Förstå SPAN, RSPAN och ERSPAN: Tekniker för nätverkstrafikövervakning

SPAN, RSPAN och ERSPANär tekniker som används i nätverk för att fånga och övervaka trafik för analys. Här är en kort översikt av var och en:

SPAN (Switched Port Analyzer)

Syfte: Används för att spegla trafik från specifika portar eller VLAN på en switch till en annan port för övervakning.

Användningsfall: Idealisk för lokal trafikanalys på en enda switch. Trafiken speglas till en utsedd port där en nätverksanalysator kan fånga den.

RSPAN (Remote SPAN)

Syfte: Utökar SPAN-kapaciteten över flera switchar i ett nätverk.

Användningsfall: Tillåter övervakning av trafik från en switch till en annan via en trunklänk. Användbar för scenarier där övervakningsenheten är placerad på en annan switch.

ERSPAN (Encapsulated Remote SPAN)

Syfte: Kombinerar RSPAN med GRE (Generic Routing Encapsulation) för att kapsla in den speglade trafiken.

Användningsfall: Möjliggör övervakning av trafik över routade nätverk. Detta är användbart i komplexa nätverksarkitekturer där trafik måste fångas över olika segment.

Switch port Analyzer (SPAN)är ett effektivt trafikövervakningssystem med hög prestanda. Den dirigerar eller speglar trafik från en källport eller VLAN till en destinationsport. Detta kallas ibland för sessionsövervakning. SPAN används för att felsöka anslutningsproblem och beräkna nätverksanvändning och prestanda, bland många andra. Det finns tre typer av SPAN som stöds på Cisco-produkter ...

a. SPAN eller lokal SPAN.

b. Remote SPAN (RSPAN).

c. Encapsulated remote SPAN (ERSPAN).

Att veta: "Mylinking™ Network Packet Broker med SPAN-, RSPAN- och ERSPAN-funktioner"

SPAN / trafikspegling / portspegling används för många ändamål, nedan inkluderar några.

- Implementering av IDS/IPS i promiskuöst läge.

- VOIP-samtalsinspelningslösningar.

- Säkerhetsefterlevnad skäl för att övervaka och analysera trafik.

- Felsökning av anslutningsproblem, övervakning av trafik.

Oavsett vilken SPAN-typ som körs, kan SPAN-källan vara vilken typ av port som helst, t.ex. en routad port, fysisk switchport, en accessport, trunk, VLAN (alla aktiva portar övervakas av switchen), en EtherChannel (antingen en port eller hela porten). -channel interfaces) etc. Observera att en port konfigurerad för SPAN-destination INTE KAN vara en del av ett SPAN-käll-VLAN.

SPAN-sessioner stöder övervakning av inkommande trafik (ingress SPAN), utgående trafik (egress SPAN) eller trafik som flyter i båda riktningarna.

- Ingress SPAN (RX) kopierar trafik som tas emot av källportarna och VLAN till destinationsporten. SPAN kopierar trafiken före någon modifiering (till exempel före något VACL- eller ACL-filter, QoS eller ingress- eller egress-polising).

- Egress SPAN (TX) kopierar trafik som sänds från källportarna och VLAN till destinationsporten. All relevant filtrering eller modifiering av VACL- eller ACL-filter, QoS eller ingress- eller egresspolisiåtgärder vidtas innan switchen vidarebefordrar trafik till SPAN-destinationsporten.

- När nyckelordet båda används, kopierar SPAN nätverkstrafiken som tas emot och sänds av källportarna och VLAN till destinationsporten.

- SPAN/RSPAN ignorerar vanligtvis CDP, STP BPDU, VTP, DTP och PAgP ramar. Dessa trafiktyper kan dock vidarebefordras om kommandot inkapslingsreplikering är konfigurerat.

SPAN eller Local SPAN

SPAN speglar trafik från ett eller flera gränssnitt på switchen till ett eller flera gränssnitt på samma switch; därför hänvisas SPAN oftast till som LOCAL SPAN.

Riktlinjer eller begränsningar för lokala SPAN:

- Både Layer 2 switchade portar och Layer 3 portar kan konfigureras som käll- eller destinationsportar.

– Källan kan vara antingen en eller flera portar eller ett VLAN, men inte en blandning av dessa.

- Trunkportar är giltiga källportar blandade med icke-trunkkällaportar.

- Upp till 64 SPAN-destinationsportar kan konfigureras på en switch.

- När vi konfigurerar en destinationsport skrivs dess ursprungliga konfiguration över. Om SPAN-konfigurationen tas bort, återställs den ursprungliga konfigurationen på den porten.

- När du konfigurerar en destinationsport tas porten bort från alla EtherChannel-paket om den var en del av en. Om det var en routad port, åsidosätter SPAN-destinationskonfigurationen den routade portkonfigurationen.

- Destinationsportar stöder inte portsäkerhet, 802.1x-autentisering eller privata VLAN.

- En port kan fungera som målport för endast en SPAN-session.

- En port kan inte konfigureras som en destinationsport om den är en källport för en span-session eller en del av käll-VLAN.

- Portkanalgränssnitt (EtherChannel) kan konfigureras som källportar men inte en destinationsport för SPAN.

- Trafikriktning är "båda" som standard för SPAN-källor.

- Destinationsportar deltar aldrig i en spanning-tree-instans. Kan inte stödja DTP, CDP etc. Local SPAN inkluderar BPDUs i den övervakade trafiken, så alla BPDUs som ses på destinationsporten kopieras från källporten. Anslut därför aldrig en switch till denna typ av SPAN eftersom det kan orsaka en nätverksslinga.

- När VLAN är konfigurerat som SPAN-källa (oftast kallad VSPAN) med både ingångs- och utgångsalternativ konfigurerade, vidarebefordra duplicerade paket från källporten endast om paketen växlas i samma VLAN. En kopia av paketet är från ingångstrafiken på ingångsporten, och den andra kopian av paketet är från utgående trafik på egressporten.

- VSPAN övervakar endast trafik som lämnar eller går in i Layer 2-portar i VLAN.

SPAN, RSPAN och ERSPAN är tekniker som används i nätverk för att fånga och övervaka trafik för analys. Här är en kort översikt av var och en:

SPAN (Switched Port Analyzer)

• Ändamål: Används för att spegla trafik från specifika portar eller VLAN på en switch till en annan port för övervakning.
• Användningsfall: Idealisk för lokal trafikanalys på en enda switch. Trafiken speglas till en utsedd port där en nätverksanalysator kan fånga den.

RSPAN (Remote SPAN)

• Ändamål: Utökar SPAN-kapaciteten över flera switchar i ett nätverk.
• Användningsfall: Tillåter övervakning av trafik från en switch till en annan via en trunklänk. Användbar för scenarier där övervakningsenheten är placerad på en annan switch.

ERSPAN (Encapsulated Remote SPAN)

• Ändamål: Kombinerar RSPAN med GRE (Generic Routing Encapsulation) för att kapsla in den speglade trafiken.
• Användningsfall: Möjliggör övervakning av trafik över routade nätverk. Detta är användbart i komplexa nätverksarkitekturer där trafik måste fångas över olika segment.