SPAN, RSPAN und ERSPAN verstehen: Techniken zur Netzwerkverkehrsüberwachung

SPAN, RSPAN und ERSPANsind Techniken, die in Netzwerken verwendet werden, um den Datenverkehr für Analysezwecke zu erfassen und zu überwachen. Hier ist jeweils ein kurzer Überblick:

SPAN (Switched-Port-Analysator)

Zweck: Wird verwendet, um den Datenverkehr von bestimmten Ports oder VLANs auf einem Switch zur Überwachung auf einen anderen Port zu spiegeln.

Anwendungsfall: Ideal für die lokale Verkehrsanalyse auf einem einzelnen Switch. Der Datenverkehr wird an einen bestimmten Port gespiegelt, wo ein Netzwerkanalysator ihn erfassen kann.

RSPAN (Remote SPAN)

Zweck: Erweitert die SPAN-Funktionen auf mehrere Switches in einem Netzwerk.

Anwendungsfall: Ermöglicht die Überwachung des Datenverkehrs von einem Switch zu einem anderen über eine Trunk-Verbindung. Nützlich für Szenarien, in denen sich das Überwachungsgerät an einem anderen Switch befindet.

ERSPAN (Encapsulated Remote SPAN)

Zweck: Kombiniert RSPAN mit GRE (Generic Routing Encapsulation), um den gespiegelten Datenverkehr zu kapseln.

Anwendungsfall: Ermöglicht die Überwachung des Datenverkehrs über geroutete Netzwerke. Dies ist in komplexen Netzwerkarchitekturen nützlich, in denen der Datenverkehr über verschiedene Segmente hinweg erfasst werden muss.

Switch-Port-Analysator (SPAN)ist ein effizientes, leistungsstarkes Verkehrsüberwachungssystem. Es leitet oder spiegelt den Datenverkehr von einem Quellport oder VLAN zu einem Zielport. Dies wird manchmal als Sitzungsüberwachung bezeichnet. SPAN wird unter anderem zur Fehlerbehebung bei Verbindungsproblemen und zur Berechnung der Netzwerkauslastung und -leistung verwendet. Es gibt drei Arten von SPANs, die von Cisco-Produkten unterstützt werden …

A. SPAN oder lokaler SPAN.

B. Remote-SPAN (RSPAN).

C. Gekapselter Remote-SPAN (ERSPAN).

Zu wissen: „Mylinking™ Network Packet Broker mit SPAN-, RSPAN- und ERSPAN-Funktionen"

SPAN/Traffic Mirroring/Port Mirroring wird für viele Zwecke verwendet, im Folgenden werden einige aufgeführt.

- Implementierung von IDS/IPS im Promiscuous-Modus.

- VOIP-Anrufaufzeichnungslösungen.

- Gründe für die Einhaltung von Sicherheitsbestimmungen zur Überwachung und Analyse des Datenverkehrs.

- Behebung von Verbindungsproblemen, Überwachung des Datenverkehrs.

Unabhängig vom ausgeführten SPAN-Typ kann die SPAN-Quelle jede Art von Port sein, z. B. ein gerouteter Port, ein physischer Switch-Port, ein Zugriffsport, ein Trunk, ein VLAN (alle aktiven Ports werden vom Switch überwacht), ein EtherChannel (entweder ein Port oder ein ganzer Port). -Kanalschnittstellen) usw. Beachten Sie, dass ein für das SPAN-Ziel konfigurierter Port NICHT Teil eines SPAN-Quell-VLANs sein kann.

SPAN-Sitzungen unterstützen die Überwachung des eingehenden Datenverkehrs (Ingress SPAN), des ausgehenden Datenverkehrs (Egress SPAN) oder des in beide Richtungen fließenden Datenverkehrs.

- Ingress SPAN (RX) kopiert den von den Quellports und VLANs empfangenen Datenverkehr zum Zielport. SPAN kopiert den Datenverkehr vor jeder Änderung (z. B. vor VACL- oder ACL-Filtern, QoS oder Eingangs- oder Ausgangsrichtlinien).

- Egress SPAN (TX) kopiert den von den Quellports und VLANs übertragenen Datenverkehr zum Zielport. Alle relevanten Filterungen oder Änderungen durch VACL- oder ACL-Filter, QoS oder Eingangs- oder Ausgangs-Policing-Aktionen werden durchgeführt, bevor der Switch den Datenverkehr an den SPAN-Zielport weiterleitet.

- Wenn das Schlüsselwort „boith“ verwendet wird, kopiert SPAN den von den Quellports und VLANs empfangenen und übertragenen Netzwerkverkehr zum Zielport.

