一键登录 更安全快捷
获取验证码
密码登录
验证码登录
登录
登录/注册
0
收藏
vSphere标准交换机端口组开启Promiscuous Mode（混杂模式）之后，该端口组下虚拟机出现网络速率下降、延迟增高、丢包现象。混杂模式会让物理网卡vmnic接收交换机端口上所有二层流量，网卡与ESXi内核需要处理大量无关数据包，CPU开销上涨造成网络性能衰减。混杂模式仅适合流量分析、抓包审计场景，对接交换机SPAN/Monitor镜像端口使用，普通业务端口组不建议开启混杂模式。
有VMware全系列产品官方资源和定制版资源需求的可以移步：
业务需要部署流量分析虚拟机，管理员直接在ESXi标准交换机业务端口组打开Promiscuous Mode混杂模式。开启之后，该端口组内所有虚拟机访问外网、跨虚拟机访问均出现网速变慢，大文件拷贝吞吐暴跌，虚拟机内部ping存在间歇性延迟抖动。交换机端口没有配置镜像，就是普通业务接入端口。关闭混杂模式后网络性能立刻恢复正常。 1.1 初期无效排查操作
调整虚拟机网卡队列；增大虚拟机网卡MTU；升级ESXi网卡驱动；排查交换机端口速率双工；更换物理网口，网络慢现象没有改善。
1.2 分层定位真实故障根因
ESXi物理vmnic网卡开启混杂模式后，网卡会接收交换机端口收到的全部广播、组播以及其他主机的单播流量，大量无关数据包上送到ESXi内核处理，消耗CPU与网卡中断资源。交换机普通业务口并未配置SPAN流量镜像，大量冗余流量涌入造成性能下降。 现场验证修复：关闭业务端口组混杂模式，单独新建独立端口组开启混杂模式，交换机配置SPAN镜像流量到该物理端口，流量分析虚拟机迁移至专用混杂端口组，业务虚拟机网络恢复正常。
1、Promiscuous Mode工作机制
默认状态下物理网卡只会接收目的MAC属于自己的数据包；开启混杂模式后，网卡接收端口上所有经过的二层帧，无论目标MAC地址。大量无关报文全部上交给ESXi hypervisor处理。
2、普通业务口直接开混杂模式的危害
如果交换机不是SPAN镜像端口，物理网口会收到本网段全部广播风暴、其他主机的单播流量。ESXi内核需要过滤丢弃大量不属于虚拟机的数据包，消耗CPU、网卡中断，直接表现为虚拟机网络变慢、抖动。
3、混杂模式正确使用场景
仅用于抓包、IDS入侵检测、流量审计虚拟机；需要交换机把需要分析的流量通过SPAN/Monitor镜像复制过来，物理端口只接收镜像流量，减少无关报文。
4、vSS与vDS差异
标准交换机vSS端口组开启混杂；分布式交换机vDS在端口策略开启混杂；二者性能影响机制一致，不改变硬件网卡行为。
5、安全风险
开启混杂模式虚拟机可以嗅探同一广播域其他主机流量，存在安全风险，生产业务端口禁止开启。
1、确认混杂模式开启位置
vSS：主机→网络→标准交换机对应端口组，查看安全策略Promiscuous Mode状态； vDS：网络→分布式交换机→端口组策略，检查混杂模式是否设置为接受。 业务虚拟机端口组应设置为拒绝。
2、确认交换机端口是否配置SPAN/Monitor镜像
登录接入交换机，确认该ESXi vmnic对应的物理端口是否配置镜像源。没有SPAN镜像，普通业务口不要开启混杂模式。
3、性能现象验证
临时关闭端口组混杂模式，测试虚拟机网络吞吐与延迟；关闭后性能恢复，确认是混杂模式带来的性能损耗。
4、正确部署流量审计虚拟机
新建独立端口组，仅这个审计端口组开启混杂模式；业务虚拟机全部放在普通端口组；交换机配置SPAN，将需要审计的流量镜像至该ESXi物理网口。
5、ESXi层面监控开销
观察esxtop‑n网络面板，查看vmnic的接收包速率、中断CPU占用；混杂模式开启后Rx数据包数量会明显上涨。
| 故障现象 | 根因分析 | 标准解决方案 |
|---|---|---|
| 端口组开启Promiscuous Mode混杂模式，虚拟机网络变慢，关闭后恢复正常 | vmnic接收交换机端口全部流量，大量无关报文消耗网卡中断与ESXi CPU资源 | 业务端口关闭混杂模式；审计抓包虚拟机使用独立端口组，交换机配置SPAN镜像端口 |
| 混杂模式已经打开，但抓包看不到其他主机流量 | 交换机普通端口默认隔离单播流量，没有配置SPAN镜像，混杂模式也嗅探不到跨主机流量 | 交换机配置SPAN/Monitor镜像，把目标流量复制发送到ESXi物理端口 |
| 分布式交换机vDS全局开启混杂，全部虚拟机网络受影响 | 端口组安全策略混杂模式设置为接受，作用于该端口下所有虚拟机 | 修改vDS端口组安全策略，Promiscuous Mode设置为拒绝，仅专用审计端口单独开启 |
| 混杂端口组下只有部分虚拟机网络卡顿，其余正常 | 受影响虚拟机网卡流量大，混杂模式额外报文抢占中断队列资源 | 流量审计虚拟机单独绑定独立vmnic物理网卡，不和业务虚拟机共用网卡 |
| 需要IDS抓包，但是交换机不支持SPAN镜像功能 | 接入交换机硬件不支持端口镜像，无法复制流量 | 改用虚拟机内部镜像、虚拟交换机端口镜像，不要直接在物理网卡开启混杂模式接收全网流量 |
1. 误区：只要打开混杂模式，虚拟机就可以直接抓取局域网全部主机流量纠正：现代交换机会隔离单播流量，没有SPAN镜像，混杂模式只能抓到广播组播，抓不到其他主机单播报文，还会带来性能下降。
2. 误区：业务虚拟机和IDS审计虚拟机放在同一个开启混杂的端口组纠正：业务虚拟机不要共享混杂端口组，混杂模式带来额外开销，会拖累业务网络。
3. 误区：混杂模式只影响开启的那一台虚拟机，不会影响同端口组其他VM纠正：端口组安全策略是端口组级别，开启后该端口组所有虚拟机对应的虚拟端口全部生效，全部会受到性能影响。
4. 误区：网卡性能很强万兆网卡，开启混杂模式不会有性能问题纠正：万兆网卡也会被大量无关报文消耗中断与CPU，只要交换机涌入大量流量，性能损耗依旧存在。
5. 误区：用完混杂模式忘记关闭，长期留在业务端口组纠正：混杂模式存在性能与安全风险，用完立即恢复为拒绝；生产业务端口组默认Promiscuous Mode=拒绝。
配置规范：生产业务端口组Promiscuous Mode统一设置为拒绝，禁止业务虚拟机端口开启混杂模式。
部署规范：流量审计、IDS抓包场景，单独创建专用审计端口组开启混杂；优先分配独立物理vmnic网卡，不和业务流量共用网卡。
交换机配合规范：使用混杂模式抓包，交换机必须配置SPAN/Monitor镜像，只镜像需要分析的流量，避免全量流量灌入ESXi网卡。
变更规范：开启混杂模式作为临时操作，任务完成立刻关闭；变更前后测试虚拟机网络吞吐，确认性能无异常。
巡检规范：定期巡检ESXi端口组安全策略，发现业务端口异常开启混杂模式及时整改。
