SPAN, RSPAN en ERSPAN begrijpen: technieken voor monitoring van netwerkverkeer

SPAN, RSPAN en ERSPANzijn technieken die in netwerken worden gebruikt om verkeer vast te leggen en te monitoren voor analyse. Hier is een kort overzicht van elk:

SPAN (geschakelde poortanalysator)

Doel: Wordt gebruikt om verkeer van specifieke poorten of VLAN's op een switch naar een andere poort te spiegelen voor monitoring.

Gebruiksvoorbeeld: Ideaal voor lokale verkeersanalyse op één schakelaar. Verkeer wordt gespiegeld naar een aangewezen poort waar een netwerkanalysator het kan vastleggen.

RSPAN (op afstand gelegen SPAN)

Doel: Breidt de SPAN-mogelijkheden uit over meerdere switches in een netwerk.

Gebruiksvoorbeeld: Maakt het monitoren van verkeer van de ene switch naar de andere via een trunkverbinding mogelijk. Handig voor scenario's waarbij het bewakingsapparaat zich op een andere schakelaar bevindt.

ERSPAN (ingekapselde externe SPAN)

Doel: Combineert RSPAN met GRE (Generic Routing Encapsulation) om het gespiegelde verkeer in te kapselen.

Gebruiksvoorbeeld: Maakt het monitoren van verkeer over gerouteerde netwerken mogelijk. Dit is handig in complexe netwerkarchitecturen waar verkeer over verschillende segmenten moet worden vastgelegd.

Schakelpoortanalysator (SPAN)is een efficiënt, krachtig verkeersmonitoringsysteem. Het stuurt of spiegelt verkeer van een bronpoort of VLAN naar een bestemmingspoort. Dit wordt ook wel sessiemonitoring genoemd. SPAN wordt onder andere gebruikt voor het oplossen van verbindingsproblemen en het berekenen van netwerkgebruik en -prestaties. Er worden drie typen SPAN's ondersteund op Cisco-producten...

A. SPAN of lokale SPAN.

B. Externe SPAN (RSPAN).

C. Ingekapselde externe SPAN (ERSPAN).

Om te weten: "Mylinking™ Network Packet Broker met SPAN-, RSPAN- en ERSPAN-functies"

SPAN / traffic mirroring / port mirroring wordt voor vele doeleinden gebruikt, hieronder staan ​​er enkele.

- Implementatie van IDS/IPS in promiscue modus.

- VOIP-oproepopname-oplossingen.

- Redenen voor naleving van de beveiligingsvoorschriften om verkeer te monitoren en te analyseren.

- Verbindingsproblemen oplossen, verkeer monitoren.

Ongeacht het SPAN-type dat actief is, kan de SPAN-bron elk type poort zijn, dat wil zeggen een gerouteerde poort, een fysieke switchpoort, een toegangspoort, trunk, VLAN (alle actieve poorten worden gemonitord door de switch), een EtherChannel (een poort of een volledige poort). -channel interfaces) etc. Houd er rekening mee dat een poort die is geconfigureerd voor een SPAN-bestemming GEEN onderdeel kan zijn van een SPAN-bron-VLAN.

SPAN-sessies ondersteunen het monitoren van inkomend verkeer (ingress SPAN), uitgaand verkeer (egress SPAN) of verkeer dat in beide richtingen stroomt.

- Ingress SPAN (RX) kopieert verkeer dat wordt ontvangen door de bronpoorten en VLAN's naar de bestemmingspoort. SPAN kopieert het verkeer voordat er enige wijziging plaatsvindt (bijvoorbeeld vóór een VACL- of ACL-filter, QoS of controle op inkomend of uitgaand verkeer).

- Egress SPAN (TX) kopieert verkeer dat wordt verzonden vanaf de bronpoorten en VLAN's naar de bestemmingspoort. Alle relevante filtering of wijziging door VACL- of ACL-filter, QoS of inkomende of uitgaande politieacties worden ondernomen voordat de switch verkeer doorstuurt naar de SPAN-bestemmingspoort.

- Wanneer het sleutelwoord beide wordt gebruikt, kopieert SPAN het netwerkverkeer dat wordt ontvangen en verzonden door de bronpoorten en VLAN's naar de bestemmingspoort.

- SPAN/RSPAN negeert doorgaans CDP-, STP-BPDU-, VTP-, DTP- en PAgP-frames. Deze verkeerstypen kunnen echter worden doorgestuurd als de opdracht voor het repliceren van inkapseling is geconfigureerd.

