Forstå SPAN, RSPAN og ERSPAN: Techniques for Network Traffic Monitoring

SPAN, RSPAN og ERSPANer teknikker som brukes i nettverk for å fange opp og overvåke trafikk for analyse. Her er en kort oversikt over hver:

SPAN (Switched Port Analyzer)

Formål: Brukes til å speile trafikk fra spesifikke porter eller VLAN på en switch til en annen port for overvåking.

Bruksområde: Ideell for lokal trafikkanalyse på en enkelt svitsj. Trafikk speiles til en utpekt port der en nettverksanalysator kan fange den.

RSPAN (Remote SPAN)

Formål: Utvider SPAN-funksjoner på tvers av flere svitsjer i et nettverk.

Use Case: Tillater overvåking av trafikk fra en svitsj til en annen over en trunklink. Nyttig for scenarier der overvåkingsenheten er plassert på en annen bryter.

ERSPAN (Encapsulated Remote SPAN)

Formål: Kombinerer RSPAN med GRE (Generic Routing Encapsulation) for å kapsle inn speilet trafikk.

Brukstilfelle: Gir mulighet for overvåking av trafikk på tvers av rutede nettverk. Dette er nyttig i komplekse nettverksarkitekturer der trafikk må fanges opp over forskjellige segmenter.

Switch port Analyzer (SPAN)er et effektivt trafikkovervåkingssystem med høy ytelse. Den dirigerer eller speiler trafikk fra en kildeport eller VLAN til en destinasjonsport. Dette blir noen ganger referert til som øktovervåking. SPAN brukes til å feilsøke tilkoblingsproblemer og beregne nettverksutnyttelse og ytelse, blant mange andre. Det er tre typer SPAN-er som støttes på Cisco-produkter ...

en. SPAN eller lokal SPAN.

b. Eksternt SPAN (RSPAN).

c. Innkapslet ekstern SPAN (ERSPAN).

Å vite: "Mylinking™ Network Packet Broker med SPAN-, RSPAN- og ERSPAN-funksjoner"

SPAN / trafikkspeiling / portspeiling brukes til mange formål, nedenfor inkluderer noen.

- Implementering av IDS/IPS i promiskuøs modus.

- VOIP samtaleopptaksløsninger.

- Årsaker til overholdelse av sikkerhet for å overvåke og analysere trafikk.

- Feilsøking av tilkoblingsproblemer, overvåking av trafikk.

Uansett hvilken SPAN-type som kjører, kan SPAN-kilden være en hvilken som helst type port, dvs. en rutet port, fysisk svitsjport, en tilgangsport, trunk, VLAN (alle aktive porter overvåkes av svitsjen), en EtherChannel (enten en port eller hele porten). -kanalgrensesnitt) osv. Merk at en port konfigurert for SPAN-destinasjon IKKE KAN være en del av et SPAN-kilde-VLAN.

SPAN-økter støtter overvåking av inngående trafikk (ingress SPAN), utgående trafikk (egress SPAN) eller trafikk som flyter i begge retninger.

- Ingress SPAN (RX) kopierer trafikk mottatt av kildeportene og VLAN-ene til destinasjonsporten. SPAN kopierer trafikken før enhver endring (for eksempel før et hvilket som helst VACL- eller ACL-filter, QoS eller ingress- eller egress-politi).

- Egress SPAN (TX) kopierer trafikk som sendes fra kildeportene og VLAN-ene til destinasjonsporten. All relevant filtrering eller modifikasjon av VACL- eller ACL-filter, QoS eller ingress- eller egress-politihandlinger utføres før svitsjen videresender trafikk til SPAN-destinasjonsporten.

- Når begge nøkkelordet brukes, kopierer SPAN nettverkstrafikken som mottas og overføres av kildeportene og VLANene til destinasjonsporten.

