区域

支持流量镜像的地域

亚太

华东1（杭州）、华东2（上海）、华东5 （南京-本地地域）、华北1（青岛）、华北2（北京）、华北3（张家口）、华北5（呼和浩特）、华北6（乌兰察布）、华南1（深圳）、华南2（河源）、华南3（广州）、西南1（成都）、中国香港、华东6（福州-本地地域）、日本（东京）、韩国（首尔）、新加坡、澳大利亚（悉尼）、马来西亚（吉隆坡）、印度尼西亚（雅加达）、泰国（曼谷）、菲律宾（马尼拉）

欧洲与美洲

德国（法兰克福）、英国（伦敦）、美国（硅谷）、美国（弗吉尼亚）

中东

沙特（利雅得）

区域

支持流量镜像的地域

亚太

华北2 金融云（邀测）、华东1 金融云、华东2 金融云

区域

支持流量镜像的地域

亚太

华北2 阿里政务云1

筛选条件：包含入方向规则和出方向规则，用来筛选在镜像会话中镜像的网络流量。

入方向流量：弹性网卡ENI接收的流量。

出方向流量：从弹性网卡ENI发出的流量。

镜像源：需要镜像网络流量的弹性网卡实例。

镜像目的：接收镜像的网络流量的弹性网卡实例或私网CLB实例。

镜像会话：通过指定的筛选条件，将网络流量从镜像源复制到镜像目标的过程。

您可以在筛选条件中创建入方向规则和出方向规则。创建镜像会话时关联筛选条件，镜像会话创建成功后开启镜像会话，所有符合筛选条件的网络流量都会被镜像。入方向规则和出方向规则采用五元组来收集满足条件的流量。五元组即源网段、源端口、目的网段、目的端口和协议类型五个量组成的集合。

例如，您在筛选条件中设置入方向规则为：源网段192.168.0.0/16、源端口10000、目的网段10.0.0.0/8、目的端口80和协议类型TCP。当网络流量流入ECS实例时，镜像会话将会镜像同时符合以下条件的网络流量：源网段为192.168.0.0/16、源端口为10000、使用TCP协议目的网段为10.0.0.0/8、目的端口为80。

镜像目的支持的类型：弹性网卡实例或者私网CLB实例。

在同账号同地域下，镜像源和镜像目的可以配置在同一个VPC内，也可以跨VPC配置。不支持跨地域或跨账号的场景。

镜像的网络流量被封装后，需要通过VPC路由表定义的路径转发到指定的流量镜像目标。请确保您的路由表配置正确，以便将流量镜像转发到指定的流量镜像目标。

跨VPC配置的流量镜像场景中，需要确保各个VPC之间的路由可达，即通过配置互通（如VPC对等连接、云企业网等）提前建立好跨VPC的通信通道，以确保网络流量能够成功从镜像源所在的VPC路由到镜像目的所在的VPC。

