Forståelse af SPAN, RSPAN og ERSPAN: Teknikker til netværkstrafikovervågning

SPAN, RSPAN og ERSPANer teknikker, der bruges i netværk til at fange og overvåge trafik til analyse. Her er en kort oversigt over hver:

SPAN (Switched Port Analyzer)

Formål: Bruges til at spejle trafik fra specifikke porte eller VLAN'er på en switch til en anden port til overvågning.

Use Case: Ideel til lokal trafikanalyse på en enkelt switch. Trafikken spejles til en udpeget port, hvor en netværksanalysator kan fange den.

RSPAN (Remote SPAN)

Formål: Udvider SPAN-kapaciteter på tværs af flere switche i et netværk.

Use Case: Tillader overvågning af trafik fra en switch til en anden via en trunklink. Nyttigt til scenarier, hvor overvågningsenheden er placeret på en anden switch.

ERSPAN (Encapsulated Remote SPAN)

Formål: Kombinerer RSPAN med GRE (Generic Routing Encapsulation) for at indkapsle den spejlede trafik.

Use Case: Giver mulighed for overvågning af trafik på tværs af rutede netværk. Dette er nyttigt i komplekse netværksarkitekturer, hvor trafik skal fanges over forskellige segmenter.

Switch port Analyzer (SPAN)er et effektivt, højtydende trafikovervågningssystem. Den dirigerer eller spejler trafik fra en kildeport eller VLAN til en destinationsport. Dette kaldes nogle gange som sessionsovervågning. SPAN bruges blandt mange andre til fejlfinding af forbindelsesproblemer og beregning af netværksudnyttelse og ydeevne. Der er tre typer SPAN'er, der understøttes på Cisco-produkter ...

en. SPAN eller lokal SPAN.

b. Remote SPAN (RSPAN).

c. Indkapslet remote SPAN (ERSPAN).

At vide: "Mylinking™ Network Packet Broker med SPAN-, RSPAN- og ERSPAN-funktioner"

SPAN / trafikspejling / portspejling bruges til mange formål, herunder inkluderer nogle.

- Implementering af IDS/IPS i promiskuøs tilstand.

- VOIP-opkaldsoptagelsesløsninger.

- Sikkerhedsoverholdelsesårsager til at overvåge og analysere trafik.

- Fejlfinding af forbindelsesproblemer, overvågning af trafik.

Uanset hvilken SPAN-type der kører, kan SPAN-kilde være enhver type port, dvs. en routet port, fysisk switchport, en adgangsport, trunk, VLAN (alle aktive porte overvåges af switchen), en EtherChannel (enten en port eller hele porten) -kanalgrænseflader) osv. Bemærk, at en port konfigureret til SPAN-destination IKKE KAN være en del af et SPAN-kilde-VLAN.

SPAN-sessioner understøtter overvågning af indgående trafik (indgående SPAN), udgående trafik (egress SPAN) eller trafik, der flyder i begge retninger.

- Ingress SPAN (RX) kopierer trafik modtaget af kildeportene og VLAN'er til destinationsporten. SPAN kopierer trafikken før enhver ændring (for eksempel før ethvert VACL- eller ACL-filter, QoS eller ingress- eller egress-politi).

- Egress SPAN (TX) kopierer trafik transmitteret fra kildeportene og VLAN'erne til destinationsporten. Al relevant filtrering eller ændring af VACL- eller ACL-filter, QoS eller ingress- eller egress-politihandlinger udføres, før switchen videresender trafik til SPAN-destinationsporten.

- Når begge nøgleordet bruges, kopierer SPAN netværkstrafikken modtaget og transmitteret af kildeportene og VLAN'erne til destinationsporten.

- SPAN/RSPAN ignorerer normalt CDP, STP BPDU, VTP, DTP og PAgP frames. Disse trafiktyper kan dog videresendes, hvis kommandoen encapsulation replicate er konfigureret.

SPAN eller Local SPAN

SPAN spejler trafik fra en eller flere grænseflader på switchen til en eller flere grænseflader på den samme switch; derfor omtales SPAN for det meste som LOCAL SPAN.

Retningslinjer eller begrænsninger for lokale SPAN:

- Både Layer 2 switchede porte og Layer 3 porte kan konfigureres som kilde- eller destinationsporte.

- Kilden kan enten være en eller flere porte eller et VLAN, men ikke en blanding af disse.

- Trunk-porte er gyldige kildeporte blandet med ikke-trunk-kildeporte.

- Op til 64 SPAN destinationsporte kan konfigureres på en switch.

- Når vi konfigurerer en destinationsport, overskrives dens oprindelige konfiguration. Hvis SPAN-konfigurationen fjernes, gendannes den oprindelige konfiguration på den port.

- Når du konfigurerer en destinationsport, fjernes porten fra enhver EtherChannel-pakke, hvis den var en del af en. Hvis det var en routet port, tilsidesætter SPAN-destinationskonfigurationen den routede portkonfiguration.

- Destinationsporte understøtter ikke portsikkerhed, 802.1x-godkendelse eller private VLAN'er.

- En port kan kun fungere som destinationsport for én SPAN-session.

- En port kan ikke konfigureres som en destinationsport, hvis den er en kildeport til en span-session eller en del af kilde-VLAN.

- Portkanalgrænseflader (EtherChannel) kan konfigureres som kildeporte, men ikke en destinationsport for SPAN.

- Trafikretning er "begge" som standard for SPAN-kilder.

- Destinationsporte deltager aldrig i en spanning-tree-instans. Kan ikke understøtte DTP, CDP osv. Local SPAN inkluderer BPDU'er i den overvågede trafik, så alle BPDU'er, der ses på destinationsporten, kopieres fra kildeporten. Tilslut derfor aldrig en switch til denne type SPAN, da det kan forårsage en netværksløkke.

- Når VLAN er konfigureret som SPAN-kilde (for det meste omtalt som VSPAN) med både indgangs- og udgangsindstillinger konfigureret, skal du kun videresende duplikerede pakker fra kildeporten, hvis pakkerne skiftes i det samme VLAN. En kopi af pakken er fra indgangstrafikken på indgangsporten, og den anden kopi af pakken er fra udgangstrafikken på udgangsporten.

- VSPAN overvåger kun trafik, der forlader eller kommer ind i Layer 2-porte i VLAN.

SPAN, RSPAN og ERSPAN er teknikker, der bruges i netværk til at fange og overvåge trafik til analyse. Her er en kort oversigt over hver:

SPAN (Switched Port Analyzer)

• Formål: Bruges til at spejle trafik fra specifikke porte eller VLAN'er på en switch til en anden port til overvågning.
• Use Case: Ideel til lokal trafikanalyse på en enkelt switch. Trafikken spejles til en udpeget port, hvor en netværksanalysator kan fange den.

RSPAN (Remote SPAN)

• Formål: Udvider SPAN-kapaciteter på tværs af flere switche i et netværk.
• Use Case: Tillader overvågning af trafik fra en switch til en anden via en trunklink. Nyttigt til scenarier, hvor overvågningsenheden er placeret på en anden switch.

ERSPAN (Encapsulated Remote SPAN)

• Formål: Kombinerer RSPAN med GRE (Generic Routing Encapsulation) for at indkapsle den spejlede trafik.
• Use Case: Giver mulighed for overvågning af trafik på tværs af rutede netværk. Dette er nyttigt i komplekse netværksarkitekturer, hvor trafik skal fanges over forskellige segmenter.