- SPAN/RSPAN ignorerer vanligvis CDP, STP BPDU, VTP, DTP og PAgP rammer. Disse trafikktypene kan imidlertid videresendes hvis innkapslingsreplikeringskommandoen er konfigurert.

SPAN eller Local SPAN

SPAN speiler trafikk fra ett eller flere grensesnitt på svitsjen til ett eller flere grensesnitt på samme svitsj; derfor blir SPAN for det meste referert til som LOCAL SPAN.

Retningslinjer eller begrensninger for lokale SPAN:

- Både Layer 2-svitsjede porter og Layer 3-porter kan konfigureres som kilde- eller målporter.

– Kilden kan enten være én eller flere porter eller et VLAN, men ikke en blanding av disse.

- Trunk-porter er gyldige kildeporter blandet med ikke-trunk-kildeporter.

- Opptil 64 SPAN-destinasjonsporter kan konfigureres på en svitsj.

- Når vi konfigurerer en destinasjonsport, blir dens opprinnelige konfigurasjon overskrevet. Hvis SPAN-konfigurasjonen fjernes, gjenopprettes den opprinnelige konfigurasjonen på den porten.

- Når du konfigurerer en destinasjonsport, fjernes porten fra enhver EtherChannel-pakke hvis den var en del av en. Hvis det var en rutet port, overstyrer SPAN-destinasjonskonfigurasjonen den rutede portkonfigurasjonen.

- Destinasjonsporter støtter ikke portsikkerhet, 802.1x-autentisering eller private VLAN.

- En port kan fungere som målport for kun én SPAN-økt.

- En port kan ikke konfigureres som en destinasjonsport hvis den er en kildeport for en span-økt eller en del av kilde-VLAN.

- Portkanalgrensesnitt (EtherChannel) kan konfigureres som kildeporter, men ikke en destinasjonsport for SPAN.

- Trafikkretning er "begge" som standard for SPAN-kilder.

- Destinasjonsporter deltar aldri i en spanning-tree-forekomst. Kan ikke støtte DTP, CDP osv. Local SPAN inkluderer BPDUer i den overvåkede trafikken, så alle BPDUer som sees på målporten kopieres fra kildeporten. Koble derfor aldri en svitsj til denne typen SPAN, da det kan forårsake en nettverkssløyfe.

- Når VLAN er konfigurert som SPAN-kilde (for det meste referert til som VSPAN) med både inn- og utgangsalternativer konfigurert, videresend dupliserte pakker fra kildeporten bare hvis pakkene blir byttet i samme VLAN. En kopi av pakken er fra inngående trafikk på inngangsporten, og den andre kopien av pakken er fra utgangstrafikken på utgangsporten.

- VSPAN overvåker kun trafikk som forlater eller går inn i Layer 2-porter i VLAN.

SPAN, RSPAN og ERSPAN er teknikker som brukes i nettverk for å fange opp og overvåke trafikk for analyse. Her er en kort oversikt over hver:

SPAN (Switched Port Analyzer)

• Hensikt: Brukes til å speile trafikk fra spesifikke porter eller VLAN på en svitsj til en annen port for overvåking.
• Bruk Case: Ideell for lokal trafikkanalyse på en enkelt bryter. Trafikk speiles til en utpekt port der en nettverksanalysator kan fange den.

RSPAN (Remote SPAN)

• Hensikt: Utvider SPAN-funksjoner over flere svitsjer i et nettverk.
• Bruk Case: Tillater overvåking av trafikk fra en svitsj til en annen over en trunklink. Nyttig for scenarier der overvåkingsenheten er plassert på en annen bryter.

ERSPAN (Encapsulated Remote SPAN)

• Hensikt: Kombinerer RSPAN med GRE (Generic Routing Encapsulation) for å kapsle inn speilet trafikk.
• Bruk Case: Gir mulighet for overvåking av trafikk på tvers av rutede nettverk. Dette er nyttig i komplekse nettverksarkitekturer der trafikk må fanges opp over forskjellige segmenter.