Технология
SPAN обычно используется для копирования трафика с одного физического интерфейса коммутатора на другой. Это может быть полезно для отладки сети и перенаправления трафика в некую систему мониторинга сети (например: в NTA-систему).
Span нежелателен для использования при высокой нагрузке на сеть, так как для копирования трафика используются ресурсы коммутатора, и это может сказываться на его производительности. Поэтому важно помнить, что данный способ анализа трафика относится к резервным.
Сама настройка SPAN на коммутаторе, с которого планируется снимать трафик, довольно просто: необходимо указать интерфейс-источник и интерфейс-получатель, а также направление захватываемого трафика (входящий трафик (RX), исходящий (TX) или оба направления (both)).
Примечание: Важно помнить, чтобы не допустить дуплицирование трафика: при снятии копии с виртуального интерфейса VLAN необходимо снимать трафик либо только входящий (RX), либо исходящий (TX). Ведь, условно выражаясь, трафик, который попал во VLAN-интерфейс (RX) из одного узла, из VLAN же и выйдет (не изменившись из TX-интерфейса по направлению к другому узлу).- Switch1# conf t
- Switch1(config)# monitor session 1 source interface fe0/1 both
- Switch1(config)# monitor session 1 destination interface ge0/2
В технологии SPAN есть одно существенное ограничение — взаимодействие с трафиком возможно только на коммутаторе, где непосредственно настроен SPAN.
В случае, когда необходимо передать трафик на другой коммутатор для последующего с ним взаимодействия, существуют технологии RSPAN и ERSPAN. Причем технология RSPAN работает на L2 уровне, а ERSPAN — на L3 уровне, заворачивая трафик в GRE-туннель.
Данные технологии нагружают коммутаторы еще сильнее, поэтому они малоэффективны, но в отдельных случаях их можно использовать.
RSPAN работает при помощи передачи зеркалируемого трафика через отдельный VLAN в сторону другого L2-коммутатора и далее до обозначенной конечной точки.
При этом необходимо настроить каждый коммутатор отдельно довольно простым набором команд.
В случае, когда трафик передается через коммутатор-источник во VLAN интерфейс с целью последующей передачи его через другой коммутатор:- Switch1(config)# vlan 100
- Switch1(config-vlan)# remote span
- Switch1(config)# monitor session 1 source interface fe0/1 rx
- Switch1(config)# monitor session 1 source interface fe0/2 rx
- Switch1(config)# monitor session 1 destination remote vlan 100
В случае, когда коммутатор является заключительным звеном в цепи передачи и необходимо вывести трафик на физический порт:- Switch2(config)# vlan 100
- Switch2(config-vlan)# remote span
- Switch2(config)# monitor session 1 source remote vlan 100
- Switch2(config)# monitor session 1 destination ge0/2
Для просмотра сессии зеркалирования можно использовать команду:ERSPAN, как уже было сказано, работает на L3 уровне между маршрутизируемыми сегментами сети, и для его работы необходимо назначение IP-адресов при настройке зеркалирования. При настройке коммутатора-источника в параметрах ERSPAN должен быть корректно настроен MTU, чтобы пакеты для захвата передавались дальше по цепочке в полном виде.
В случае начала цепочки передачи необходимо настроить IP-адрес коммутатора получателя командой «ip address» (и IP-адрес коммутатора отправителя, командой «origin ip address»):- switch1(config)# monitor session 1 type erspan-source
- switch1(config-mon-erspan-src)# source interface fe0/1
- switch1(config-mon-erspan-src)# destination
- switch1(config-mon-erspan-src-dst)# erspan-id 100
- switch1(config-mon-erspan-src-dst)# ip address 192.168.100.10
- switch1(config-mon-erspan-src-dst)# origin ip address 192.168.101.10
Примечание: можно не указывать направление в команде «source interface fe0/1» после названия интерфейса. Тогда будет выбрано направление «both»В случае конца цепочки передачи необходимо назначить только IP-адрес коммутатора получателя и интерфейс-получатель трафика:- switch2(config)# monitor session 1 type erspan-destination
- switch2(config-mon-erspan-dst)# destination interface ge0/2
- switch2(config-mon-erspan-dst)# source
- switch2(config-mon-erspan-dst-src)# erspan-id 100
- switch2(config-mon-erspan-dst-src)# ip address 192.168.100.10
Примечание: значение «erspan-id» должно быть одинаковым для всех устройств передачи трафика.После настройки необходимо подключить машину к выбранному интерфейсу. Важно, чтобы на узле была достаточная для обработки трафика сетевая карта. Скорее всего, карты на 1 Гбит/с хватит, но это для каждого случая индивидуальная картина. Возможно, понадобится сетевая карта на 10 Гбит/с.
Когда трафик заведен на машину, остается только установить сниффер Wireshark и оставить узел принимать трафик. Рекомендуем прослушать трафик в течении всего рабочего дня для выявления пиковых нагрузок. Далее необходимо пройти в статистику и просмотреть графики ввода/вывода (рисунок 16).