Forståelse af SPAN, RSPAN og ERSPAN: Teknikker til overvågning af netværkstrafik

SPAN, RSPAN og ERSPAN er teknikker, der bruges i netværk til at registrere og overvåge trafik med henblik på analyse. Her er en kort oversigt over hver enkelt:

SPAN (Switched Port Analyzer)

Formål: Bruges til at spejle trafik fra bestemte porte eller VLAN'er på en switch til en anden port med henblik på overvågning.

Anvendelsesscenarie: Ideel til lokal trafikanalyse på en enkelt switch. Trafikken spejles til en udpeget port, hvor en netværksanalysator kan opfange den.

RSPAN (Fjern SPAN)

Formål: Udvider SPAN-funktioner på tværs af flere switche i et netværk.

Brugsscenarie: Muliggør overvågning af trafik fra én switch til en anden via et trunk-link. Nyttig i scenarier, hvor overvågningsenheden er placeret på en anden switch.

ERSPAN (Indkapslet fjerntliggende SPAN)

Formål: Kombinerer RSPAN med GRE (Generic Routing Encapsulation) for at indkapsle den spejlede trafik.

Brugsscenarie: Muliggør overvågning af trafik på tværs af rutede netværk. Dette er nyttigt i komplekse netværksarkitekturer, hvor trafik skal registreres på tværs af forskellige segmenter.

Switch Port Analyzer (SPAN) er et effektivt og højtydende trafikovervågningssystem. Det dirigerer eller spejler trafik fra en kildeport eller et VLAN til en destinationsport. Dette kaldes undertiden sessionsovervågning. SPAN bruges til fejlfinding af forbindelsesproblemer og beregning af netværksudnyttelse og -ydeevne, blandt mange andre. Der understøttes tre typer SPAN'er på Cisco-produkter ...

a. SPAN eller lokal SPAN.

b. Fjern SPAN (RSPAN).

c. Indkapslet fjerntliggende SPAN (ERSPAN).

At vide: "Mylinking™ Network Packet Broker med SPAN-, RSPAN- og ERSPAN-funktioner"

SPAN / trafikspejling / portspejling bruges til mange formål, herunder er nogle.

- Implementering af IDS/IPS i promiskuøs tilstand.

- Løsninger til optagelse af VoIP-opkald.

- Grunde til at overvåge og analysere trafik inden for sikkerhedsoverholdelse

- Fejlfinding af forbindelsesproblemer, overvågning af trafik.

Uanset hvilken SPAN-type der kører, kan SPAN-kilden være enhver type port, dvs. en routet port, en fysisk switchport, en adgangsport, en trunk, et VLAN (alle aktive porte overvåges af switchen), en EtherChannel (enten en port eller hele port-kanal-grænseflader) osv. Bemærk, at en port konfigureret til SPAN-destination IKKE KAN være en del af et SPAN-kilde-VLAN.

SPAN-sessioner understøtter overvågning af indgående trafik (ingress SPAN), udgående trafik (egress SPAN) eller trafik, der flyder i begge retninger.

- Ingress SPAN (RX) kopierer trafik modtaget af kildeportene og VLAN'erne til destinationsporten. SPAN kopierer trafikken før enhver ændring (for eksempel før VACL- eller ACL-filter, QoS eller ingress- eller egress-politiering).

- Egress SPAN (TX) kopierer trafik, der transmitteres fra kildeportene og VLAN'erne, til destinationsporten. Al relevant filtrering eller ændring via VACL- eller ACL-filter, QoS eller handlinger til overvågning af indgående eller udgående data udføres, før switchen videresender trafik til SPAN-destinationsporten.

- Når nøgleordet "both" bruges, kopierer SPAN den netværkstrafik, der modtages og transmitteres af kildeportene og VLAN'erne, til destinationsporten.

- SPAN/RSPAN ignorerer normalt CDP-, STP-, BPDU-, VTP-, DTP- og PAgP-rammer. Disse trafiktyper kan dog videresendes, hvis kommandoen "encapsulation replicate" er konfigureret.

SPAN eller lokal SPAN

SPAN spejler trafik fra en eller flere grænseflader på switchen til en eller flere grænseflader på den samme switch; derfor omtales SPAN oftest som LOCAL SPAN.

Retningslinjer eller begrænsninger for lokal SPAN:

- Både Layer 2-switchede porte og Layer 3-porte kan konfigureres som kilde- eller destinationsporte.

- Kilden kan være enten en eller flere porte eller et VLAN, men ikke en blanding af disse.

- Trunk-porte er gyldige kildeporte blandet med ikke-trunk-kildeporte.

- Op til 64 SPAN-destinationsporte kan konfigureres på en switch.

- Når vi konfigurerer en destinationsport, overskrives dens oprindelige konfiguration. Hvis SPAN-konfigurationen fjernes, gendannes den oprindelige konfiguration på den port.

- Når en destinationsport konfigureres, fjernes porten fra enhver EtherChannel-bundt, hvis den var en del af en. Hvis det var en routed port, tilsidesætter SPAN-destinationskonfigurationen den routed port-konfiguration.

- Destinationsporte understøtter ikke portsikkerhed, 802.1x-godkendelse eller private VLAN'er.

- En port kan kun fungere som destinationsport for én SPAN-session.

- En port kan ikke konfigureres som en destinationsport, hvis den er en kildeport for en span-session eller en del af et kilde-VLAN.

- Portkanalgrænseflader (EtherChannel) kan konfigureres som kildeporte, men ikke som destinationsporte for SPAN.

- Trafikretningen er som standard "begge" for SPAN-kilder.

- Destinationsporte deltager aldrig i en spanning-tree-instans. Kan ikke understøtte DTP, CDP osv. Lokal SPAN inkluderer BPDU'er i den overvågede trafik, så alle BPDU'er, der ses på destinationsporten, kopieres fra kildeporten. Tilslut derfor aldrig en switch til denne type SPAN, da det kan forårsage en netværksløkke. AI-værktøjer vil forbedre arbejdseffektiviteten, oguopdagelig AITjenesten kan forbedre kvaliteten af ​​AI-værktøjer.

- Når VLAN er konfigureret som SPAN-kilde (oftest omtalt som VSPAN) med både indgående og udgående indstillinger konfigureret, videresend kun duplikerede pakker fra kildeporten, hvis pakkerne byttes om i det samme VLAN. Én kopi af pakken er fra indgående trafik på indgående port, og den anden kopi af pakken er fra udgående trafik på udgående port.

- VSPAN overvåger kun trafik, der forlader eller går ind i Layer 2-porte i VLAN'et.