流量镜像概述
VPC流量镜像功能可以镜像经过弹性网卡ENI（Elastic Network Interface）且符合筛选条件的报文。通过流量镜像功能，您可以复制VPC中ECS实例的网络流量，然后将复制后的网络流量转发给指定的弹性网卡或私网传统型负载均衡CLB（Classic Load Balancer）实例，用于内容检查、威胁监控和问题排查等场景。
支持流量镜像的地域
公有云支持的地域
区域 | 支持流量镜像的地域 |
亚太 | 华东1（杭州）、华东2（上海）、华东5（南京-本地地域）、华北1（青岛）、华北2（北京）、华北3（张家口）、华北5（呼和浩特）、华南1（深圳）、华南2（河源）、华南3（广州）、西南1（成都）、中国香港、日本（东京）、韩国（首尔）、新加坡、澳大利亚（悉尼）、马来西亚（吉隆坡）、印度尼西亚（雅加达）、泰国（曼谷） |
欧洲与美洲 | 德国（法兰克福）、美国（硅谷）、美国（弗吉尼亚）、英国（伦敦） |
金融云支持的地域
区域 | 支持流量镜像的地域 |
亚太 | 华北2（北京） |
流量镜像概念介绍
筛选条件：包含入方向规则和出方向规则，用来筛选在镜像会话中镜像的网络流量。
入方向流量：弹性网卡ENI接收的流量。
出方向流量：从弹性网卡ENI发出的流量。
镜像源：需要镜像网络流量的弹性网卡实例。
镜像目的：接收镜像的网络流量的弹性网卡实例或私网CLB实例。
镜像会话：通过指定的筛选条件，将网络流量从镜像源复制到镜像目的的过程。
筛选条件说明
您可以在筛选条件中创建入方向规则和出方向规则。创建镜像会话时关联筛选条件，镜像会话创建成功后开启镜像会话，所有符合筛选条件的网络流量都会被镜像。入方向规则和出方向规则采用五元组来采集满足条件的流量。五元组即源网段、源端口、目的网段、目的端口和协议类型五个量组成的集合。
例如，您在筛选条件中设置入方向规则为：源网段192.168.0.0/16、源端口10000、目的网段10.0.0.0/8、目的端口80和协议类型TCP。当网络流量流入ECS实例时，镜像会话将会镜像同时符合以下条件的网络流量：源网段为192.168.0.0/16、源端口为10000、使用TCP协议目的网段为10.0.0.0/8、目的端口为80。
应用场景
安全场景：网络入侵检测
通过自主研发或者第三方安全软件对流量做全面检查，确保能够捕获所有可能存在的安全漏洞和入侵威胁，以便更快速的检查和响应攻击。
审计场景：金融或政府
对于金融或安全性合规性比较高的业务场景，需要具备流量审计能力。通过流量镜像，您可以透明地将实例流量镜像到统一审计平台进行分析，以满足审计需求。
网络运维场景：网络问题定位
通过流量镜像来检查网络问题，运维人员可以直接查看传输的内容（例如：分析TCP的重传）来排查问题，而不依赖进入虚拟机内部抓取报文。
功能计费
计费说明
流量镜像总费用=实例费+流量处理费
实例费=开启镜像会话的弹性网卡实例个数（个）×镜像会话活跃时长（小时）×实例费单价（元/个/小时）
弹性网卡实例启用镜像会话后，每个启用了镜像会话的弹性网卡实例按小时付费，不足1小时按1小时计费。弹性网卡实例停用镜像会话后停止收费。
流量处理费=镜像流量总量（GB）×流量处理费单价（元/GB）
计费项的单价如下表所示：
计费项 | 单价 |
实例费 | 0.1（元/个/小时） |
流量处理费 | 0.05（元/GB） |
2024年03月30日前免收流量处理费。
例如，美国（硅谷）可用区B，一个VPC内的5个弹性网卡实例启用了镜像会话，镜像会话的活跃时间为30天，每天24小时，镜像流量总量为20 GB。详细费用计算如下：
