Понимание SPAN, RSPAN и ERSPAN: методы мониторинга сетевого трафика

SPAN, RSPAN и ERSPAN — это методы, используемые в сетях для захвата и мониторинга трафика с целью его анализа. Вот краткий обзор каждого из них:

SPAN (анализатор коммутируемых портов)

Назначение: Используется для зеркалирования трафика с определенных портов или VLAN на коммутаторе на другой порт для мониторинга.

Пример применения: Идеально подходит для локального анализа трафика на одном коммутаторе. Трафик зеркалируется на выделенный порт, где сетевой анализатор может его перехватить.

RSPAN (Remote SPAN)

Назначение: Расширяет возможности SPAN на несколько коммутаторов в сети.

Пример применения: Позволяет отслеживать трафик между коммутаторами по магистральному каналу связи. Полезно в сценариях, когда устройство мониторинга находится на другом коммутаторе.

ERSPAN (Encapsulated Remote SPAN)

Назначение: Объединяет RSPAN с GRE (Generic Routing Encapsulation) для инкапсуляции зеркалированного трафика.

Пример использования: Позволяет отслеживать трафик в маршрутизируемых сетях. Это полезно в сложных сетевых архитектурах, где необходимо фиксировать трафик в различных сегментах.

Анализатор портов коммутатора (SPAN) — это эффективная высокопроизводительная система мониторинга трафика. Она направляет или зеркалирует трафик с исходного порта или VLAN на целевой порт. Иногда это называют мониторингом сессий. SPAN используется для устранения неполадок с подключением, расчета загрузки и производительности сети, а также для многих других целей. В продуктах Cisco поддерживаются три типа SPAN…

а. SPAN или локальный SPAN.

b. Удаленный SPAN (RSPAN).

c. Инкапсулированный удаленный SPAN (ERSPAN).

Знать: "Сетевой пакетный брокер Mylinking™ с функциями SPAN, RSPAN и ERSPAN."

SPAN / зеркалирование трафика / зеркалирование портов используется для многих целей, ниже перечислены некоторые из них.

- Реализация IDS/IPS в режиме promiscuous.

- Решения для записи VoIP-звонков.

- Причины, связанные с соблюдением требований безопасности, для мониторинга и анализа трафика.

- Устранение неполадок с подключением, мониторинг трафика.

Независимо от типа используемого SPAN, источником SPAN может быть любой тип порта, например, маршрутизируемый порт, физический порт коммутатора, порт доступа, транк, VLAN (контролируются все активные порты коммутатора), EtherChannel (либо порт, либо целые интерфейсы port-channel) и т. д. Обратите внимание, что порт, настроенный для назначения SPAN, НЕ МОЖЕТ быть частью VLAN источника SPAN.

Сеансы SPAN поддерживают мониторинг входящего трафика (ingress SPAN), исходящего трафика (egress SPAN) или трафика, движущегося в обоих направлениях.

- Функция Ingress SPAN (RX) копирует трафик, полученный от исходных портов и VLAN, на целевой порт. Копирование SPAN происходит до внесения каких-либо изменений (например, до применения фильтров VACL или ACL, QoS или ограничений входящего и исходящего трафика).

- Исходящий трафик SPAN (TX) копирует трафик, передаваемый с исходных портов и VLAN, на порт назначения. Все необходимые фильтры или модификации с помощью VACL или ACL, QoS или мер контроля входящего или исходящего трафика выполняются до того, как коммутатор перенаправит трафик на порт назначения SPAN.

- При использовании ключевого слова both, SPAN копирует сетевой трафик, полученный и переданный исходными портами и VLAN, на целевой порт.

- SPAN/RSPAN обычно игнорирует кадры CDP, STP BPDU, VTP, DTP и PAgP. Однако эти типы трафика могут быть перенаправлены, если настроена команда репликации инкапсуляции.

SPAN или Local PAN

SPAN зеркалирует трафик с одного или нескольких интерфейсов коммутатора на один или несколько интерфейсов того же коммутатора; поэтому SPAN чаще всего называют локальным SPAN.

Правила или ограничения для местных подразделений SPAN:

— Как порты коммутации уровня 2, так и порты уровня 3 могут быть настроены в качестве исходных или целевых портов.

- Источником может быть либо один или несколько портов, либо VLAN, но не их комбинация.

— Транковые порты — это допустимые исходные порты, смешанные с исходными портами, не являющимися транковыми.

— На коммутаторе можно настроить до 64 портов назначения SPAN.

— При настройке целевого порта его исходная конфигурация перезаписывается. Если конфигурация SPAN удаляется, исходная конфигурация на этом порту восстанавливается.

— При настройке целевого порта, если он входил в какой-либо пакет EtherChannel, он удаляется из него. Если это маршрутизируемый порт, конфигурация целевого порта SPAN переопределяет конфигурацию маршрутизируемого порта.

- Порты назначения не поддерживают защиту портов, аутентификацию 802.1x или частные VLAN.

- Порт может выступать в качестве порта назначения только для одной сессии SPAN.

- Порт нельзя настроить как порт назначения, если он является исходным портом сеанса SPAN или частью исходной VLAN.

— Интерфейсы Port Channel (EtherChannel) можно настроить как исходные порты, но не как порты назначения для SPAN.

— По умолчанию для источников SPAN направление трафика — «оба».

- Порты назначения никогда не участвуют в протоколе SPAN. Не поддерживает DTP, CDP и т. д. Локальный SPAN включает BPDU в отслеживаемый трафик, поэтому любые BPDU, обнаруженные на порту назначения, копируются с порта источника. Следовательно, никогда не подключайте коммутатор к такому типу SPAN, так как это может вызвать сетевую петлю. Инструменты искусственного интеллекта повысят эффективность работы, инеобнаружимый ИИЭтот сервис может повысить качество инструментов искусственного интеллекта.

- Когда VLAN настроен как источник SPAN (чаще всего обозначается как VSPAN) с заданными параметрами входящего и исходящего трафика, дубликаты пакетов с исходного порта пересылаются только в том случае, если пакеты коммутируются в одном и том же VLAN. Одна копия пакета относится к входящему трафику на входящем порту, а другая — к исходящему трафику на исходящем порту.

- VSPAN отслеживает только трафик, который выходит за пределы портов уровня 2 в VLAN или входит в них.