Comprendre SPAN, RSPAN et ERSPAN : techniques de surveillance du trafic réseau

SPAN, RSPAN et ERSPAN sont des techniques utilisées en réseau pour capturer et surveiller le trafic à des fins d'analyse. Voici un bref aperçu de chacune d'elles :

SPAN (Analyseur de ports commutés)

Objectif : utilisé pour mettre en miroir le trafic provenant de ports ou de VLAN spécifiques sur un commutateur vers un autre port à des fins de surveillance.

Cas d'utilisation : Idéal pour l'analyse du trafic local sur un seul commutateur. Le trafic est mis en miroir sur un port désigné où un analyseur de réseau peut le capturer.

RSPAN (SPAN à distance)

Objectif : étend les capacités SPAN sur plusieurs commutateurs d’un réseau.

Cas d'utilisation : Permet de surveiller le trafic d'un commutateur à un autre via une liaison principale. Utile lorsque le dispositif de surveillance est situé sur un autre commutateur.

ERSPAN (SPAN distant encapsulé)

Objectif : combine RSPAN avec GRE (Generic Routing Encapsulation) pour encapsuler le trafic en miroir.

Cas d'utilisation : Permet de surveiller le trafic sur les réseaux routés. Ceci est utile dans les architectures réseau complexes où le trafic doit être capturé sur différents segments.

Switch Port Analyzer (SPAN) est un système de surveillance du trafic efficace et performant. Il dirige ou met en miroir le trafic d'un port source ou d'un VLAN vers un port de destination. On parle parfois de surveillance de session. SPAN permet notamment de résoudre les problèmes de connectivité et de calculer l'utilisation et les performances du réseau. Trois types de SPAN sont pris en charge par les produits Cisco…

a. SPAN ou SPAN local.

b. SPAN à distance (RSPAN).

c. SPAN distant encapsulé (ERSPAN).

Savoir: "Mylinking™ Network Packet Broker avec fonctionnalités SPAN, RSPAN et ERSPAN"

SPAN / la mise en miroir du trafic / la mise en miroir des ports est utilisée à de nombreuses fins, dont certaines sont présentées ci-dessous.

- Mise en œuvre d'IDS/IPS en mode promiscuité.

- Solutions d'enregistrement d'appels VOIP.

- Raisons de conformité de sécurité pour surveiller et analyser le trafic.

- Dépannage des problèmes de connexion, surveillance du trafic.

Quel que soit le type de SPAN en cours d'exécution, la source SPAN peut être n'importe quel type de port, c'est-à-dire un port routé, un port de commutateur physique, un port d'accès, une jonction, un VLAN (tous les ports actifs du commutateur sont surveillés), un EtherChannel (soit un port, soit des interfaces port-canal entières), etc. Notez qu'un port configuré pour la destination SPAN NE PEUT PAS faire partie d'un VLAN source SPAN.

Les sessions SPAN prennent en charge la surveillance du trafic entrant (SPAN entrant), du trafic sortant (SPAN sortant) ou du trafic circulant dans les deux sens.

- Le SPAN d'entrée (RX) copie le trafic reçu par les ports et VLAN sources vers le port de destination. Il copie le trafic avant toute modification (par exemple, avant tout filtre VACL ou ACL, contrôle de la qualité de service (QoS) ou contrôle d'entrée ou de sortie).

- Le SPAN de sortie (TX) copie le trafic transmis depuis les ports et VLAN sources vers le port de destination. Tous les filtrages ou modifications pertinents (par exemple, filtre VACL ou ACL, contrôle de la qualité de service ou contrôle d'entrée ou de sortie) sont effectués avant que le commutateur ne transfère le trafic vers le port de destination du SPAN.

- Lorsque le mot clé both est utilisé, SPAN copie le trafic réseau reçu et transmis par les ports source et les VLAN vers le port de destination.

- SPAN/RSPAN ignore généralement les trames CDP, STP BPDU, VTP, DTP et PAgP. Cependant, ces types de trafic peuvent être transférés si la commande de réplication d'encapsulation est configurée.

SPAN ou SPAN local

SPAN reflète le trafic d'une ou plusieurs interfaces du commutateur vers une ou plusieurs interfaces du même commutateur ; c'est pourquoi SPAN est généralement appelé LOCAL SPAN.

Directives ou restrictions concernant le SPAN local :

- Les ports commutés de couche 2 et les ports de couche 3 peuvent être configurés comme ports source ou de destination.

- La source peut être un ou plusieurs ports ou un VLAN, mais pas un mélange de ceux-ci.

- Les ports trunk sont des ports sources valides mélangés à des ports sources non trunk.

- Jusqu'à 64 ports de destination SPAN peuvent être configurés sur un commutateur.

- Lors de la configuration d'un port de destination, sa configuration d'origine est écrasée. Si la configuration SPAN est supprimée, la configuration d'origine de ce port est restaurée.

Lors de la configuration d'un port de destination, celui-ci est supprimé de tout bundle EtherChannel s'il en faisait partie. S'il s'agissait d'un port routé, la configuration de destination SPAN remplace celle du port routé.

- Les ports de destination ne prennent pas en charge la sécurité des ports, l'authentification 802.1x ou les VLAN privés.

- Un port ne peut servir de port de destination que pour une seule session SPAN.

- Un port ne peut pas être configuré comme port de destination s'il s'agit d'un port source d'une session SPAN ou d'une partie d'un VLAN source.

- Les interfaces de canal de port (EtherChannel) peuvent être configurées comme ports source mais pas comme port de destination pour SPAN.

- Le sens du trafic est « les deux » par défaut pour les sources SPAN.

Les ports de destination ne participent jamais à une instance Spanning Tree. Ils ne prennent pas en charge DTP, CDP, etc. Le SPAN local inclut des BPDU dans le trafic surveillé ; ainsi, tous les BPDU détectés sur le port de destination sont copiés depuis le port source. Par conséquent, ne connectez jamais un commutateur à ce type de SPAN, car cela pourrait provoquer une boucle réseau. Les outils d'IA amélioreront l'efficacité du travail.IA indétectablele service peut améliorer la qualité des outils d’IA.

- Lorsqu'un VLAN est configuré comme source SPAN (généralement appelé VSPAN) avec les options d'entrée et de sortie configurées, transférez les paquets dupliqués depuis le port source uniquement s'ils sont commutés dans le même VLAN. Une copie du paquet provient du trafic entrant sur le port d'entrée, et l'autre du trafic sortant sur le port de sortie.

- VSPAN surveille uniquement le trafic qui sort ou entre dans les ports de couche 2 du VLAN.