实例费=5×30×24×0.1=360元
流量处理费=20×0.05=1元
流量镜像总费用=360+1=361元
欠费说明
欠费后如果在延停权益额度内，流量镜像功能不会受到停服影响。
说明 阿里云提供延停权益，即当按量付费的资源发生欠费后，提供一定额度或时长继续使用云服务的权益。延停期间正常计费。延停的权益额度不是欠费总额的上限。您延停的额度或时长根据您在阿里云的历史消费等因素，每个月自动计算并更新。更多信息，请参见延期免停权益。欠费后如果超出了延停权益额度，流量镜像功能停止工作，已开启的镜像会话自动关闭。
如果您在流量镜像功能停止24小时内充值并补足欠费后，服务会自动开启，您可以继续使用流量镜像服务，被停止的镜像会话会自动开启。
如果您在流量镜像功能停止24小时后未及时充值，镜像会话实例会被删除。在实例删除前一天会发送短信或邮件提醒，实例被删除后相关配置和数据将被删除，不可恢复。
欠费15天内，流量镜像功能仍可正常提供服务。
如果欠费达到15天仍未缴清账单，流量镜像功能将进入暂停服务状态。此种状态下，您不能对流量镜像功能进行任何操作，已开启的镜像会话停止工作状态。
如果进入暂停服务状态达到15天仍未缴清账单，镜像会话实例会被自动删除。在实例删除前一天会发送邮件提醒，实例被删除后相关配置和数据将被删除，不可恢复。
流量镜像的限制
配额限制
资源 | 默认限制 | 提升配额 |
单个镜像会话支持加入的镜像源个数 | 10个 | |
单账号单地域支持的最大镜像会话数 | 20000条 | 无法提升 |
单个镜像源支持创建的最大镜像会话数 | 3条 | |
单账号支持加入的镜像目的个数 | 无限制 | |
单个镜像目的支持的镜像源个数 |
| |
单个筛选条件支持的筛选规则数 | 10个 | |
单个筛选条件支持关联的镜像会话数 | 2000条 |
使用限制
可以在同账号、同地域的单VPC或跨VPC下创建镜像源和镜像目的。不支持跨地域或跨账号的场景。
流量镜像的报文采用标准的VXLAN报文格式封装，更多有关VXLAN协议的信息，请参见RFC 7348。当被镜像的报文长度加上VXLAN报文长度大于镜像源实例的MTU值时，系统会对报文进行截断。为了防止报文被截断，建议您在IPv4场景下，设置弹性网卡的MTU值比链路支持的MTU值至少小50字节。
您不需要额外向流量镜像提供带宽，流量镜像会占用实例的带宽，且不做额外限速。
一个镜像源的报文只能被镜像一次，且只能发给一个镜像目的。
报文在从镜像源复制时不受安全组和网络ACL策略的限制，但报文在复制至镜像目的时会受安全组和网络ACL策略的限制，因此，需要在镜像目的所在安全组和网络ACL配置以下规则：
一个弹性网卡实例不能既作为镜像源又作为镜像目的。
流量镜像不采集网络ACL丢弃流量、安全组丢弃流量、流日志流量、ARP及DHCP流量。
目前，流量镜像不支持镜像IPv6的网络流量。
目前，仅以下ECS实例规格族支持流量镜像功能：r5、hfg6、c6、c6a、g5ne、g6se、c5、g6、g6a、hfr6、r6、r6a、g5、g5ne、hfc5、hfg5、hfc6、g7ne、g7a、g7、g7t、g6t、g6e、c7a、c7、c7t、c6t、c6e、r7a、r7、r7t、r6e、hfc7、hfg7、hfr7、gn7i、ebmc6a、ebmc6e、ebmg6a、ebmg6e、bmr6a、ebmr6e、ebmhfg7、ebmhfc7、ebmhfr7g7、gn6v、gn6i、ebmg5s。关于ECS实例规格族的更多信息，请参见实例规格族。
使用流程
具体操作，请参见创建和管理流量镜像。