安全场景：网络入侵检测

通过自主研发或者第三方安全软件对流量做全面检查，确保能够捕获所有可能存在的安全漏洞和入侵威胁，以便更快速的检查和响应攻击。

审计场景：金融或政府

对于金融或安全性合规性比较高的业务场景，需要具备流量审计能力。通过流量镜像，您可以透明地将实例流量镜像到统一审计平台进行分析，以满足审计需求。

网络运维场景：网络问题定位

通过流量镜像来检查网络问题，运维人员可以直接查看传输的内容（例如：分析TCP的重传）来排查问题，而不依赖进入虚拟机内部抓取报文。

流量镜像总费用=实例费+流量处理费

实例费=开启镜像会话的弹性网卡实例个数（个）×镜像会话活跃时长（小时）×实例费单价（元/个/小时）

弹性网卡实例启用镜像会话后，每个启用了镜像会话的弹性网卡实例按小时付费，不足1小时按1小时计费。弹性网卡实例停用镜像会话后停止收费。

流量处理费=镜像流量总量（GB）×流量处理费单价（元/GB）

计费项的单价如下表所示：

计费项

单价

实例费

0.1（元/个/小时）

流量处理费

0.05（元/GB）

2025年03月31日前免收流量处理费。

例如，美国（硅谷）可用区B，一个VPC内的5个弹性网卡实例启用了镜像会话，镜像会话的活跃时间为30天，每天24小时，镜像流量总量为20 GB。详细费用计算如下：

实例费=5×30×24×0.1=360元

流量处理费=20×0.05=1元

流量镜像总费用=360+1=361元

欠费后如果在延停权益额度内，流量镜像功能不会受到停服影响。

阿里云提供延期免停权益，即当按量付费的资源发生欠费后，提供一定额度或时长继续使用云服务的权益，延停期间正常计费。具体使用说明和规则，请参见延期免停权益。

欠费后如果超出了延停权益额度，流量镜像功能停止工作，已开启的镜像会话自动关闭。

如果您在流量镜像功能停止24小时内充值并补足欠费后，服务会自动开启，您可以继续使用流量镜像服务，被停止的镜像会话会自动开启。

如果您在流量镜像功能停止24小时后未及时充值，镜像会话实例会被删除。在实例删除前一天会发送短信或邮件提醒，实例被删除后相关配置和数据将被删除，不可恢复。

欠费15天内，流量镜像功能仍可正常提供服务。

如果欠费达到15天仍未缴清账单，流量镜像功能将进入暂停服务状态。此种状态下，您不能对流量镜像功能进行任何操作，已开启的镜像会话停止工作状态。

如果进入暂停服务状态达到15天仍未缴清账单，镜像会话实例会被自动删除。在实例删除前一天会发送邮件提醒，实例被删除后相关配置和数据将被删除，不可恢复。

配额名称

描述

默认限制

提升配额

trafficmirror_quota_source_num_per_session

单个镜像会话支持加入的镜像源个数

10个

您可以通过以下任意方式自助提升配额：

前往配额管理页面提升配额。具体操作，请参见管理VPC配额。

前往配额中心自助提升配额。具体操作，请参见创建配额提升申请。

无

单账号单地域支持的最大镜像会话数

20000条

无法提升

单个镜像源支持创建的最大镜像会话数

3条

单账号支持加入的镜像目的个数

无限制

单个镜像目的支持的镜像源个数

镜像目的为私网传统型负载均衡CLB时，最多可以被200个镜像源使用。

镜像目的为弹性网卡时，如果弹性网卡绑定的是以下规格的ECS实例，则镜像目的绑定的ECS实例最多被100个镜像源使用。如果是其他规格，最多可以被10个镜像源使用。

ECS实例规格

ecs.ebmc7.32xlarge、ecs.ebmg7.32xlarge、ecs.ebmr7.32xlarge、ecs.ebmhfg7.48xlarge、ecs.ebmhfc7.48xlarge、ecs.ebmhfr7.48xlarge、ecs.ebmc7a.64xlarge、ecs.ebmg7a.64xlarge、ecs.ebmg7se.32xlarge、ecs.ebmg6a.64xlarge、ecs.ebmg6e.26xlarge、ecs.ebmc6a.64xlarge、ecs.ebmc6e.26xlarge、ecs.ebmr7a.64xlarge、ecs.ebmr6a.64xlarge、ecs.ebmr6e.26xlarge、ecs.c8i.48xlarge、ecs.g8i.48xlarge、ecs.c7nex.32xlarge、ecs.g7nex.32xlarge、

ecs.g7ne.24xlarge、ecs.c7.32xlarge、ecs.g7.32xlarge、ecs.r7.32xlarge、ecs.r6e.26xlarge、

ecs.g7t.32xlarge、ecs.g6t.26xlarge、ecs.g6e.26xlarge、ecs.c7t.32xlarge、ecs.c6t.26xlarge、ecs.c6e.26xlarge、ecs.g5ne.18xlarge、ecs.r7t.32xlarge

