Comprendre SPAN, RSPAN et ERSPAN : techniques de surveillance du trafic réseau

SPAN, RSPAN et ERSPAN sont des techniques utilisées dans les réseaux pour capturer et surveiller le trafic à des fins d'analyse. Voici un bref aperçu de chacun :

SPAN (analyseur de port commuté)

Objectif : utilisé pour mettre en miroir le trafic de ports ou de VLAN spécifiques sur un commutateur vers un autre port à des fins de surveillance.

Cas d'utilisation : idéal pour l'analyse du trafic local sur un seul commutateur. Le trafic est mis en miroir sur un port désigné où un analyseur de réseau peut le capturer.

RSPAN (PORTÉE À DISTANCE)

Objectif : étend les capacités SPAN à plusieurs commutateurs d’un réseau.

Cas d'utilisation : permet la surveillance du trafic d'un commutateur à un autre via une liaison réseau. Utile pour les scénarios dans lesquels le dispositif de surveillance est situé sur un autre commutateur.

ERSPAN (SPAN distant encapsulé)

Objectif : combine RSPAN avec GRE (Generic Routing Encapsulation) pour encapsuler le trafic en miroir.

Cas d'utilisation : permet de surveiller le trafic sur les réseaux routés. Ceci est utile dans les architectures de réseau complexes où le trafic doit être capturé sur différents segments.

Switch Port Analyzer (SPAN) est un système de surveillance du trafic efficace et hautes performances. Il dirige ou met en miroir le trafic d'un port source ou d'un VLAN vers un port de destination. Ceci est parfois appelé surveillance de session. SPAN est utilisé pour résoudre les problèmes de connectivité et calculer l'utilisation et les performances du réseau, entre autres. Il existe trois types de SPAN pris en charge sur les produits Cisco…

un. SPAN ou SPAN local.

b. SPAN distant (RSPAN).

c. SPAN distant encapsulé (ERSPAN).

Savoir: "Courtier de paquets réseau Mylinking™ avec fonctionnalités SPAN, RSPAN et ERSPAN"

SPAN / mise en miroir du trafic / mise en miroir des ports est utilisé à de nombreuses fins, dont quelques-unes ci-dessous.

- Implémentation d'IDS/IPS en mode promiscuité.

- Solutions d'enregistrement d'appels VOIP.

- Raisons de conformité de sécurité pour surveiller et analyser le trafic.

- Dépannage des problèmes de connexion, surveillance du trafic.

Quel que soit le type de SPAN en cours d'exécution, la source SPAN peut être n'importe quel type de port, c'est-à-dire un port routé, un port de commutateur physique, un port d'accès, une jonction, un VLAN (tous les ports actifs sont surveillés du commutateur), un EtherChannel (soit un port, soit un port entier). -interfaces de canal), etc. Notez qu'un port configuré pour la destination SPAN NE PEUT PAS faire partie d'un VLAN source SPAN.

Les sessions SPAN prennent en charge la surveillance du trafic entrant (ingress SPAN), du trafic sortant (egress SPAN) ou du trafic circulant dans les deux sens.

- Ingress SPAN (RX) copie le trafic reçu par les ports sources et les VLAN vers le port de destination. SPAN copie le trafic avant toute modification (par exemple avant tout filtre VACL ou ACL, QoS ou police d'entrée ou de sortie).

- Egress SPAN (TX) copie le trafic transmis depuis les ports sources et les VLAN vers le port de destination. Tous les filtrages ou modifications pertinents par filtre VACL ou ACL, QoS ou actions de régulation d'entrée ou de sortie sont effectués avant que le commutateur ne transmette le trafic au port de destination SPAN.

- Lorsque le mot-clé Both est utilisé, SPAN copie le trafic réseau reçu et transmis par les ports sources et les VLAN vers le port de destination.

- SPAN/RSPAN ignore généralement les trames CDP, STP BPDU, VTP, DTP et PAgP. Cependant, ces types de trafic peuvent être transférés si la commande encapsulation replicate est configurée.

SPAN ou SPAN local

SPAN reflète le trafic d'une ou plusieurs interfaces sur le commutateur vers une ou plusieurs interfaces sur le même commutateur ; par conséquent, SPAN est principalement appelé LOCAL SPAN.

Lignes directrices ou restrictions concernant le SPAN local :

- Les ports commutés de couche 2 et les ports de couche 3 peuvent être configurés comme ports source ou de destination.

- La source peut être soit un ou plusieurs ports, soit un VLAN, mais pas une combinaison de ceux-ci.

- Les ports réseau sont des ports sources valides mélangés à des ports sources non réseau.

- Jusqu'à 64 ports de destination SPAN peuvent être configurés sur un commutateur.

- Lorsque nous configurons un port de destination, sa configuration d'origine est écrasée. Si la configuration SPAN est supprimée, la configuration d'origine sur ce port est restaurée.

- Lors de la configuration d'un port de destination, le port est supprimé de tout bundle EtherChannel s'il en faisait partie. S'il s'agissait d'un port routé, la configuration de la destination SPAN remplace la configuration du port routé.

- Les ports de destination ne prennent pas en charge la sécurité des ports, l'authentification 802.1x ou les VLAN privés.

- Un port peut servir de port de destination pour une seule session SPAN.

- Un port ne peut pas être configuré comme port de destination s'il s'agit d'un port source d'une session étendue ou d'une partie du VLAN source.

- Les interfaces Port Channel (EtherChannel) peuvent être configurées comme ports sources mais pas comme port de destination pour SPAN.

- Le sens du trafic est « les deux » par défaut pour les sources SPAN.

- Les ports de destination ne participent jamais à une instance Spanning Tree. Ne peut pas prendre en charge DTP, CDP, etc. Le SPAN local inclut les BPDU dans le trafic surveillé, de sorte que tous les BPDU vus sur le port de destination sont copiés à partir du port source. Ne connectez donc jamais de switch à ce type de SPAN car cela pourrait provoquer une boucle réseau. Les outils d'IA amélioreront l'efficacité du travail etIA indétectablele service peut améliorer la qualité des outils d’IA.

- Lorsque le VLAN est configuré comme source SPAN (généralement appelé VSPAN) avec les options d'entrée et de sortie configurées, transférez les paquets en double depuis le port source uniquement si les paquets sont commutés dans le même VLAN. Une copie du paquet provient du trafic entrant sur le port d'entrée et l'autre copie du paquet provient du trafic de sortie sur le port de sortie.

- VSPAN surveille uniquement le trafic qui quitte ou entre dans les ports de couche 2 du VLAN.