一、SPAN簡介
SPAN技術主要是用來監控交換機上的數據流,大體分爲兩種類型,本地SPAN和遠程SPAN.
----Local Switched Port Analyzer (SPAN) and Remote SPAN (RSPAN),實現方法上稍有不同。
利用SPAN技術我們可以把交換機上某些想要被監控端口(以下簡稱受控端口)的數據流COPY或MIRROR一份,發送給連接在監控端口上的流量分析儀,比如CISCO的IDS或是裝了SNIFFER工具的PC. 受控端口和監控端口可以在同一臺交換機上(本地SPAN),也可以在不同的交換機上(遠程SPAN)。
二、名詞解釋
SPAN Session——SPAN會話
SPAN會話是指一組受控端口與一個監控端口之間的數據流。可以同時對多個端口的進入流量或是一個端口的外出流量進行監控,也可以對VLAN內所有端口的進入流量進行監控,但不能同時對多個端口的外出流量及VLAN的外出流量進行監控,可以對處於關閉狀態的端口設置SPAN,但此時的SPAN會話是非活動,但只要相關的接口被打開,SPAN就會變爲活動的。
監控端口最好是>=受控端口的帶寬,否則可能會出現丟包的情況。
SPAN Traffic——SPAN的流量
使用本地SPAN可以監控所有的網絡流量,包括multicast、bridge protocol data unit (BPDU),和CDP、VTP、DTP、STP、PagP、LACP packets. RSPAN不能監控二層協議。
Traffic Types——流量類型
被監控的流量類型分爲三種,Receive (Rx) SPAN 受控端口的接收流量,Transmit (Tx) SPAN 受控端口的發送流量,Both 一個受控端口的接收和發送流量。
Source Port——SPAN會話的源端口(也就是monitored port-即受控端口)
受控端口可以是實際的物理端口、VLAN、以太通道端口組EtherChannel,物理端口可以在不同的VLAN中,受控端口如果是VLAN則包括此VLAN中的所以物理端口,受控端口如果是以太通道則包括組成此以太通道組的所有物理端口,如果受控端口是一個TRUNK幹道端口,則此TRUNK端口上承載的所有VLAN流量都會受到監控,也可以使用filter vlan 參數進行調整,只對filter vlan 中指定的VLAN數據流量做監控。
Destination Port——SPAN會話的目的端口(也就是monitoring port-即監控端口)
監控端口只能是單獨的一個實際物理端口,一個監控端口同時只能在一個SPAN會話中使用,監控端口不參與其它的二層協議如:
Layer 2 protocols
Cisco Discovery Protocol (CDP),
VLAN Trunk Protocol (VTP),
Dynamic Trunking Protocol (DTP),
Spanning Tree Protocol (STP),
Port Aggregation Protocol (PagP),
Link Aggregation Control Protocol (LACP)。
缺省情況下監控端口不會轉發除SPAN Session以外的任何其它的數據流,也可以通過設置ingress參數,打開監控端口的二層轉發功能,比如當連接CISCO IDS的時會有這種需求,此時IDS不僅要接收SPAN Session的數據流,IDS本身在網絡中還會與其它設備有通訊流量,所以要打開監控端口的二層轉發功能。
Reflector Port——反射端口
反射端口只在RSPAN中使用,與RSPAN中的受控端口在同一臺交換機上,是用來將本地的受控端口流量轉發到RSPAN中在另一臺交換機上的遠程監控端口的方法,反射端口也只能是一個實際的物理端口,它不屬於任何VLAN(It is invisible to all VLANs.)。
RSPAN中還要使用一個專用的VLAN來轉發流量,反射端口會使用這個專用VLAN將數據流通過TRUNK端口發送給其它的交換機,遠程交換機再通過此專用VLAN將數據流發送到監控端口上的分析儀。
關於RSPAN VLAN的創建,所有參與RSPAN的交換機應在同一個VTP域中,不能用VLAN 1,也不能用1002-1005,這是保留的(reserved for Token Ring and FDDI VLANs),如果是2-1001的標準VLAN,則只要在VTP Server上創建即可,其它的交換機會自動學到,如果是1006-4094的擴展VLAN,則需要在所有交換機上創建此專用VLAN.
