Pag-unawa sa SPAN, RSPAN at ERSPAN: Mga Teknik para sa Pagsubaybay sa Trapiko sa Network

SPAN, RSPAN, at ERSPANay mga pamamaraan na ginagamit sa networking upang makuha at masubaybayan ang trapiko para sa pagsusuri. Narito ang isang maikling pangkalahatang-ideya ng bawat isa:

SPAN (Switched Port Analyzer)

Layunin: Ginagamit upang i-mirror ang trapiko mula sa mga partikular na port o VLAN sa isang switch sa isa pang port para sa pagsubaybay.

Use Case: Tamang-tama para sa lokal na pagsusuri ng trapiko sa isang switch. Ang trapiko ay sinasalamin sa isang itinalagang port kung saan maaaring makuha ito ng isang network analyzer.

RSPAN (Remote SPAN)

Layunin: Pinapalawak ang mga kakayahan ng SPAN sa maraming switch sa isang network.

Use Case: Nagbibigay-daan sa pagsubaybay ng trapiko mula sa isang switch patungo sa isa pa sa isang trunk link. Kapaki-pakinabang para sa mga sitwasyon kung saan matatagpuan ang monitoring device sa ibang switch.

ERSPAN (Encapsulated Remote SPAN)

Layunin: Pinagsasama ang RSPAN sa GRE (Generic Routing Encapsulation) para i-encapsulate ang naka-mirror na trapiko.

Use Case: Nagbibigay-daan para sa pagsubaybay ng trapiko sa mga naka-ruta na network. Ito ay kapaki-pakinabang sa mga kumplikadong arkitektura ng network kung saan kailangang makuha ang trapiko sa iba't ibang mga segment.

Lumipat ng port Analyzer (SPAN)ay isang mahusay, mataas na pagganap ng sistema ng pagsubaybay sa trapiko. Dinidirekta o sinasalamin nito ang trapiko mula sa isang source port o VLAN patungo sa isang destination port. Minsan ito ay tinutukoy bilang pagsubaybay sa session. Ginagamit ang SPAN para sa pag-troubleshoot ng mga isyu sa koneksyon at pagkalkula ng paggamit at pagganap ng network, bukod sa marami pang iba. May tatlong uri ng mga SPAN na sinusuportahan sa mga produkto ng Cisco…

a. SPAN o lokal na SPAN.

b. Remote SPAN (RSPAN).

c. Naka-encapsulated na remote SPAN (ERSPAN).

Para malaman:"Mylinking™ Network Packet Broker na may SPAN, RSPAN at ERSPAN Features"

Ang SPAN / traffic mirroring / port mirroring ay ginagamit para sa maraming layunin, kasama sa ibaba ang ilan.

- Pagpapatupad ng mga IDS/IPS sa promiscuous mode.

- Mga solusyon sa pag-record ng tawag sa VOIP.

- Mga dahilan ng pagsunod sa seguridad upang subaybayan at pag-aralan ang trapiko.

- Pag-troubleshoot ng mga isyu sa koneksyon, pagsubaybay sa trapiko.

Anuman ang uri ng SPAN na tumatakbo, ang pinagmulan ng SPAN ay maaaring maging anumang uri ng port ie isang rutang port, pisikal na switch port, isang access port, trunk, VLAN (lahat ng mga aktibong port ay sinusubaybayan ng switch), isang EtherChannel (alinman sa isang port o buong port -channel interface) atbp. Tandaan na ang isang port na na-configure para sa destinasyon ng SPAN ay HINDI maaaring maging bahagi ng isang SPAN source na VLAN.

Sinusuportahan ng mga session ng SPAN ang pagsubaybay sa trapiko sa pagpasok (ingress SPAN), trapiko sa paglabas (egress SPAN), o trapiko na dumadaloy sa parehong direksyon.

- Kinokopya ng Ingress SPAN (RX) ang trapikong natanggap ng mga source port at VLAN sa destination port. Kinokopya ng SPAN ang trapiko bago ang anumang pagbabago (halimbawa bago ang anumang filter ng VACL o ACL, QoS o pagpasok o paglabas ng policing).

- Kinokopya ng Egress SPAN (TX) ang trapikong ipinadala mula sa mga source port at VLAN papunta sa destination port. Ang lahat ng nauugnay na pag-filter o pagbabago sa pamamagitan ng VACL o ACL filter, QoS o pagpasok o paglabas ng mga aksyon sa pagpupulis ay isinasagawa bago ang paglipat ng trapiko sa destinasyong port ng SPAN.

- Kapag ginamit ang parehong keyword, kinokopya ng SPAN ang trapiko sa network na natanggap at ipinadala ng mga source port at VLAN sa destination port.

