SPAN, RSPAN a ERSPAN jsou techniky používané v sítích k zachycení a monitorování provozu za účelem analýzy. Zde je stručný přehled každé z nich:
SPAN (analyzátor přepínaných portů)
Účel: Používá se k zrcadlení provozu z konkrétních portů nebo VLAN na přepínači na jiný port za účelem monitorování.
Případ použití: Ideální pro lokální analýzu provozu na jednom přepínači. Provoz je zrcadlen na určený port, kde jej může zachytit síťový analyzátor.
RSPAN (Vzdálený SPAN)
Účel: Rozšiřuje možnosti SPAN napříč více přepínači v síti.
Případ použití: Umožňuje monitorování provozu z jednoho přepínače do druhého přes kmenovou linku. Užitečné pro scénáře, kdy je monitorovací zařízení umístěno na jiném přepínači.
ERSPAN (Zapouzdřený vzdálený SPAN)
Účel: Kombinuje RSPAN s GRE (Generic Routing Encapsulation) pro zapouzdření zrcadleného provozu.
Případ použití: Umožňuje monitorování provozu napříč směrovanými sítěmi. To je užitečné ve složitých síťových architekturách, kde je třeba zachytit provoz v různých segmentech.
Analyzátor portů přepínače (SPAN) je efektivní a vysoce výkonný systém pro monitorování provozu. Směruje nebo zrcadlí provoz ze zdrojového portu nebo VLAN do cílového portu. Tomu se někdy říká monitorování relace. SPAN se používá mimo jiné k řešení problémů s připojením, výpočtu využití a výkonu sítě. Produkty Cisco podporují tři typy sítí SPAN…
a. SPAN nebo lokální SPAN.
b. Vzdálený SPAN (RSPAN).
c. Zapouzdřený vzdálený SPAN (ERSPAN).
Abychom věděli: "Mylinking™ Network Packet Broker s funkcemi SPAN, RSPAN a ERSPAN"
SPAN / zrcadlení provozu / zrcadlení portů se používá k mnoha účelům, níže uvádíme některé.
- Implementace IDS/IPS v promiskuitním režimu.
- Řešení pro nahrávání VoIP hovorů.
- Důvody dodržování bezpečnostních předpisů pro monitorování a analýzu provozu.
- Řešení problémů s připojením, monitorování provozu.
Bez ohledu na spuštěný typ SPAN může být zdrojem SPAN jakýkoli typ portu, tj. směrovaný port, port fyzického přepínače, přístupový port, trunk, VLAN (všechny aktivní porty jsou monitorovány přepínačem), EtherChannel (buď port, nebo celá rozhraní port-kanál) atd. Upozorňujeme, že port nakonfigurovaný pro cíl SPAN NEMŮŽE být součástí zdrojové VLAN SPAN.
Relace SPAN podporují monitorování příchozího provozu (ingress SPAN), odchozího provozu (egress SPAN) nebo provozu proudícího v obou směrech.
- Vstupní SPAN (RX) kopíruje provoz přijatý zdrojovými porty a VLAN na cílový port. SPAN kopíruje provoz před jakoukoli úpravou (například před jakýmkoli filtrem VACL nebo ACL, QoS nebo před vstupním či výstupním dohledem).
- Výstupní SPAN (TX) kopíruje provoz přenášený ze zdrojových portů a VLAN do cílového portu. Veškeré relevantní filtrování nebo úpravy pomocí filtrů VACL nebo ACL, QoS nebo akcí týkajících se vstupní a výstupní kontroly jsou provedeny předtím, než přepínač přesměruje provoz do cílového portu SPAN.
- Pokud je použito klíčové slovo both, SPAN kopíruje síťový provoz přijatý a přenášený zdrojovými porty a VLAN na cílový port.
- SPAN/RSPAN obvykle ignoruje rámce CDP, STP BPDU, VTP, DTP a PAgP. Tyto typy provozu však lze přeposílat, pokud je nakonfigurován příkaz pro replikaci zapouzdření.
SPAN nebo lokální SPAN
SPAN zrcadlí provoz z jednoho nebo více rozhraní na přepínači na jedno nebo více rozhraní na stejném přepínači; proto se SPAN většinou označuje jako LOCAL SPAN.
Pokyny nebo omezení pro místní SPAN:
- Přepínané porty vrstvy 2 i porty vrstvy 3 lze konfigurovat jako zdrojové nebo cílové porty.
- Zdrojem může být jeden nebo více portů nebo VLAN, ale ne jejich kombinace.
