Forståelse av SPAN, RSPAN og ERSPAN: Teknikker for nettverkstrafikkovervåking

SPAN, RSPAN og ERSPAN er teknikker som brukes i nettverk for å fange opp og overvåke trafikk for analyse. Her er en kort oversikt over hver av dem:

SPAN (Switched Port Analyzer)

Formål: Brukes til å speile trafikk fra bestemte porter eller VLAN-er på en svitsj til en annen port for overvåking.

Brukstilfelle: Ideelt for lokal trafikkanalyse på én svitsj. Trafikken speiles til en angitt port der en nettverksanalysator kan fange den opp.

RSPAN (Ekstern SPAN)

Formål: Utvider SPAN-funksjonaliteten på tvers av flere svitsjer i et nettverk.

Brukstilfelle: Tillater overvåking av trafikk fra én svitsj til en annen over en trunk-kobling. Nyttig i scenarioer der overvåkingsenheten er plassert på en annen svitsj.

ERSPAN (innkapslet fjerntliggende SPAN)

Formål: Kombinerer RSPAN med GRE (Generic Routing Encapsulation) for å innkapsle den speilede trafikken.

Brukstilfelle: Muliggjør overvåking av trafikk på tvers av rutede nettverk. Dette er nyttig i komplekse nettverksarkitekturer der trafikk må fanges opp over forskjellige segmenter.

Switch Port Analyzer (SPAN) er et effektivt og høytytende trafikkovervåkingssystem. Det dirigerer eller speiler trafikk fra en kildeport eller VLAN til en destinasjonsport. Dette kalles noen ganger øktovervåking. SPAN brukes til å feilsøke tilkoblingsproblemer og beregne nettverksutnyttelse og ytelse, blant annet. Det støttes tre typer SPAN-er på Cisco-produkter …

a. SPAN eller lokal SPAN.

b. Fjernstyrt SPAN (RSPAN).

c. Innkapslet fjerntliggende SPAN (ERSPAN).

Å vite: "Mylinking™ nettverkspakkemegler med SPAN-, RSPAN- og ERSPAN-funksjoner"

SPAN / trafikkspeiling / portspeiling brukes til mange formål, nedenfor inkluderer noen.

- Implementering av IDS/IPS i promiskuøs modus.

- Løsninger for opptak av VoIP-samtaler.

- Årsaker til sikkerhetssamsvar for å overvåke og analysere trafikk.

- Feilsøking av tilkoblingsproblemer, trafikkovervåking.

Uansett hvilken SPAN-type som kjører, kan SPAN-kilden være en hvilken som helst porttype, dvs. en rutet port, en fysisk svitsjport, en tilgangsport, trunk, VLAN (alle aktive porter overvåkes av svitsjen), en EtherChannel (enten en port eller hele port-kanal-grensesnitt) osv. Merk at en port konfigurert for SPAN-destinasjon IKKE KAN være en del av et SPAN-kilde-VLAN.

SPAN-økter støtter overvåking av innkommende trafikk (ingress SPAN), utgående trafikk (egress SPAN) eller trafikk som flyter i begge retninger.

- Ingress SPAN (RX) kopierer trafikk mottatt av kildeportene og VLAN-ene til destinasjonsporten. SPAN kopierer trafikken før eventuelle endringer (for eksempel før VACL- eller ACL-filter, QoS eller ingress- eller egress-politiering).

- Egress SPAN (TX) kopierer trafikk som sendes fra kildeportene og VLAN-ene til destinasjonsporten. All relevant filtrering eller modifikasjon av VACL- eller ACL-filter, QoS eller handlinger for å kontrollere inn- eller utgående data utføres før svitsjen videresender trafikk til SPAN-destinasjonsporten.

- Når nøkkelordet «both» brukes, kopierer SPAN nettverkstrafikken som mottas og sendes av kildeportene og VLAN-ene til destinasjonsporten.

– SPAN/RSPAN ignorerer vanligvis CDP-, STP-, BPDU-, VTP-, DTP- og PAgP-rammer. Disse trafikktypene kan imidlertid videresendes hvis kommandoen for encapsulation replicate er konfigurert.

SPAN eller lokal SPAN

SPAN speiler trafikk fra ett eller flere grensesnitt på svitsjen til ett eller flere grensesnitt på samme svitsj; derfor blir SPAN oftest referert til som LOCAL SPAN.

Retningslinjer eller restriksjoner for lokalt SPAN:

- Både Layer 2-svitsjede porter og Layer 3-porter kan konfigureres som kilde- eller destinasjonsporter.

– Kilden kan være enten én eller flere porter eller et VLAN, men ikke en blanding av disse.

- Trunk-porter er gyldige kildeporter blandet med ikke-trunk-kildeporter.

– Opptil 64 SPAN-destinasjonsporter kan konfigureres på en svitsj.

– Når vi konfigurerer en destinasjonsport, overskrives den opprinnelige konfigurasjonen. Hvis SPAN-konfigurasjonen fjernes, gjenopprettes den opprinnelige konfigurasjonen på den porten.

– Når en destinasjonsport konfigureres, fjernes porten fra enhver EtherChannel-pakke hvis den var en del av en. Hvis det var en rutet port, overstyrer SPAN-destinasjonskonfigurasjonen konfigurasjonen for den rutede porten.

– Destinasjonsporter støtter ikke portsikkerhet, 802.1x-autentisering eller private VLAN-er.

- En port kan bare fungere som destinasjonsport for én SPAN-økt.

– En port kan ikke konfigureres som en destinasjonsport hvis den er en kildeport for en span-økt eller en del av et kilde-VLAN.

- Portkanalgrensesnitt (EtherChannel) kan konfigureres som kildeporter, men ikke en destinasjonsport for SPAN.

– Trafikkretningen er «begge» som standard for SPAN-kilder.

– Destinasjonsporter deltar aldri i en spanning-tree-instans. Kan ikke støtte DTP, CDP osv. Lokalt SPAN inkluderer BPDU-er i den overvåkede trafikken, så eventuelle BPDU-er som sees på destinasjonsporten kopieres fra kildeporten. Koble derfor aldri en svitsj til denne typen SPAN, da det kan forårsake en nettverksløkke. AI-verktøy vil forbedre arbeidseffektiviteten, oguoppdagbar AITjenesten kan forbedre kvaliteten på AI-verktøy.

– Når VLAN er konfigurert som SPAN-kilde (oftest referert til som VSPAN) med både inngående og utgående alternativer konfigurert, videresend dupliserte pakker fra kildeporten bare hvis pakkene byttes i samme VLAN. Én kopi av pakken er fra inngående trafikk på inngående port, og den andre kopien av pakken er fra utgående trafikk på utgående port.

- VSPAN overvåker bare trafikk som forlater eller går inn i lag 2-porter i VLAN-et.