- Karaniwang binabalewala ng SPAN/RSPAN ang CDP, STP BPDU, VTP, DTP at PAgP frame. Gayunpaman ang mga uri ng trapikong ito ay maaaring ipasa kung ang encapsulation replicate command ay na-configure.

SPAN o Lokal na SPAN

Sinasalamin ng SPAN ang trapiko mula sa isa o higit pang interface sa switch patungo sa isa o higit pang mga interface sa parehong switch; kaya ang SPAN ay kadalasang tinutukoy bilang LOCAL SPAN.

Mga alituntunin o paghihigpit sa lokal na SPAN:

- Ang parehong Layer 2 switched port at Layer 3 port ay maaaring i-configure bilang source o destination port.

- Ang pinagmulan ay maaaring isa o higit pang mga port o isang VLAN, ngunit hindi isang halo ng mga ito.

- Ang mga trunk port ay wastong source port na may halong hindi trunk source port.

- Hanggang sa 64 SPAN destination port ay maaaring i-configure sa isang switch.

- Kapag nag-configure kami ng destination port, ang orihinal na configuration nito ay ma-overwrite. Kung aalisin ang configuration ng SPAN, maibabalik ang orihinal na configuration sa port na iyon.

- Kapag nag-configure ng patutunguhang port, ang port ay aalisin sa anumang bundle ng EtherChannel kung ito ay bahagi ng isa. Kung ito ay isang naka-ruta na port, ang configuration ng destinasyon ng SPAN ay na-override ang naka-ruta na configuration ng port.

- Ang mga destination port ay hindi sumusuporta sa port security, 802.1x authentication, o pribadong VLAN.

- Ang isang port ay maaaring kumilos bilang ang destinasyong port para lamang sa isang SPAN session.

- Ang isang port ay hindi maaaring i-configure bilang isang destination port kung ito ay isang source port ng isang span session o bahagi ng source VLAN.

- Maaaring i-configure ang mga interface ng channel ng port (EtherChannel) bilang mga source port ngunit hindi isang destination port para sa SPAN.

- Ang direksyon ng trapiko ay "pareho" bilang default para sa mga pinagmulan ng SPAN.

- Ang mga destinasyong port ay hindi kailanman lumalahok sa isang spanning-tree instance. Hindi masuportahan ang DTP, CDP atbp. Kasama sa Lokal na SPAN ang mga BPDU sa sinusubaybayang trapiko, kaya ang anumang mga BPDU na makikita sa destination port ay kinokopya mula sa source port. Kaya't hindi kailanman ikonekta ang isang switch sa ganitong uri ng SPAN dahil maaari itong magdulot ng network loop.

- Kapag ang VLAN ay na-configure bilang SPAN source (karamihan ay tinutukoy bilang VSPAN) na may parehong mga pagpipilian sa pagpasok at paglabas, ipasa ang mga duplicate na packet mula sa source port lamang kung ang mga packet ay lumipat sa parehong VLAN. Ang isang kopya ng packet ay mula sa ingress traffic sa ingress port, at ang isa pang kopya ng packet ay mula sa egress traffic sa egress port.

- Sinusubaybayan lamang ng VSPAN ang trapiko na umaalis o pumapasok sa mga Layer 2 port sa VLAN.

Ang SPAN, RSPAN, at ERSPAN ay mga diskarteng ginagamit sa networking upang makuha at subaybayan ang trapiko para sa pagsusuri. Narito ang isang maikling pangkalahatang-ideya ng bawat isa:

SPAN (Switched Port Analyzer)

• Layunin: Ginagamit upang i-mirror ang trapiko mula sa mga partikular na port o VLAN sa isang switch sa isa pang port para sa pagsubaybay.
• Use Case: Tamang-tama para sa lokal na pagsusuri ng trapiko sa isang solong switch. Ang trapiko ay sinasalamin sa isang itinalagang port kung saan maaaring makuha ito ng isang network analyzer.

RSPAN (Remote SPAN)

• Layunin: Pinapalawak ang mga kakayahan ng SPAN sa maraming switch sa isang network.
• Use Case: Pinapayagan ang pagsubaybay ng trapiko mula sa isang paglipat patungo sa isa pa sa isang trunk link. Kapaki-pakinabang para sa mga sitwasyon kung saan matatagpuan ang monitoring device sa ibang switch.

ERSPAN (Encapsulated Remote SPAN)

• Layunin: Pinagsasama ang RSPAN sa GRE (Generic Routing Encapsulation) upang i-encapsulate ang naka-mirror na trapiko.
• Use Case: Nagbibigay-daan para sa pagsubaybay ng trapiko sa mga rutang network. Ito ay kapaki-pakinabang sa mga kumplikadong arkitektura ng network kung saan kailangang makuha ang trapiko sa iba't ibang mga segment.