- SPAN/RSPAN ignoriert normalerweise CDP-, STP-BPDU-, VTP-, DTP- und PAgP-Frames. Diese Datenverkehrstypen können jedoch weitergeleitet werden, wenn der Befehl „Encapsulation Replicate“ konfiguriert ist.

SPAN oder Local SPAN

SPAN spiegelt den Datenverkehr von einer oder mehreren Schnittstellen auf dem Switch auf eine oder mehrere Schnittstellen auf demselben Switch. daher wird SPAN meist als LOCAL SPAN bezeichnet.

Richtlinien oder Einschränkungen für lokales SPAN:

- Sowohl Layer-2-Switched-Ports als auch Layer-3-Ports können als Quell- oder Zielports konfiguriert werden.

- Die Quelle kann entweder ein oder mehrere Ports oder ein VLAN sein, jedoch keine Mischung daraus.

- Trunk-Ports sind gültige Quell-Ports, gemischt mit Nicht-Trunk-Quell-Ports.

- Bis zu 64 SPAN-Zielports können auf einem Switch konfiguriert werden.

- Wenn wir einen Zielport konfigurieren, wird seine ursprüngliche Konfiguration überschrieben. Wenn die SPAN-Konfiguration entfernt wird, wird die ursprüngliche Konfiguration an diesem Port wiederhergestellt.

– Beim Konfigurieren eines Zielports wird der Port aus jedem EtherChannel-Bundle entfernt, wenn er Teil eines solchen war. Wenn es sich um einen gerouteten Port handelte, überschreibt die SPAN-Zielkonfiguration die geroutete Portkonfiguration.

– Zielports unterstützen keine Portsicherheit, 802.1x-Authentifizierung oder private VLANs.

- Ein Port kann nur für eine SPAN-Sitzung als Zielport fungieren.

– Ein Port kann nicht als Zielport konfiguriert werden, wenn er ein Quellport einer Span-Sitzung oder Teil eines Quell-VLANs ist.

– Port-Channel-Schnittstellen (EtherChannel) können als Quellports, aber nicht als Zielport für SPAN konfiguriert werden.

- Die Verkehrsrichtung ist für SPAN-Quellen standardmäßig „beide“.

– Zielports nehmen niemals an einer Spanning-Tree-Instanz teil. DTP, CDP usw. können nicht unterstützt werden. Lokales SPAN schließt BPDUs in den überwachten Datenverkehr ein, sodass alle am Zielport angezeigten BPDUs vom Quellport kopiert werden. Schließen Sie daher niemals einen Switch an diesen SPAN-Typ an, da dies zu einer Netzwerkschleife führen könnte.

– Wenn VLAN als SPAN-Quelle (meistens als VSPAN bezeichnet) konfiguriert ist und sowohl Eingangs- als auch Ausgangsoptionen konfiguriert sind, leiten Sie doppelte Pakete vom Quellport nur weiter, wenn die Pakete im selben VLAN geswitcht werden. Eine Kopie des Pakets stammt vom Eingangsverkehr am Eingangsport und die andere Kopie des Pakets stammt vom Ausgangsverkehr am Ausgangsport.

- VSPAN überwacht nur Datenverkehr, der Layer-2-Ports im VLAN verlässt oder in sie eintritt.

SPAN, RSPAN und ERSPAN sind Techniken, die in Netzwerken zur Erfassung und Überwachung des Datenverkehrs zur Analyse verwendet werden. Hier ist jeweils ein kurzer Überblick:

SPAN (Switched-Port-Analysator)

• Zweck: Wird verwendet, um den Datenverkehr von bestimmten Ports oder VLANs auf einem Switch zur Überwachung auf einen anderen Port zu spiegeln.
• Anwendungsfall: Ideal für die lokale Verkehrsanalyse auf einem einzelnen Switch. Der Datenverkehr wird an einen bestimmten Port gespiegelt, wo ein Netzwerkanalysator ihn erfassen kann.

RSPAN (Remote SPAN)

• Zweck: Erweitert die SPAN-Funktionen auf mehrere Switches in einem Netzwerk.
• Anwendungsfall: Ermöglicht die Überwachung des Datenverkehrs von einem Switch zu einem anderen über eine Trunk-Verbindung. Nützlich für Szenarien, in denen sich das Überwachungsgerät an einem anderen Switch befindet.

ERSPAN (Encapsulated Remote SPAN)

• Zweck: Kombiniert RSPAN mit GRE (Generic Routing Encapsulation), um den gespiegelten Datenverkehr zu kapseln.
• Anwendungsfall: Ermöglicht die Überwachung des Datenverkehrs über geroutete Netzwerke. Dies ist in komplexen Netzwerkarchitekturen nützlich, in denen der Datenverkehr über verschiedene Segmente hinweg erfasst werden muss.