SPAN, RSPAN en ERSPAN begrijpen: technieken voor het monitoren van netwerkverkeer

SPAN, RSPAN en ERSPAN zijn technieken die in netwerken worden gebruikt om verkeer vast te leggen en te monitoren voor analyse. Hier volgt een kort overzicht van elk:

SPAN (geschakelde poortanalysator)

Doel: wordt gebruikt om verkeer van specifieke poorten of VLAN's op een switch te spiegelen naar een andere poort voor bewaking.

Gebruiksvoorbeeld: Ideaal voor lokale verkeersanalyse op één switch. Verkeer wordt gespiegeld naar een aangewezen poort waar een netwerkanalysator het kan vastleggen.

RSPAN (Remote SPAN)

Doel: Breidt SPAN-mogelijkheden uit naar meerdere switches in een netwerk.

Gebruiksvoorbeeld: Maakt monitoring van verkeer van de ene switch naar de andere via een trunkverbinding mogelijk. Handig voor scenario's waarbij het monitoringapparaat zich op een andere switch bevindt.

ERSPAN (Encapsulated Remote SPAN)

Doel: Combineert RSPAN met GRE (Generic Routing Encapsulation) om het gespiegelde verkeer te encapsuleren.

Use case: Maakt monitoring van verkeer over gerouteerde netwerken mogelijk. Dit is handig in complexe netwerkarchitecturen waar verkeer over verschillende segmenten moet worden vastgelegd.

Switch Port Analyzer (SPAN) is een efficiënt en krachtig systeem voor verkeersmonitoring. Het stuurt of spiegelt verkeer van een bronpoort of VLAN naar een bestemmingspoort. Dit wordt soms sessiemonitoring genoemd. SPAN wordt onder andere gebruikt voor het oplossen van connectiviteitsproblemen en het berekenen van netwerkgebruik en -prestaties. Cisco-producten ondersteunen drie typen SPAN's...

a. SPAN of lokale SPAN.

b. Externe SPAN (RSPAN).

c. Ingekapselde externe SPAN (ERSPAN).

Om te weten: "Mylinking™ Network Packet Broker met SPAN-, RSPAN- en ERSPAN-functies"

SPAN / traffic mirroring / port mirroring wordt voor veel doeleinden gebruikt, hieronder staan ​​er een paar.

- Implementatie van IDS/IPS in promiscue modus.

- Oplossingen voor het opnemen van VoIP-gesprekken.

- Redenen om het verkeer te monitoren en analyseren in het kader van beveiligingsnaleving.

- Problemen met de verbinding oplossen en het verkeer monitoren.

Ongeacht het actieve SPAN-type kan de SPAN-bron elk type poort zijn, bijvoorbeeld een gerouteerde poort, een fysieke switchpoort, een toegangspoort, een trunk, een VLAN (alle actieve poorten van de switch worden bewaakt), een EtherChannel (een poort of hele poortkanaalinterfaces), enz. Houd er rekening mee dat een poort die is geconfigureerd voor SPAN-bestemming GEEN deel kan uitmaken van een SPAN-bron-VLAN.

SPAN-sessies ondersteunen de bewaking van inkomend verkeer (ingress SPAN), uitgaand verkeer (egress SPAN) of verkeer dat in beide richtingen stroomt.

- Ingress SPAN (RX) kopieert het verkeer dat door de bronpoorten en VLAN's wordt ontvangen naar de doelpoort. SPAN kopieert het verkeer vóór elke wijziging (bijvoorbeeld vóór een VACL- of ACL-filter, QoS of ingress- of egress-policing).

- Egress SPAN (TX) kopieert het verkeer dat van de bronpoorten en VLAN's wordt verzonden naar de bestemmingspoort. Alle relevante filtering of wijzigingen door VACL- of ACL-filters, QoS of inkomende of uitgaande policing-acties worden uitgevoerd voordat de switch het verkeer doorstuurt naar de SPAN-bestemmingspoort.

- Wanneer het sleutelwoord both wordt gebruikt, kopieert SPAN het netwerkverkeer dat door de bronpoorten en VLAN's wordt ontvangen en verzonden naar de doelpoort.

- SPAN/RSPAN negeert doorgaans CDP-, STP-BPDU-, VTP-, DTP- en PAgP-frames. Deze verkeerstypen kunnen echter wel worden doorgestuurd als de opdracht Encapsulation Replicate is geconfigureerd.

SPAN of Lokale SPAN

SPAN spiegelt het verkeer van een of meer interfaces op de switch naar een of meer interfaces op dezelfde switch. Daarom wordt SPAN meestal aangeduid als LOCAL SPAN.

Richtlijnen of beperkingen voor lokale SPAN:

- Zowel Layer 2-switched poorten als Layer 3-poorten kunnen worden geconfigureerd als bron- of doelpoorten.

- De bron kan één of meerdere poorten of een VLAN zijn, maar geen combinatie hiervan.

- Trunk-poorten zijn geldige bronpoorten gemengd met niet-trunk bronpoorten.

- Er kunnen maximaal 64 SPAN-bestemmingspoorten op een switch worden geconfigureerd.

- Wanneer we een bestemmingspoort configureren, wordt de oorspronkelijke configuratie overschreven. Als de SPAN-configuratie wordt verwijderd, wordt de oorspronkelijke configuratie op die poort hersteld.

- Wanneer een bestemmingspoort wordt geconfigureerd, wordt de poort verwijderd uit elke EtherChannel-bundel als deze er deel van uitmaakte. Als het een gerouteerde poort betreft, overschrijft de SPAN-bestemmingsconfiguratie de gerouteerde poortconfiguratie.

- Bestemmingspoorten ondersteunen geen poortbeveiliging, 802.1x-authenticatie of privé-VLAN's.

- Een poort kan slechts als bestemmingspoort voor één SPAN-sessie fungeren.

- Een poort kan niet worden geconfigureerd als doelpoort als het een bronpoort van een spansessie is of onderdeel is van een bron-VLAN.

- Poortkanaalinterfaces (EtherChannel) kunnen worden geconfigureerd als bronpoorten, maar niet als doelpoort voor SPAN.

- De verkeersrichting is standaard 'beide' voor SPAN-bronnen.

- Bestemmingspoorten nemen nooit deel aan een spanning-tree-instantie. Ondersteunt geen DTP, CDP, enz. Lokale SPAN's bevatten BPDU's in het gemonitorde verkeer, dus alle BPDU's die op de bestemmingspoort worden gezien, worden gekopieerd van de bronpoort. Sluit daarom nooit een switch aan op dit type SPAN, aangezien dit een netwerklus kan veroorzaken. AI-tools verbeteren de werkefficiëntie enondetecteerbare AIservice kan de kwaliteit van AI-tools verbeteren.

- Wanneer VLAN is geconfigureerd als SPAN-bron (meestal VSPAN genoemd) met zowel inkomende als uitgaande opties geconfigureerd, worden dubbele pakketten alleen doorgestuurd vanaf de bronpoort als de pakketten in hetzelfde VLAN worden geswitcht. Eén kopie van het pakket is afkomstig van het inkomende verkeer op de inkomende poort en de andere kopie van het pakket is afkomstig van het uitgaande verkeer op de uitgaande poort.

- VSPAN controleert alleen verkeer dat de Layer 2-poorten in het VLAN verlaat of binnenkomt.