Zrozumienie SPAN, RSPAN i ERSPAN: Techniki monitorowania ruchu sieciowego

SPAN, RSPAN i ERSPAN to techniki stosowane w sieciach do przechwytywania i monitorowania ruchu w celu analizy. Oto krótki przegląd każdego z nich:

SPAN (analizator przełączanych portów)

Cel: Służy do odzwierciedlania ruchu z określonych portów lub sieci VLAN na przełączniku do innego portu w celu monitorowania.

Zastosowanie: Idealny do analizy ruchu lokalnego na jednym przełączniku. Ruch jest odzwierciedlany do wyznaczonego portu, gdzie analizator sieci może go przechwycić.

RSPAN (zdalny SPAN)

Cel: Rozszerza możliwości SPAN na wiele przełączników w sieci.

Przypadek użycia: Umożliwia monitorowanie ruchu z jednego przełącznika do drugiego za pośrednictwem łącza trunkingowego. Przydatne w scenariuszach, w których urządzenie monitorujące znajduje się na innym przełączniku.

ERSPAN (Enkapsulowany zdalny SPAN)

Cel: Łączy RSPAN z GRE (Generic Routing Encapsulation) w celu enkapsulacji ruchu lustrzanego.

Przypadek użycia: umożliwia monitorowanie ruchu w sieciach routowanych. Jest to przydatne w złożonych architekturach sieci, w których ruch musi być przechwytywany w różnych segmentach.

Switch Port Analyzer (SPAN) to wydajny i wydajny system monitorowania ruchu. Kieruje lub odzwierciedla ruch z portu źródłowego lub sieci VLAN do portu docelowego. Nazywa się to czasami monitorowaniem sesji. SPAN służy między innymi do rozwiązywania problemów z łącznością oraz obliczania wykorzystania i wydajności sieci. Istnieją trzy typy SPAN obsługiwane w produktach Cisco…

A. SPAN lub lokalny SPAN.

B. Zdalny SPAN (RSPAN).

C. Hermetyzowany zdalny SPAN (ERSPAN).

Aby wiedzieć: „Broker pakietów sieciowych Mylinking™ z funkcjami SPAN, RSPAN i ERSPAN"

SPAN / dublowanie ruchu / dublowanie portów jest używane do wielu celów, poniżej opisano niektóre.

- Implementacja IDS/IPS w trybie mieszanym.

- Rozwiązania do nagrywania rozmów VOIP.

- Powody zgodności z bezpieczeństwem w celu monitorowania i analizowania ruchu.

- Rozwiązywanie problemów z połączeniem, monitorowanie ruchu.

Niezależnie od uruchomionego typu SPAN, źródłem SPAN może być dowolny typ portu, tj. port routowany, port przełącznika fizycznego, port dostępowy, łącze trunkingowe, sieć VLAN (wszystkie aktywne porty są monitorowane przez przełącznik), kanał EtherChannel (port lub cały port -channel interfejsy) itp. Należy pamiętać, że port skonfigurowany dla miejsca docelowego SPAN NIE MOŻE być częścią źródłowej sieci VLAN SPAN.

Sesje SPAN obsługują monitorowanie ruchu przychodzącego (ingress SPAN), ruchu wychodzącego (egress SPAN) lub ruchu przepływającego w obu kierunkach.

- Ingress SPAN (RX) kopiuje ruch odebrany przez porty źródłowe i sieci VLAN do portu docelowego. SPAN kopiuje ruch przed jakąkolwiek modyfikacją (na przykład przed jakimkolwiek filtrem VACL lub ACL, QoS lub kontrolą ruchu przychodzącego lub wychodzącego).

- Egress SPAN (TX) kopiuje ruch przesyłany z portów źródłowych i sieci VLAN do portu docelowego. Wszystkie istotne filtrowania lub modyfikacje za pomocą filtra VACL lub ACL, QoS lub kontroli ruchu przychodzącego i wychodzącego są podejmowane przed przekierowaniem ruchu do portu docelowego SPAN przez przełącznik.

- Gdy użyte zostanie słowo kluczowe oba, SPAN kopiuje ruch sieciowy odebrany i przesłany przez porty źródłowe i sieci VLAN do portu docelowego.

- SPAN/RSPAN zwykle ignoruje ramki CDP, STP BPDU, VTP, DTP i PAgP. Jednakże te typy ruchu mogą być przekazywane dalej, jeśli skonfigurowano polecenie replikacji enkapsulacji.

SPAN lub Lokalny SPAN

SPAN odzwierciedla ruch z jednego lub większej liczby interfejsów na przełączniku do jednego lub większej liczby interfejsów na tym samym przełączniku; stąd SPAN jest najczęściej określany jako LOCAL SPAN.

Wytyczne lub ograniczenia dotyczące lokalnego SPAN:

- Zarówno porty przełączane warstwy 2, jak i porty warstwy 3 można skonfigurować jako porty źródłowe lub docelowe.

- Źródłem może być jeden lub więcej portów lub sieć VLAN, ale nie ich kombinacja.

- Porty trunk to prawidłowe porty źródłowe zmieszane z portami źródłowymi niebędącymi trunkami.

- Na przełączniku można skonfigurować do 64 portów docelowych SPAN.

- Kiedy konfigurujemy port docelowy, jego pierwotna konfiguracja zostaje nadpisana. Jeśli konfiguracja SPAN zostanie usunięta, przywrócona zostanie pierwotna konfiguracja na tym porcie.

- Podczas konfigurowania portu docelowego port jest usuwany z dowolnego pakietu EtherChannel, jeśli był jego częścią. Jeśli był to port routowany, konfiguracja docelowa SPAN zastępuje konfigurację portu routowanego.

— Porty docelowe nie obsługują zabezpieczeń portów, uwierzytelniania 802.1x ani prywatnych sieci VLAN.

- Port może działać jako port docelowy tylko dla jednej sesji SPAN.

- Portu nie można skonfigurować jako portu docelowego, jeśli jest portem źródłowym sesji rozpiętej lub częścią źródłowej sieci VLAN.

- Interfejsy kanałów portów (EtherChannel) można skonfigurować jako porty źródłowe, ale nie jako port docelowy dla SPAN.

- Kierunek ruchu domyślnie to „oba” dla źródeł SPAN.

- Porty docelowe nigdy nie uczestniczą w instancji drzewa opinającego. Nie obsługuje DTP, CDP itp. Lokalny SPAN uwzględnia jednostki BPDU w monitorowanym ruchu, więc wszelkie jednostki BPDU widoczne na porcie docelowym są kopiowane z portu źródłowego. Dlatego nigdy nie podłączaj przełącznika do tego typu SPAN, ponieważ może to spowodować pętlę sieci. Narzędzia AI poprawią efektywność pracy, aniewykrywalna sztuczna inteligencjausługa może poprawić jakość narzędzi AI.

- Gdy sieć VLAN jest skonfigurowana jako źródło SPAN (zwykle określana jako VSPAN) ze skonfigurowanymi opcjami zarówno wejścia, jak i wyjścia, przesyłaj zduplikowane pakiety z portu źródłowego tylko wtedy, gdy pakiety są przełączane w tej samej sieci VLAN. Jedna kopia pakietu pochodzi z ruchu przychodzącego na porcie wejściowym, a druga kopia pakietu pochodzi z ruchu wychodzącego na porcie wyjściowym.

- VSPAN monitoruje tylko ruch wychodzący lub przychodzący do portów warstwy 2 w sieci VLAN.