反射端口最好是>=受控端口的帶寬,否則可能會出現丟包的情況。
VLAN-Based SPAN——基於VLAN的SPAN
基於VLAN的SPAN只能監控VLAN中所有活動端口接收的流量(only received (Rx) traffic),如果監控端口屬於此VLAN,則此端口不在監控範圍內,VSPAN只監控進入交換機的流量,不對VLAN接口上的路由數據做監控。
(VSPAN only monitors traffic that enters the switch, not traffic that is routed between VLANs. For example, if a VLAN is being Rx-monitored and the multilayer switch routes traffic from another VLAN to the monitored VLAN, that traffic is not monitored and is not received on the SPAN destination port. )
三、SPAN和RSPAN與其它特性的互操作性
Routing——SPAN不監控VLAN間的路由數據;(不好理解)
Routing—Ingress SPAN does not monitor routed traffic. VSPAN only monitors traffic that enters the switch, not traffic that is routed between VLANs. For example, if a VLAN is being Rx-monitored and the multilayer switch routes traffic from another VLAN to the monitored VLAN, that traffic is not monitored and not received on the SPAN destination port.
STP——監控端口和反射端口不會參與STP,但SPAN對受控端口的STP沒有影響;
CDP——監控端口不參與CDP;
VTP——RSPAN VLAN可以被修剪pruning;
VLAN and trunking——可以修改受控端口、監控端口和反射端口的VLAN和TRUNK設置,受控端口的改變會立即生效,而監控端口和反射端口則要在從SPAN中去除後纔會生效;
EtherChannel——整個以太通道組可以做爲受控端口使用,如果一個屬於某個以太通道組的物理端口被配成了受控端口、監控端口或反射端口,則此端口會自動從以太通道組去除,當SPAN刪除後,它又會自動加入原以太通道組;
QoS——由於受QoS的策略影響,監控端口上收到的數據流會與受控端口實際的數據流不同,比如DSCP值被修改等;
Multicast——SPAN可以監控組播的數據流;
Port security——安全端口不能做爲監控端口使用;
802.1x——受控端口、監控端口和反射端口上可以設置802.1x,但有些限制。
四、SPAN和RSPAN的配置舉例
SPAN的限制和缺省設置
Catalyst 3550交換機上最多隻能設置兩個SPAN Session,缺省SPAN沒有使用,如果做了設置,缺省情況下,第一個被設爲受控端口的接口進出流量都會受到監控,以後再追加的受控端口只會對接收的流量進行監控,監控端口的默認封裝類型爲Native,也就是沒有打VLAN的標記。
1、Configuring SPAN——配置本地SPAN
Switch(config)# no monitor session 1 //先清除可能已經存在SPAN設置 Switch(config)# monitor session 1 source interface fastethernet0/10 //設定SPAN的受控端口 Switch(config)# monitor session 1 destination interface fastethernet0/20 //設定SPAN的監控端口 Switch#sh mon Session 1 --------- Type : Local Session Source Ports : Both : Fa0/10 //注意此處是Both Destination Ports : Fa0/20 Encapsulation : Native Ingress: Disabled Switch(config)# monitor session 1 source interface fastethernet0/11 - 13 //添加SPAN的受控端口 Switch#sh mon Session 1 --------- Type : Local Session Source Ports : RX Only : Fa0/11-13 //注意此處是RX Only Both : Fa0/10 //注意此處還是Both Destination Ports : Fa0/20 Encapsulation : Native Ingress: Disabled Switch(config)# monitor session 1 destination interface fa0/20 ingress vlan 5 //設定SPAN的監控端口並啓用二層轉發 Switch#sh mon Session 1 --------- Type : Local Session Source Ports : RX Only : Fa0/11-13 Both : Fa0/10 Destination Ports : Fa0/20 Encapsulation : Native Ingress: Enabled, default VLAN = 5 //允許正常的流量進入 Ingress encapsulation: Native |
3、Specifying VLANs to Filter
Switch(config)# no monitor session 2 Switch(config)# monitor session 2 source vlan 101 - 102 rx Switch(config)# monitor session 2 destination interface fastethernet0/30 Switch#sh mon ses 2 Session 2 --------- Type : Local Session Source VLANs : RX Only : 101-102 //注意此處是RX Only Destination Ports : Fa0/30 Encapsulation : Native Ingress: Disabled Switch(config)# monitor session 2 source vlan 201 - 202 rx Switch#sh mo se 2 Session 2 --------- Type : Local Session Source VLANs : RX Only : 101-102,201-202 //注意此處多了201-202 Destination Ports : Fa0/30 Encapsulation : Native Ingress: Disabled |
RSPAN的Session分成RSPAN Source Session和RSPAN Destination Session兩部分,所以相應的配置也要分別在Session的源和目的交換機上做。
4.1、首先要配置專用的RSPAN VLAN