SPAN of Lokaal SPAN

SPAN spiegelt verkeer van een of meer interfaces op de switch naar een of meer interfaces op dezelfde switch; daarom wordt SPAN meestal LOCAL SPAN genoemd.

Richtlijnen of beperkingen voor lokale SPAN:

- Zowel Layer 2-geschakelde poorten als Layer 3-poorten kunnen worden geconfigureerd als bron- of bestemmingspoorten.

- De bron kan een of meer poorten of een VLAN zijn, maar geen combinatie hiervan.

- Trunkpoorten zijn geldige bronpoorten gemengd met niet-trunkbronpoorten.

- Er kunnen maximaal 64 SPAN-bestemmingspoorten op een switch worden geconfigureerd.

- Wanneer we een bestemmingspoort configureren, wordt de oorspronkelijke configuratie overschreven. Als de SPAN-configuratie wordt verwijderd, wordt de oorspronkelijke configuratie op die poort hersteld.

- Wanneer u een bestemmingspoort configureert, wordt de poort verwijderd uit elke EtherChannel-bundel als deze deel uitmaakt van een bundel. Als het een gerouteerde poort is, overschrijft de SPAN-bestemmingsconfiguratie de gerouteerde poortconfiguratie.

- Bestemmingspoorten ondersteunen geen poortbeveiliging, 802.1x-authenticatie of privé-VLAN's.

- Een poort kan slechts voor één SPAN-sessie als bestemmingspoort fungeren.

- Een poort kan niet worden geconfigureerd als bestemmingspoort als deze een bronpoort is van een span-sessie of onderdeel is van een bron-VLAN.

- Poortkanaalinterfaces (EtherChannel) kunnen worden geconfigureerd als bronpoorten, maar niet als bestemmingspoort voor SPAN.

- Verkeersrichting is standaard “beide” voor SPAN-bronnen.

- Bestemmingspoorten nemen nooit deel aan een spanning-tree-instantie. Kan geen DTP, CDP etc. ondersteunen. Lokale SPAN omvat BPDU's in het bewaakte verkeer, dus alle BPDU's die op de bestemmingspoort worden gezien, worden gekopieerd van de bronpoort. Sluit daarom nooit een switch aan op dit type SPAN, omdat dit een netwerklus kan veroorzaken.

- Wanneer VLAN is geconfigureerd als SPAN-bron (meestal VSPAN genoemd) met zowel inkomende als uitgaande opties geconfigureerd, stuur dan dubbele pakketten alleen door vanaf de bronpoort als de pakketten in hetzelfde VLAN worden geschakeld. Eén kopie van het pakket is afkomstig van het binnenkomende verkeer op de binnenkomende poort, en de andere kopie van het pakket is afkomstig van het uitgaande verkeer op de uitgaande poort.

- VSPAN controleert alleen verkeer dat Layer 2-poorten in het VLAN verlaat of binnenkomt.

SPAN, RSPAN en ERSPAN zijn technieken die in netwerken worden gebruikt om verkeer vast te leggen en te monitoren voor analyse. Hier is een kort overzicht van elk:

SPAN (geschakelde poortanalysator)

• Doel: wordt gebruikt om verkeer van specifieke poorten of VLAN's op een switch naar een andere poort te spiegelen voor monitoring.
• Gebruikscasus: Ideaal voor lokale verkeersanalyse op één schakelaar. Verkeer wordt gespiegeld naar een aangewezen poort waar een netwerkanalysator het kan vastleggen.

RSPAN (op afstand gelegen SPAN)

• Doel: Breidt de SPAN-mogelijkheden uit over meerdere switches in een netwerk.
• Gebruikscasus: Maakt het mogelijk om verkeer van de ene switch naar de andere te monitoren via een trunkverbinding. Handig voor scenario's waarbij het bewakingsapparaat zich op een andere schakelaar bevindt.

ERSPAN (ingekapselde externe SPAN)

• Doel: Combineert RSPAN met GRE (Generic Routing Encapsulation) om het gespiegelde verkeer in te kapselen.
• Gebruikscasus: Maakt het monitoren van verkeer via gerouteerde netwerken mogelijk. Dit is handig in complexe netwerkarchitecturen waar verkeer over verschillende segmenten moet worden vastgelegd.