单个筛选条件支持的筛选规则数

10个

单个筛选条件支持关联的镜像会话数

2000条

不支持流量镜像的ECS实例规格

ecs.ga1、ecs.i1、ecs.xn4、ecs.i1-c5d1、ecs.t1、ecs.smt

无

账号与地域

可以在同账号、同地域的单VPC或跨VPC下创建镜像源和镜像目的。不支持跨地域或跨账号的场景。

镜像目的地址必须是镜像源路由可达的IP地址。

IP版本

目前，流量镜像不支持镜像IPv6的网络流量。

带宽

流量镜像会占用ECS实例的带宽，且不会作额外限速。

ECS实例带宽达到最大容量时，会丢弃流量镜像报文，保障优先转发业务流量。

镜像源和镜像目的

一个镜像源的报文只能被镜像一次，且只能发送给一个镜像目的。

一个弹性网卡实例不能既作为镜像源又作为镜像目的。

流量类型

流量镜像不采集网络ACL丢弃流量、安全组丢弃流量、流日志流量、ARP及DHCP流量。

安全规则

报文在从镜像源复制时不受安全组和网络ACL策略的限制，但报文在复制至镜像目的时会受安全组和网络ACL策略的限制。因此，需要在镜像目的所在的安全组和网络ACL中配置以下规则：

安全组规则：入方向允许镜像源弹性网卡的IP访问目的端口为4789的UDP协议报文。关于如何配置安全组规则，请参见创建安全组。

网络ACL规则：入方向允许来自镜像源弹性网卡的IP和所有源端口的UDP协议报文。关于如何配置网络ACL，请参见创建和管理网络ACL。

镜像报文长度与MTU

流量镜像的报文采用标准的VXLAN报文格式封装，更多有关VXLAN协议的信息，请参见RFC 7348。

镜像目的收到的被镜像的报文长度受限于链路最小MTU值和设置的镜像报文长度。

当被镜像的报文长度加上VXLAN头的长度（固定值50）大于链路的最小MTU值时，系统会对镜像报文进行截断。

在阿里云网络内，链路默认支持的MTU值为1500，但部分网络组件例如VPN网关等自身的MTU限制小于1500。详细信息，请参见网络最大传输单元MTU。

如果链路最小MTU值大于1500，例如8500，系统仍然会按照链路长度MTU值=1500进行截断。

当被镜像报文长度大于设置的镜像报文长度时，系统会对镜像报文进行截断。仅部分地域支持设置，详情请参见创建和管理流量镜像。

此外，当源ECS实例开启TSO或UFO功能时，分片业务报文的镜像行为可能会有所不同。如需镜像目的接收到所有分片业务报文的镜像报文，建议您关闭TSO和UFO功能（关闭后可能会对实例性能有影响）或使用7代及以上的ECS实例规格族。

单击查看分片业务报文的镜像行为示例

源ECS实例规格（自身MTU值=1500）

- 7代及以上

- 7代及以下且关闭TSO和UFO功能

7代及以下且开启TSO或UFO功能

镜像行为

先对完整业务报文分片，再分别对每个分片报文做镜像

先对完整业务报文做镜像，再对业务报文分片

业务报文大小

2000

链路最小MTU值

1500

1500

1500

1500

镜像报文长度

1400

1500

1400

1500

镜像目的接收到的镜像报文数量

2

2

1

1

镜像目的接收到的镜像报文大小

- 分片1：1450=1400（实际被镜像的业务报文长度）+50（VXLAN头的长度）

- 分片2：550=500（实际被镜像的业务报文长度）+50（VXLAN头的长度）

- 分片1：1500=1450（实际被镜像的业务报文长度）+50（VXLAN头的长度）

- 分片2：550=500（实际被镜像的业务报文长度）+50（VXLAN头的长度）

1450=1400（实际被镜像的业务报文长度）+50（VXLAN头的长度）

1500=1450（实际被镜像的业务报文长度）+50（VXLAN头的长度）

您可以根据实例规格族主体中的数字来判断实例规格是否为7代，例如ecs.g7se.xlarge。关于实例规格族的更多信息，请参见ECS选型最佳实践。

报文长度单位为字节。

具体操作，请参见创建和管理流量镜像。