易被压垮，而硬件分流器是专门为处理高流量场景设计的。另一个容易被忽视的细节是，分流器本身是串联在网络链路里的物理设备，它自身的可用性和故障模式直接影响整条链路，因此必须选择具备”应急开放”（fail open）特性的分流器——一旦分流器本身故障，它应该退化成一根普通的网络耦合器让流量继续通过，而不是直接切断链路,不能因为一个用于旁路监控的设备故障，反而把生产流量本身也带崩了。