- Porty kmenových linek jsou platné zdrojové porty smíchané se zdrojovými porty mimo kmenové linky.
- Na přepínači lze nakonfigurovat až 64 cílových portů SPAN.
- Při konfiguraci cílového portu se jeho původní konfigurace přepíše. Pokud se konfigurace SPAN odstraní, obnoví se původní konfigurace na daném portu.
- Při konfiguraci cílového portu je port odebrán z jakéhokoli svazku EtherChannel, pokud byl jeho součástí. Pokud by se jednalo o směrovaný port, konfigurace cíle SPAN přepíše konfiguraci směrovaného portu.
- Cílové porty nepodporují zabezpečení portů, ověřování 802.1x ani privátní VLAN.
- Port může sloužit jako cílový port pouze pro jednu relaci SPAN.
- Port nelze nakonfigurovat jako cílový port, pokud je zdrojovým portem relace span nebo součástí zdrojové VLAN.
- Rozhraní portových kanálů (EtherChannel) lze konfigurovat jako zdrojové porty, ale nikoli jako cílové porty pro SPAN.
- Směr provozu je pro zdroje SPAN ve výchozím nastavení „oba“.
- Cílové porty se nikdy neúčastní instance spanning-tree. Nelze podporovat DTP, CDP atd. Lokální SPAN zahrnuje BPDU v monitorovaném provozu, takže všechny BPDU viděné na cílovém portu jsou kopírovány ze zdrojového portu. Proto nikdy nepřipojujte přepínač k tomuto typu SPAN, protože by to mohlo způsobit síťovou smyčku. Nástroje umělé inteligence zlepší efektivitu práce anezjistitelná umělá inteligenceSlužba může zlepšit kvalitu nástrojů umělé inteligence.
- Pokud je VLAN nakonfigurována jako zdroj SPAN (většinou označovaná jako VSPAN) s nakonfigurovanými možnostmi vstupu i výstupu, přeposílejte duplicitní pakety ze zdrojového portu pouze v případě, že jsou pakety přepnuty ve stejné VLAN. Jedna kopie paketu pochází z vstupního provozu na vstupním portu a druhá kopie paketu pochází z výstupního provozu na výstupním portu.
- VSPAN monitoruje pouze provoz, který opouští nebo vstupuje na porty vrstvy 2 ve VLAN.
Vzdálený SPAN (RSPAN)
Vzdálený SPAN (RSPAN) je podobný protokolu SPAN, ale podporuje zdrojové porty, zdrojové VLAN a cílové porty na různých přepínačích, což umožňuje vzdálené monitorování provozu ze zdrojových portů distribuovaných přes více přepínačů a umožňuje centralizovat zařízení pro zachycení sítě v cílových stanicích. Každá relace RSPAN přenáší provoz SPAN přes uživatelem specifikovanou vyhrazenou síť RSPAN VLAN ve všech zúčastněných přepínačích. Tato VLAN je poté propojena s dalšími přepínači, což umožňuje přenos provozu relace RSPAN přes více přepínačů a jeho doručení do cílové stanice pro zachycení. RSPAN se skládá ze zdrojové relace RSPAN, sítě RSPAN VLAN a cílové relace RSPAN.
Pokyny nebo omezení pro RSPAN:
- Pro cíl SPAN musí být nakonfigurována specifická VLAN, která bude procházet přes mezilehlé přepínače přes kmenové linky směrem k cílovému portu.
- Může vytvořit stejný typ zdroje – alespoň jeden port nebo alespoň jednu VLAN, ale nemůže být kombinací.
- Cílem relace je RSPAN VLAN, nikoli jeden port v přepínači, takže zrcadlený provoz budou přijímat všechny porty v RSPAN VLAN.
- Nakonfigurujte libovolnou VLAN jako RSPAN VLAN, pokud všechna zúčastněná síťová zařízení podporují konfiguraci RSPAN VLAN, a použijte stejnou RSPAN VLAN pro každou relaci RSPAN
- VTP může šířit konfiguraci VLAN s čísly 1 až 1024 jako RSPAN VLAN, VLAN s čísly vyššími než 1024 je nutné ručně nakonfigurovat jako RSPAN VLAN na všech zdrojových, zprostředkujících a cílových síťových zařízeních.
- Učení MAC adres je v síti RSPAN VLAN zakázáno.
Zapouzdřený vzdálený SPAN (ERSPAN)
Zapouzdřený vzdálený SPAN (ERSPAN) přináší generické zapouzdření směrování (GRE) pro veškerý zachycený provoz a umožňuje jeho rozšíření napříč doménami vrstvy 3.