Switch(config)# no monitor session 2 Switch(config)# monitor session 2 source interface fastethernet0/48 rx Switch(config)# monitor session 2 filter vlan 100 - 102 //指定受控的VLAN範圍 Switch(config)# monitor session 2 destination interface fastethernet0/30 Switch#sh mon ses 2 Session 2 --------- Type : Local Session Source Ports : Both : Fa0/48 Destination Ports : Fa0/30 Encapsulation : Native Ingress: Disabled Filter VLANs : 100-102 //只監控VLAN100-102中的流量 |
4.2、配置RSPAN Source Session
Switch(config)# vlan 800 Switch(config-vlan)# remote-span Switch(config-vlan)# end sw1#sh vl id 800 VLAN Name Status Ports ---- -------------------------------- 800 VLAN0800 active Fa0/47, Fa0/48 VLAN Type SAID MTU Parent RingNo BridgeNo Stp BrdgMode Trans1 Trans2 ---- ----- ---------- ----- ------ 800 enet 100800 1500 - - - - - 0 0 Remote SPAN VLAN ---------------- Enabled //注意看此處的提示 Primary Secondary Type Ports ------- --------- ----------------- |
4.3、配置RSPAN Destination Session
Switch(config)# no monitor session 1 Switch(config)# monitor session 1 source interface fastethernet0/10 - 13 Switch(config)# monitor session 1 source interface fastethernet0/15 rx Switch(config)# monitor session 1 destina remote vlan 800 reflector-port fa0/20 sw1#sh mo se 1 Session 1 --------- Type : Remote Source Session Source Ports : RX Only : Fa0/11-13,Fa0/15 Both : Fa0/10 Reflector Port : Fa0/20 Dest RSPAN VLAN : 800 |
(VLAN-Based RSPAN)基於VLAN的RSPAN也和上面的方法類似,只不過受控的是整個VLAN.啓用監控端口的二層轉發以及Specifying VLANs to Filter 的方法也和本地SPAN相同,此處不再舉例。詳見CISCO CD.
This example shows how to configure SPAN so that both the transmit and receive
traffic from port 2/4 (the SPAN source) is mirrored on port 3/6 (the SPAN destination):
Console> (enable) set span 2/4 3/6
// Overwrote Port 3/6 to monitor transmit/receive traffic of Port 2/4
Incoming Packets disabled. Learning enabled.
Console> (enable) show span
Destination : Port 3/6
Admin Source : Port 2/4
Oper Source : None
Direction : transmit/receive
Incoming Packets: disabled
Learning : enabled
Filter : -
Status : active
----------------------------------------------
Total local span sessions: 1
Console> (enable)
This example shows how to set VLAN 522 as the SPAN source and port 2/1 as the SPAN destination:
Console> (enable) set span 522 2/1
// Overwrote Port 2/1 to monitor transmit/receive traffic of VLAN 522
Incoming Packets disabled. Learning enabled.
Console> (enable) show span
Destination : Port 2/1
Admin Source : VLAN 522
This example shows how to configure SPAN so that both the transmit and receive
traffic from port 2/4 (the SPAN source) is mirrored on port 3/6 (the SPAN destination):
Console> (enable) set span 2/4 3/6
// Overwrote Port 3/6 to monitor transmit/receive traffic of Port 2/4
Incoming Packets disabled. Learning enabled.
Console> (enable) show span
Destination : Port 3/6
Admin Source : Port 2/4
Oper Source : None
Direction : transmit/receive
Incoming Packets: disabled
Learning : enabled
Filter : -
Status : active
----------------------------------------------
Total local span sessions: 1
Console> (enable)
This example shows how to set VLAN 522 as the SPAN source and port 2/1 as the SPAN destination:
Console> (enable) set span 522 2/1
// Overwrote Port 2/1 to monitor transmit/receive traffic of VLAN 522
Incoming Packets disabled. Learning enabled.
Console> (enable) show span
Destination : Port 2/1
Admin Source : VLAN 522