Förstå SPAN, RSPAN och ERSPAN: Tekniker för nätverkstrafikövervakning

SPAN, RSPAN och ERSPAN är tekniker som används i nätverk för att fånga och övervaka trafik för analys. Här är en kort översikt över var och en:

SPAN (Switched Port Analyzer)

Syfte: Används för att spegla trafik från specifika portar eller VLAN på en switch till en annan port för övervakning.

Användningsfall: Idealisk för lokal trafikanalys på en enda switch. Trafiken speglas till en angiven port där en nätverksanalysator kan fånga den.

RSPAN (fjärrstyrd SPAN)

Syfte: Utökar SPAN-funktioner över flera switchar i ett nätverk.

Användningsfall: Möjliggör övervakning av trafik från en switch till en annan via en trunk-länk. Användbart för scenarier där övervakningsenheten finns på en annan switch.

ERSPAN (Inkapslad fjärrstyrd SPAN)

Syfte: Kombinerar RSPAN med GRE (Generic Routing Encapsulation) för att inkapsla den speglade trafiken.

Användningsfall: Möjliggör övervakning av trafik över routade nätverk. Detta är användbart i komplexa nätverksarkitekturer där trafik behöver samlas in över olika segment.

Switch Port Analyzer (SPAN) är ett effektivt och högpresterande trafikövervakningssystem. Det dirigerar eller speglar trafik från en källport eller ett VLAN till en destinationsport. Detta kallas ibland för sessionsövervakning. SPAN används för att felsöka anslutningsproblem och beräkna nätverksanvändning och prestanda, bland annat. Det finns tre typer av SPAN som stöds på Cisco-produkter …

a. SPAN eller lokal SPAN.

b. Fjärrstyrt SPAN (RSPAN).

c. Inkapslad fjärrstyrd SPAN (ERSPAN).

Att veta: "Mylinking™ nätverkspaketmäklare med SPAN-, RSPAN- och ERSPAN-funktioner"

SPAN / trafikspegling / portspegling används för många ändamål, nedan följer några.

- Implementering av IDS/IPS i promiskuöst läge.

- Lösningar för inspelning av VoIP-samtal.

- Skäl för säkerhetsefterlevnad för att övervaka och analysera trafik.

- Felsökning av anslutningsproblem, övervakning av trafik.

Oavsett vilken SPAN-typ som körs kan SPAN-källan vara vilken typ av port som helst, dvs. en routad port, fysisk switchport, en accessport, trunk, VLAN (alla aktiva portar övervakas av switchen), en EtherChannel (antingen en port eller hela port-kanal-gränssnitt) etc. Observera att en port konfigurerad för SPAN-destination INTE KAN vara en del av ett SPAN-käll-VLAN.

SPAN-sessioner stöder övervakning av ingående trafik (ingående SPAN), utgående trafik (egress SPAN) eller trafik som flyter i båda riktningarna.

- Ingress SPAN (RX) kopierar trafik som tas emot av källportarna och VLAN:erna till destinationsporten. SPAN kopierar trafiken före eventuella ändringar (till exempel före VACL- eller ACL-filter, QoS eller ingress- eller egress-polisering).

- Egress SPAN (TX) kopierar trafik som överförs från källportarna och VLAN till destinationsporten. All relevant filtrering eller modifiering via VACL- eller ACL-filter, QoS eller ingress- eller egress-övervakningsåtgärder vidtas innan switchen vidarebefordrar trafik till SPAN-destinationsporten.

- När nyckelordet both används kopierar SPAN nätverkstrafiken som tas emot och överförs av källportarna och VLAN:erna till destinationsporten.

- SPAN/RSPAN ignorerar vanligtvis CDP-, STP-, BPDU-, VTP-, DTP- och PAgP-ramar. Dessa trafiktyper kan dock vidarebefordras om kommandot encapsulation replicate är konfigurerat.

SPAN eller lokalt SPAN

SPAN speglar trafik från ett eller flera gränssnitt på switchen till ett eller flera gränssnitt på samma switch; därför kallas SPAN oftast för LOCAL SPAN.

Riktlinjer eller begränsningar för lokalt SPAN:

- Både Layer 2-switchade portar och Layer 3-portar kan konfigureras som käll- eller destinationsportar.

- Källan kan vara antingen en eller flera portar eller ett VLAN, men inte en blandning av dessa.

- Trunkportar är giltiga källportar blandade med icke-trunkkällportar.

- Upp till 64 SPAN-destinationsportar kan konfigureras på en switch.

- När vi konfigurerar en destinationsport skrivs dess ursprungliga konfiguration över. Om SPAN-konfigurationen tas bort återställs den ursprungliga konfigurationen på den porten.

- När en destinationsport konfigureras tas porten bort från alla EtherChannel-paket om det var en del av ett sådant. Om det var en routad port åsidosätter SPAN-destinationskonfigurationen den routade portkonfigurationen.

- Destinationsportar stöder inte portsäkerhet, 802.1x-autentisering eller privata VLAN.

- En port kan endast fungera som destinationsport för en SPAN-session.

- En port kan inte konfigureras som en destinationsport om den är en källport för en span-session eller en del av ett käll-VLAN.

- Portkanalgränssnitt (EtherChannel) kan konfigureras som källportar men inte som destinationsport för SPAN.

- Trafikriktningen är "båda" som standard för SPAN-källor.

- Destinationsportar deltar aldrig i en spanning-tree-instans. Kan inte stödja DTP, CDP etc. Lokalt SPAN inkluderar BPDU:er i den övervakade trafiken, så alla BPDU:er som ses på destinationsporten kopieras från källporten. Anslut därför aldrig en switch till den här typen av SPAN eftersom det kan orsaka en nätverksloop. AI-verktyg kommer att förbättra arbetseffektiviteten, ochoupptäckbar AItjänsten kan förbättra kvaliteten på AI-verktyg.

- När VLAN är konfigurerat som SPAN-källa (oftast kallat VSPAN) med både ingångs- och utgångsalternativ konfigurerade, vidarebefordra duplicerade paket från källporten endast om paketen växlas i samma VLAN. En kopia av paketet kommer från ingångstrafiken på ingångsporten och den andra kopian av paketet kommer från utgångstrafiken på utgångsporten.

- VSPAN övervakar endast trafik som lämnar eller går in i Layer 2-portar i VLAN:et.