ERSPAN jeProprietární systém Ciscofunkce a je v současnosti k dispozici pouze pro platformy Catalyst 6500, 7600, Nexus a ASR 1000. ASR 1000 podporuje zdroj ERSPAN (monitorování) pouze na rozhraních Fast Ethernet, Gigabit Ethernet a port-channel.
Pokyny nebo omezení pro ERSPAN:
- Zdrojové relace ERSPAN nekopírují provoz zapouzdřený protokolem ERSPAN GRE ze zdrojových portů. Každá zdrojová relace ERSPAN může mít jako zdroje buď porty, nebo VLAN, ale ne obojí.
- Bez ohledu na nakonfigurovanou velikost MTU vytváří ERSPAN pakety vrstvy 3, které mohou mít délku až 9 202 bajtů. Provoz ERSPAN může být zahozen jakýmkoli rozhraním v síti, které vynucuje velikost MTU menší než 9 202 bajtů.
- ERSPAN nepodporuje fragmentaci paketů. V IP hlavičce paketů ERSPAN je nastaven bit „nefragmentovat“. Cílové relace ERSPAN nemohou fragmentované pakety ERSPAN znovu sestavit.
- ID ERSPAN rozlišuje provoz ERSPAN přicházející na stejnou cílovou IP adresu z různých zdrojových relací ERSPAN; nakonfigurované ID ERSPAN se musí shodovat na zdrojových a cílových zařízeních.
- Pro zdrojový port nebo zdrojovou VLAN může ERSPAN monitorovat příchozí, výstupní nebo obojí. Ve výchozím nastavení ERSPAN monitoruje veškerý provoz, včetně multicastu a rámců BPDU (Bridge Protocol Data Unit).
- Tunelová rozhraní podporovaná jako zdrojové porty pro zdrojovou relaci ERSPAN jsou GRE, IPinIP, SVTI, IPv6, IPv6 over IP tunel, Multipoint GRE (mGRE) a Secure Virtual Tunnel Interfaces (SVTI).
- Možnost filtrování VLAN není funkční v monitorovací relaci ERSPAN na rozhraních WAN.
- ERSPAN na routerech Cisco ASR 1000 Series podporuje pouze rozhraní vrstvy 3. Ethernetová rozhraní nejsou na ERSPAN podporována, pokud jsou konfigurována jako rozhraní vrstvy 2.
- Pokud je relace konfigurována pomocí konfiguračního rozhraní CLI ERSPAN, nelze změnit ID relace a typ relace. Chcete-li je změnit, musíte nejprve použít tvar no konfiguračního příkazu k odstranění relace a poté ji znovu nakonfigurovat.
- Cisco IOS XE verze 3.4S: - Monitorování tunelových paketů nechráněných protokolem IPvsec je podporováno na rozhraních tunelů IPv6 a IPv6 over IP pouze pro zdrojové relace ERSPAN, nikoli pro cílové relace ERSPAN.
- Cisco IOS XE verze 3.5S, byla přidána podpora pro následující typy rozhraní WAN jako zdrojových portů pro zdrojovou relaci: Serial (T1/E1, T3/E3, DS0), Packet over SONET (POS) (OC3, OC12) a Multilink PPP (k příkazu source interface byla přidána klíčová slova multilink, pos a serial).
Použití ERSPAN jako lokálního SPAN:
Abychom mohli pomocí ERSPANu monitorovat provoz přes jeden nebo více portů nebo VLAN ve stejném zařízení, musíme ve stejném zařízení vytvořit zdrojovou a cílovou relaci ERSPANu. Tok dat probíhá uvnitř routeru, což je podobné jako v lokálním SPANu.
Při použití ERSPAN jako lokálního SPANu platí následující faktory:
- Obě relace mají stejné ERSPAN ID.
- Obě relace mají stejnou IP adresu. Tato IP adresa je vlastní IP adresa routeru, tj. IP adresa zpětné smyčky nebo IP adresa nakonfigurovaná na libovolném portu.
| (config)# monitorování relace 10 typ erspan-source |
| (config-mon-erspan-src)# zdrojové rozhraní Gig0/0/0 |
| (config-mon-erspan-src)# cíl |
| (config-mon-erspan-src-dst)# IP adresa 10.10.10.1 |
| (config-mon-erspan-src-dst)# původní IP adresa 10.10.10.1 |
| (config-mon-erspan-src-dst)# erspan-id 100 |
Čas zveřejnění: 28. srpna 2024
