Zrozumienie SPAN, RSPAN i ERSPAN: techniki monitorowania ruchu sieciowego

SPAN, RSPAN i ERSPAN to techniki wykorzystywane w sieciach do rejestrowania i monitorowania ruchu w celu analizy. Oto krótki przegląd każdej z nich:

SPAN (Analizator portów przełączanych)

Cel: Służy do kopiowania ruchu z określonych portów lub sieci VLAN na przełączniku do innego portu w celu monitorowania.

Zastosowanie: Idealne do analizy ruchu lokalnego na jednym przełączniku. Ruch jest przesyłany do wyznaczonego portu, gdzie analizator sieci może go przechwycić.

RSPAN (zdalny SPAN)

Cel: Rozszerzenie możliwości SPAN na wiele przełączników w sieci.

Przypadek użycia: Umożliwia monitorowanie ruchu z jednego przełącznika do drugiego przez łącze trunkingowe. Przydatne w scenariuszach, w których urządzenie monitorujące znajduje się na innym przełączniku.

ERSPAN (Encapsulated Remote SPAN)

Cel: Łączy RSPAN z GRE (Generic Routing Encapsulation) w celu kapsułkowania ruchu lustrzanego.

Przypadek użycia: Umożliwia monitorowanie ruchu w sieciach routowanych. Jest to przydatne w złożonych architekturach sieciowych, w których ruch musi być rejestrowany w różnych segmentach.

Switch Port Analyzer (SPAN) to wydajny i wydajny system monitorowania ruchu. Kieruje on lub odzwierciedla ruch z portu źródłowego lub sieci VLAN do portu docelowego. Czasami nazywa się to monitorowaniem sesji. SPAN służy między innymi do rozwiązywania problemów z łącznością oraz obliczania wykorzystania i wydajności sieci. Produkty Cisco obsługują trzy typy SPAN-ów…

a. SPAN lub lokalny SPAN.

b. Zdalny SPAN (RSPAN).

c. Zdalny SPAN w kapsułce (ERSPAN).

Wiedzieć: "Broker pakietów sieciowych Mylinking™ z funkcjami SPAN, RSPAN i ERSPAN"

SPAN / dublowanie ruchu / dublowanie portów jest wykorzystywane do wielu celów. Poniżej wymieniono niektóre z nich.

- Implementacja IDS/IPS w trybie promiscuous.

- Rozwiązania w zakresie nagrywania rozmów VOIP.

- Powody zgodności z przepisami bezpieczeństwa w celu monitorowania i analizowania ruchu.

- Rozwiązywanie problemów z połączeniem, monitorowanie ruchu.

Niezależnie od uruchomionego typu SPAN, źródłem SPAN może być dowolny typ portu, np. port trasowany, port przełącznika fizycznego, port dostępowy, magistrala, sieć VLAN (wszystkie aktywne porty przełącznika są monitorowane), kanał EtherChannel (port lub całe interfejsy port-kanał) itd. Należy pamiętać, że port skonfigurowany dla docelowej sieci SPAN NIE MOŻE być częścią źródłowej sieci VLAN SPAN.

Sesje SPAN obsługują monitorowanie ruchu przychodzącego (SPAN wejściowy), ruchu wychodzącego (SPAN wyjściowy) lub ruchu płynącego w obu kierunkach.

- Ingress SPAN (RX) kopiuje ruch odbierany przez porty źródłowe i sieci VLAN do portu docelowego. SPAN kopiuje ruch przed jakąkolwiek modyfikacją (na przykład przed filtrem VACL lub ACL, QoS lub kontrolą ruchu przychodzącego lub wychodzącego).

- Egress SPAN (TX) kopiuje ruch przesyłany z portów źródłowych i sieci VLAN do portu docelowego. Wszystkie istotne filtry i modyfikacje za pomocą filtrów VACL lub ACL, QoS lub działań nadzoru ruchu przychodzącego lub wychodzącego są podejmowane przed przekazaniem ruchu przez przełącznik do portu docelowego SPAN.

- W przypadku użycia słowa kluczowego both, SPAN kopiuje ruch sieciowy odebrany i przesłany przez porty źródłowe i sieci VLAN do portu docelowego.

- SPAN/RSPAN zazwyczaj ignoruje ramki CDP, STP BPDU, VTP, DTP i PAgP. Jednak te typy ruchu mogą być przekazywane, jeśli skonfigurowane jest polecenie enkapsulacji replikacji.

SPAN lub lokalny SPAN

SPAN odzwierciedla ruch z jednego lub większej liczby interfejsów przełącznika do jednego lub większej liczby interfejsów tego samego przełącznika; stąd SPAN jest często nazywany LOCAL SPAN.

Wytyczne lub ograniczenia dotyczące lokalnego SPAN:

- Zarówno przełączane porty warstwy 2, jak i porty warstwy 3 można skonfigurować jako porty źródłowe lub docelowe.

- Źródłem może być jeden lub więcej portów lub sieć VLAN, ale nie ich kombinacja.

- Porty magistralne to prawidłowe porty źródłowe wymieszane z portami źródłowymi niebędącymi portami magistralnymi.

- Na przełączniku można skonfigurować maksymalnie 64 porty docelowe SPAN.

– Podczas konfiguracji portu docelowego jego oryginalna konfiguracja zostaje nadpisana. Jeśli konfiguracja SPAN zostanie usunięta, oryginalna konfiguracja na tym porcie zostanie przywrócona.

- Podczas konfigurowania portu docelowego, port jest usuwany z dowolnego pakietu EtherChannel, jeśli był jego częścią. Jeśli był to port routowany, konfiguracja docelowa SPAN zastępuje konfigurację portu routowanego.

- Porty docelowe nie obsługują zabezpieczeń portów, uwierzytelniania 802.1x ani prywatnych sieci VLAN.

- Port może pełnić rolę portu docelowego tylko dla jednej sesji SPAN.

- Portu nie można skonfigurować jako portu docelowego, jeśli jest portem źródłowym sesji rozpiętej lub częścią źródłowej sieci VLAN.

- Interfejsy kanałów portów (EtherChannel) można skonfigurować jako porty źródłowe, ale nie jako porty docelowe dla SPAN.

- Domyślnie dla źródeł SPAN kierunek ruchu to „oba”.

- Porty docelowe nigdy nie uczestniczą w instancji Spanning Tree. Nie obsługują DTP, CDP itp. Lokalny SPAN uwzględnia jednostki BPDU w monitorowanym ruchu, więc wszystkie jednostki BPDU widoczne na porcie docelowym są kopiowane z portu źródłowego. Dlatego nigdy nie podłączaj przełącznika do tego typu SPAN, ponieważ może to spowodować pętlę sieciową. Narzędzia AI poprawią wydajność pracy iniewykrywalna sztuczna inteligencjausługa może poprawić jakość narzędzi AI.

- Gdy sieć VLAN jest skonfigurowana jako źródło SPAN (najczęściej nazywana VSPAN) z skonfigurowanymi opcjami wejścia i wyjścia, zduplikowane pakiety są przekazywane z portu źródłowego tylko wtedy, gdy są one przełączane w tej samej sieci VLAN. Jedna kopia pakietu pochodzi z ruchu przychodzącego na porcie wejściowym, a druga z ruchu wychodzącego na porcie wyjściowym.

- VSPAN monitoruje wyłącznie ruch opuszczający lub przychodzący do portów warstwy 2 w sieci VLAN.